Menor usa IA y roba datos de 5.000 personas; Policía plantea colaborar

Un adolescente de 17 años utilizó modelos comerciales de inteligencia artificial para abrir una brecha en el portal oficial de una empresa pública de un gran municipio español y acceder a los datos personales de unos 5.000 ciudadanos. El caso, ocurrido durante el verano de 2026, acabó en la jurisdicción de menores y ha dado un giro poco habitual: la Policía Nacional ha planteado a la autoridad judicial que el joven pueda colaborar con sus especialistas en ciberseguridad.

La propuesta no significa incorporar al menor como agente ni darle acceso a expedientes policiales. El planteamiento es mucho más limitado: aprovechar sus conocimientos técnicos para ayudar a desarrollar alguna herramienta capaz de monitorizar determinadas actividades digitales. El inspector Javier Izquierdo, jefe del grupo de investigación de Ciberataques de la Policía Nacional, ha confirmado que esa posibilidad se ha trasladado a la autoridad judicial.

La historia resulta especialmente llamativa por cómo comenzó. El joven no fue descubierto después de una larga persecución digital. Acudió junto a su padre a la sede de la entidad afectada para disculparse y advertir de la vulnerabilidad que había aprovechado. Pero el volumen de información comprometida dejaba poco margen para tratar aquello como una simple travesura tecnológica: miles de personas habían visto expuestos sus datos y la denuncia era inevitable.

De vulnerar un portal público a colaborar con la Policía

La identidad del adolescente, la empresa pública afectada y el municipio permanecen bajo reserva. Tampoco se han difundido detalles sobre la vulnerabilidad utilizada, los datos concretos sustraídos ni el modelo de inteligencia artificial con el que trabajó. La cautela tiene una explicación doble: el protagonista es menor de edad y, además, está colaborando con los investigadores.

La Policía quiere mantener una frontera clara. Si finalmente la autoridad judicial autoriza alguna forma de colaboración, el adolescente no tendría acceso a investigaciones policiales ni información sensible. Su aportación estaría concentrada en el terreno técnico, donde ha demostrado unas capacidades que resultan poco comunes para su edad.

El episodio rompe, de paso, algunos tópicos sobre el hacker adolescente. No hay aquí una habitación oscura llena de pantallas verdes ni un genio informático de película intentando dominar medio planeta. Hay algo bastante más cotidiano y, quizá por eso, más inquietante: un menor con un ordenador, acceso a herramientas comerciales de IA y suficiente curiosidad técnica para encontrar una puerta que debía permanecer cerrada.

La IA rebaja la barrera para entrar en el cibercrimen

Los investigadores llevan tiempo observando una transformación profunda. Con la llegada de la IA generativa, conocimientos que antes exigían meses o años de aprendizaje pueden resultar más accesibles. Los modelos son capaces de ayudar a interpretar código, explicar errores, automatizar tareas o traducir documentación técnica. No convierten por arte de magia a cualquiera en un especialista, pero acortan mucho ciertos caminos.

Javier Izquierdo ha explicado que la Policía está encontrando adolescentes de 15 o 16 años con conocimientos elevados de ciberseguridad pese a no haber pasado por una facultad de Informática. Son jóvenes acostumbrados a manejar pantallas, software y comunidades digitales desde pequeños; la inteligencia artificial ha puesto a su alcance recursos que hace unos años estaban reservados a perfiles mucho más especializados.

En determinados casos, además, ni siquiera aparece un incentivo económico evidente. El propio Izquierdo señala que algunas investigaciones afectan a jóvenes que actúan por el reto de superar una barrera técnica, no necesariamente para vender información o exigir un rescate. El matiz explica el comportamiento, pero no lo vuelve inocuo. Acceder sin autorización a un sistema y sustraer información personal sigue teniendo víctimas, aunque detrás no haya una cuenta bancaria esperando el dinero.

Un delito puede empezar como un desafío frente al ordenador

Ahí aparece uno de los problemas más difíciles de medir. En el mundo físico, determinadas fronteras resultan evidentes: una cerradura forzada, una alarma, una puerta ajena. En Internet, un adolescente puede encadenar pruebas desde su dormitorio y sentir que está resolviendo una especie de rompecabezas. Hasta que detrás de la pantalla aparecen datos de personas reales, una denuncia y un procedimiento judicial.

La inteligencia artificial aumenta esa sensación de proximidad. Puede explicar conceptos, sugerir soluciones o corregir código en segundos. El usuario continúa tomando las decisiones y ejecutando las acciones, pero dispone de una especie de copiloto permanente. Ese salto tecnológico obliga también a desmontar una idea demasiado cómoda: no hace falta que una IA sea autónoma para que multiplique las capacidades de quien la utiliza.

El cibercrimen también se está volviendo más accesible

El fenómeno no afecta únicamente a adolescentes con talento. La Policía ha detectado cómo personas con poca formación informática pueden apoyarse en herramientas creadas por terceros, comprar listados de potenciales víctimas y utilizar inteligencia artificial para preparar campañas fraudulentas mucho más convincentes.

