El mayor hackeo de la historia de YouTube fue desde España y “solo por el troleo”

Ha sido el ciberataque más grave de la historia YouTube, al menos si se tiene en cuenta los millones de personas que se convirtieron en audiencia potencial de la acción. Los canales oficiales de Justin Bieber (68,2 millones de suscriptores), el de Michael Jackson (24,8), el de Rosalía (8,9), el de Ariana Grande (51,1), Eminem (51,6), Drake (26,2) o Daddy Yankee (36) y otro nutrido etcétera de cantantes caían víctimas de un hackeo. Alguien consiguió acceso a sus cuentas y no aprovechó la oportunidad para ningún tipo de acción publicitaria, propagandística ni política, sino para gastar una broma de alcance global que tuvo al estafador español Paco Sanz como inesperado protagonista.

El hackeo comenzó el martes por la mañana, hora española, cuando en los canales de esos artistas empezaron a aparecer vídeos que mostraban a Sanz cantando y tocando una guitarra al revés. El autor, o autores, firmaron la acción como “Los Pelaos” y fingieron representar a un movimiento por “la liberación” del estafador, que aceptó una condena de dos años de prisión en 2021 tras engañar a decenas de personas para recibir donaciones haciéndoles creer que tenía una enfermedad rara y terminal.

“Pedimos su libertad y está libre, jajaja”, escriben a través de un mensaje desde la cuenta de Twitter desde la que reivindicaron el hackeo (@lospelaosbro) y preguntaban a sus seguidores a qué canales atacar, en los que posteriormente aparecían más vídeos de Paco Sanz. En su conversación con elDiario.es a lo largo de varios días aseguran que son un grupo de ocho hackers y que son “todos menores de edad menos uno, que está en la cárcel”. No han ofrecido pruebas de ninguno de los dos puntos ante las peticiones de este medio. Afirman que la única motivación de la acción ha sido paródica: “Todo por el troleo, es nuestra marca de agua realmente”.

Los hackers dicen ser también los autores del ciberataque contra cuentas de Twitter de programas de La Sexta como Al Rojo Vivo o El Intermedio ocurrido el pasado julio, que usaron para publicar mensajes satíricos como “Free Paco Sanz”. El alcance de su nueva acción, no obstante, es incomparable al de hace unos meses. En sus mensajes, reconocen que de haber utilizado el acceso a los canales para hacer llegar otro tipo de mensaje a una audiencia global podría haberles generado un gran beneficio económico. Dicen que tampoco se han apropiado de datos personales u otro tipo de información. “No buscamos dinero”, afirman.

De hecho, el grupo llegó a publicar un mensaje con dos direcciones de carteras de criptomonedas donde sus seguidores podían hacer aportaciones, que posteriormente eliminó: “Lo borramos rápido. Nos dieron como 10$ y lo donamos a ucrania lol”.

Los vídeos se eliminaron en un par de horas, pero el tipo de infiltración que han conseguido en YouTube no tiene ningún precedente por su capacidad para publicar vídeos en múltiples canales de máxima importancia para la plataforma. Apunta a un compromiso de todo el sistema y no solo de los canales individuales. elDiario.es se ha puesto en contacto con la compañía, que señala que el fallo de seguridad se ha originado en Vevo, el servicio de vídeos musicales que Google (propietaria de YouTube) gestiona junto a discográficas como Sony o Universal.

“Se subieron algunos vídeos a un pequeño número de canales de artistas de Vevo por una fuente no autorizada. Todos esos vídeos subidos indebidamente han sido eliminados por Vevo”, confirma una portavoz de la empresa, que dice “la fuente no tuvo acceso a ningún contenido preexistente”. “Aunque los canales de los artistas han sido asegurados y el incidente ha sido resuelto, Vevo llevará a cabo una revisión de nuestros sistemas de seguridad”, concluye.

El grupo prefiere no dar más detalles en este punto. “Cómo se hizo no se puede decir, ya que sigue siendo posible”, aseguran, enfatizando que, si quisieran, podrían borrar los canales. Preguntada acerca de este punto, Vevo evita hacer comentarios: “No tenemos nada más que añadir a nuestro comunicado oficial”.

