José Luis Huertas Rubio, el hacker conocido como Alcasec y detenido este martes por robar datos de organismos públicos y empresas, venderlos y blanquear el dinero así obtenido, creó una empresa de ciberseguridad en marzo de 2024, Havenio Technology SL. Apenas tres meses antes, en diciembre de 2023, el juez de la Audiencia Nacional José Luis Calama había decidido procesar a Alcasec y a otros dos piratas informáticos por atacar el Punto Neutro Judicial, la red que conecta a los órganos judiciales con otras instituciones del Estado en 2022. La Fiscalía pide tres años de prisión para el hacker por haber sustraído los datos de más de medio millón de contribuyentes, que luego transfirió a dos servidores en Lituania y puso a la venta a través de una plataforma de criptomonedas.

Pese a tener ese juicio pendiente y haber sido detenido en mayo –por crear Udyat, una gigantesca base de datos con la información de millones de ciudadanos obtenida con sus hackeos, por cuyo acceso cobraba– y en junio de 2024–por hacerse con datos de los clientes de la empresa energética Holaluz–, la Universidad Nacional de Educación a Distancia (UNED) aprobó en su consejo de gobierno el 5 de julio un convenio de colaboración con Havenio Technology SL, la empresa de Alcasec.

Alcasec fue detenido de nuevo este martes, junto al ex secretario de Estado del Ministerio del Interior Francisco Martínez Vázquez, a quien los investigadores acusan de ayudar al pirata informático a constituir dos sociedades con las que blanqueaba el dinero obtenido de sus ciberataques.

En una entrevista concedida a El Confidencial en marzo de 2024, la misma fecha de constitución de Havenio Technology SL, José Luis Huertas presentaba la empresa como parte de su “reinserción”, aunque no le gustaba la palabra: “Suena como si fuera un drogadicto, y no lo soy”. Su paso por la cárcel de Alcalá-Meco, tras dos meses en prisión preventiva, le había cambiado, confesó. De hecho, llevaba semanas “sin parar” preparando el proyecto empresarial. Incluso estaba a punto de firmar sus cinco primeros contratos.

Cuatro meses después, uno de sus clientes fue la UNED. El convenio, que figura junto con la certificación del acuerdo en el portal del Vicerrectorado de Investigación, fue firmado por el rector, Ricardo Mairal Usón, y por el propio José Luis Huertas. Su objeto era establecer un “marco permanente de colaboración” entre Havenio Technology SL, “que cuenta con un equipo de expertos en ciberseguridad”, según detalla el texto, y la Escuela Técnica Superior de Ingeniería Informática de la UNED. En concreto, se trataba de “desarrollar acciones de investigación, divulgación y formación” en ciberseguridad, identificando “vulnerabilidades de entidades públicas y privadas”, también “riesgos” y “amenazas”, y reducir el “impacto de los ciberataques”, así como crear “soluciones tecnológicas” de ciberseguridad.

Una de las obligaciones que el convenio establecía para ambas partes era “exponer las necesidades de las entidades públicas y privadas en materia de ciberseguridad”. Precisamente, Alcasec ha sido detenido hasta en cuatro ocasiones por diferentes hackeos a la Agencia Tributaria, la Dirección General de Tráfico, el Instituto Nacional de Estadística (INE), la Seguridad Social, el SEPE e incluso la Policía Nacional, entre los organismos públicos, y a Holaluz, Telefónica, Iberdrola, Mediaset y Burger King entre las empresas privadas. El documento incluye una cláusula de confidencialidad, que prohíbe a ambas partes difundir las informaciones científicas o técnicas a las que hayan tenido acceso durante el desarrollo del proyecto.

La UNED asegura que desconocía los antecedentes de Alcasec cuando aprobó el convenio de colaboración con Havenio Technology SL, pese a que las noticias sobre las sucesivas detenciones de Alcasec habían tenido amplio seguimiento en los medios de comunicación desde que, en marzo de 2020, con sólo 16 años, fue detenido por primera vez tras atacar el Servicio Madrileño de Salud (Sermas), y las empresas Burger King y HBO.

También precisa que la firma del acuerdo fue electrónica, por lo que no hubo ningún “encuentro personal entre el rector y algún representante de la empresa” del hacker.

Un protocolo genérico sin acuerdos específicos

A preguntas de Público, un portavoz de la UNED responde que la iniciativa partió de la empresa y se remite, “a modo de ejemplo”, a la descripción que la Policía hace de la operativa de Alcasec y los otros dos detenidos: “Se presentó como un entorno legítimo de asesoramiento tecnológico” gracias a sus “relaciones personales y profesionales”. Pero no detalla quién contactó con la universidad y habló en su favor para conseguir que se firmara el convenio: “Alguien de la empresa, no fue Huertas”.

Además, la UNED rebaja la importancia del convenio. “Se trata de un protocolo general de actuación”, explica, que sólo contiene “unas meras declaraciones genéricas de intenciones para implementar acciones futuras de formación” en ciberseguridad. El convenio no implica “obligaciones financieras o contraprestación económica” para ninguna de las partes, cuya determinación se traslada a la firma de los “acuerdos específicos” que deberían formalizarse para cada “acción” que se ponga en marcha en virtud del protocolo. Es entonces cuando las partes deberán buscar “fuentes de financiación complementaria”, describe el convenio firmado.

Sin embargo, la universidad asegura que no se llegó a formalizar ningún acuerdo concreto con Havenio Technology SL y que el convenio se extinguirá el próximo mes de julio, cuando se cumpla su año de vigencia. “La UNED no va a prestar el consentimiento para acordar su prórroga con la empresa”, zanja.

José Luis Huertas comparte la administración de Havenio Technology SL con Adrián Abad Espín, a quien conoció “en el mundo de la noche”, según contó a El Confidencial. Abad Espín también figura en el Registro Mercantil como administrador de Lemmiing Luxury Services SL, que se dedica a la hostelería. Alcasec explicaba entonces que Adrián Abad llevaba la gestión comercial de la empresa y que Invertec, empresa propiedad de un familiar de su socio, había puesto 100.000 euros para arrancar Havenio Technology SL.

El papel del ex 'número dos' de Interior

Junto con el pirata informático ha sido detenido también el ex secretario de Estado del Ministerio del Interior Francisco Martínez Vázquez, que fue su abogado hasta que alcanzó la mayoría de edad. Los investigadores sostienen que el ex número dos del exministro Jorge Fernández Díaz (PP) ayudó a Alcasec a constituir dos sociedades con las que blanqueaba el dinero obtenido de sus ciberataques. Según informa Europa Press, lo hizo a cambio de unos honorarios de sólo 1.500 euros, y jamás se ocupó de su administración.

Havenio Technology nació como Boullosa Mirelis SL en marzo de 2021, una sociedad dedicada a la hostelería con sede en Pontevedra, que cambió de denominación y objeto social al pasar a manos de Alcasec.

Como su antiguo cliente, Francisco Martínez tiene asuntos pendientes en la Audiencia Nacional. Será juzgado en 2026 por el caso Kitchen, el espionaje policial al extesorero popular Luis Bárcenas supuestamente para robarle documentación que perjudicara al PP, y está imputado en el caso que lleva el juez Santiago Pedraz por la guerra sucia contra Podemos.