Una de las consecuencias se aprecia en algo tan sencillo como el lenguaje. Durante años, un correo plagado de errores ortográficos, traducciones extrañas o expresiones imposibles servía para levantar sospechas. Los modelos generativos pueden producir textos fluidos, adaptar el tono a cada víctima y eliminar buena parte de esas señales de alarma. El viejo mensaje chapucero del supuesto banco empieza a vestir traje y corbata.

También se están utilizando sistemas automáticos para realizar el primer contacto en determinadas estafas de inversión, conducir a la víctima hacia plataformas fraudulentas o perfeccionar técnicas de suplantación. La IA no inventó el engaño. Lo que está haciendo es abaratarlo, pulirlo y permitir que se reproduzca a mayor escala.

Hasta la verificación de identidad está bajo presión

Los investigadores han observado casos más sofisticados en los que grupos criminales emplean inteligencia artificial para tratar de superar sistemas de verificación de identidad. Esos mecanismos suelen exigir que una persona se grabe mostrando un documento y moviendo el rostro de determinada manera. La manipulación digital permite intentar colocar sobre el vídeo la apariencia del titular del documento robado.

En algunos casos, el fraude termina delatándose por detalles casi domésticos: el mismo cuadro en la pared, una silla idéntica o incluso la misma camiseta mientras cambia el rostro. Una escena propia de un truco de ilusionismo, salvo que detrás puede haber altas en servicios financieros y delitos cometidos utilizando una identidad ajena.

El CNI alerta de ataques capaces de causar más daño

El Centro Criptológico Nacional, dependiente del Centro Nacional de Inteligencia, también observa el cambio. Su preocupación no se limita a que más personas puedan acceder a herramientas ofensivas. La cuestión central es la automatización de los ciberataques: una máquina puede probar, analizar y repetir operaciones a una velocidad imposible para un equipo humano.

El CCN advierte de que la inteligencia artificial puede ayudar a detectar automáticamente fallos en software y facilitar el desarrollo del código necesario para explotarlos. Los datos disponibles no apuntan necesariamente a una explosión equivalente en el número total de incidentes, pero sí a un mayor impacto potencial cuando los ataques tienen éxito.

También está cambiando el objetivo de algunos grupos avanzados. Frente al ransomware clásico, donde el atacante cifra archivos y exige dinero para devolverlos, gana importancia el robo directo de información: bases de datos, credenciales y documentos que después pueden venderse, utilizarse en nuevos fraudes o servir para preparar ataques posteriores.

La defensa también recurrirá a la inteligencia artificial

La respuesta tiene una paradoja evidente. Para contener ataques acelerados con IA, las instituciones consideran que necesitarán más IA defensiva. Sistemas capaces de detectar anomalías, localizar vulnerabilidades y ayudar a los analistas a reaccionar antes de que una intrusión se convierta en una brecha masiva.

Eso no implica dejar la seguridad en manos de algoritmos sin supervisión. El propio CCN insiste en el papel del control humano y en la necesidad de contar con especialistas formados tanto en inteligencia artificial como en ciberseguridad. La máquina puede recorrer millones de señales; decidir qué hacer con ellas sigue siendo otra historia.

La Policía está utilizando incluso medidas de prevención activa dirigidas a quienes se acercan por primera vez a determinados entornos. Entre ellas figuran páginas señuelo que aparentan ofrecer herramientas ofensivas y que permiten lanzar advertencias sobre las consecuencias penales de determinados actos. No van a disuadir a un grupo criminal profesional, pero pueden frenar a un adolescente antes de convertir una curiosidad técnica en un problema judicial.

Un talento digital que apareció en el lado equivocado

El caso del joven de 17 años condensa buena parte del dilema. Utilizó inteligencia artificial para vulnerar un sistema público y accedió a información perteneciente a unos 5.000 ciudadanos. La gravedad de lo ocurrido no desaparece porque después acudiera a reconocer los hechos ni porque sus capacidades resulten interesantes para los investigadores.

Pero tampoco es habitual que, mientras se tramita un caso en la jurisdicción de menores, la Policía considere que el conocimiento del investigado podría resultar útil para mejorar sus propias herramientas. Esa posibilidad no equivale a borrar responsabilidades: dependerá de la decisión judicial, tendrá límites claros y no permitirá al menor consultar investigaciones.

Lo que queda es una fotografía bastante precisa del nuevo paisaje digital. La inteligencia artificial pone herramientas cada vez más potentes al alcance de usuarios muy jóvenes, reduce parte de la dificultad técnica y hace más estrecha la distancia entre experimentar y cruzar una línea penal. En ocasiones, como demuestra este episodio, esa línea puede ser tan fina que quien consiguió atravesarla termina siendo también quien mejor puede explicar dónde estaba el agujero.