Atención vía Paco Sanz

El protagonista involuntario de esta historia es Francisco José Sanz, conocido como Paco Sanz, un vigilante de seguridad valenciano de 51 años al que le diagnosticaron en 2009 el Síndrome de Cowden. Se trata de una enfermedad que se “caracteriza por la aparición de tumores benignos” pero sin riesgo de muerte. Meses después apareció en el programa Gente, de TVE, denunciando que no contaba con cobertura del sistema público de salud a pesar de su enfermedad rara.

A raíz de esa entrevista apareció en diferentes medios de comunicación para pedir donaciones e incluso abrió una página web para manifestar que su enfermedad era “muy grave” y exagerar sus síntomas. Fundó la ONG Asociación Paco Sanz para la Investigación del Síndrome Cowden en España, publicó un libro y llevó a cabo diversas acciones para financiar sus supuestos tratamientos. Llegó a estafar 350.000 euros a centenares de personas, incluyendo personajes públicos como Santiago Segura, Dani Mateo, Isabel Gemio, José Mota o Carlos Herrera. Pasó algunos días en prisión en 2018, salió libre y finalmente en 2021 aceptó una pena de dos años y una multa de 37.000 euros, por lo que pudo evitar la cárcel.

Desde “Los Pelaos” aseguran a este medio que no tienen ninguna relación con Sanz y que la elección de su figura para los vídeos y para representar la imagen de perfil de su cuenta de Twitter es meramente paródica. Los comentarios del grupo en esta red social también van en esta línea, definiendo al estafador como “un preso político”, o al afirmar que “el movimiento #freepacosanz tiene que ser revolucionario e histórico en este país de fascistas” para acto seguido tuitear “viva Vox”.

El alcance global de su acción atrajo la atención de periodistas y medios de comunicación, algo que los hackers aprovecharon para intentar seguir con la broma. Jordi Pérez Colomé, de El País, da cuenta de esos intentos en su newsletter y de cómo el grupo le aseguró que su campaña de hackeos en YouTube pretendía protestar “por la reivindicación del hambre mundial”. También Israel Merino, que pudo mantener una entrevista en persona con el autodenominado “líder supremo” de “Los Pelaos” en una localidad de la periferia de Madrid. El hombre que entrevistó para El Español tenía de “de veinte a treinta años”, aunque expresó tener 17 “para que la Policía no me pueda meter un puro gordo”.

“Bah, la gente se cree que hemos hackeado uno a uno a todos los cantantes, pero no ha sido así. Ha sido mucho más sencillo. Conseguimos un panel de un trabajador de VEVO y entramos. Desde ahí hicimos toda la magia”, revela a Merino.

“No vamos a parar”

Después de publicar los vídeos de Sanz, los hackers españoles atacaron otros canales de artistas internacionales para subir videoclips de Estopa o Residente. El miércoles y el jueves siguieron con los hackeos a cantantes, aunque esta vez en Spotify y Tindal, una plataforma de música en streaming muy similar a la primera propiedad de Square, la empresa de tecnología financiera fundada por Jack Dorsey, creador de Twitter.

Los objetivos han tenido, no obstante, un perfil más bajo que los artistas atacados en YouTube. En Tidal hackearon a Benny Jr. un cantante de trap de 21 años, mientras que en Spotify fueron a por los raperos Morad, Eladio Carrión y Elpatron970, además de a por el propio Benny Jr. En todos los casos han publicado canciones satíricas en los que se han colocado como coautores. Desde Spotify y Tidal no han dado detalles sobre el origen de la brecha de seguridad.

“Ya nos aburrimos de Youtube, ahora vamos a por otros objetivos”, anticiparon en conversación con este medio horas antes de los ataques a los servicios de música en streaming. “No vamos a parar”, aseguran. El grupo ha vuelto a pedir inspiración a sus seguidores para seleccionar objetivos: “No atacamos a gobiernos, solo empresas privadas”.

Este sábado, de hecho, el grupo ha negado ser el autor de un hackeo sufrido por el equipo eSports Team Heretics, en el que alguien ha accedido a su canal de Twitch y ha empezado a retransmitir porno, provocando el cierre del canal. “No hemos hackeado Heretics, nosotros no pedimos dinero por nuestros hackeos, y dejamos algún mensaje relacionado con Paco Sanz. Todo lo hacemos por las risas, no por el dinero”, recalcaban: “Por lo que hemos visto es un Ruso pidiendo un rescate por bitcoin”.

Los hackers aseguran que no temen que estas acciones puedan acarrearles problemas con la justicia, puesto que no creen que los investigadores puedan llegar a descubrir su identidad.