Tienen 15, 17 y, a veces, 22 años. No siempre se ajustan a la imagen tradicional del pirata informático solitario, el brillante matemático o el experto en redes. Algunos aún están en el instituto, muchos se definen como autodidactas. Sin embargo, sus seudónimos aparecen ahora en casos de fugas masivas de datos, extorsión y reventa en foros de ciberdelincuentes.

Los casos recientes en torno a Dumpsec, el ataque a Free o a la ANTS dibujan una misma tendencia: perfiles cada vez más jóvenes parecen capaces de causar daños que no guardan relación con su experiencia ni con su nivel técnico real. Esto no significa que estos adolescentes se hayan convertido en genios de la programación. Más bien revela una transformación más profunda: la ciberdelincuencia se ha industrializado, equipado y socializado. La inteligencia artificial, sin ser la única causa del fenómeno, contribuye a rebajar aún más el umbral de acceso.

El hacker de ayer tenía que aprender, investigar, experimentar, probar y comprender por sí mismo. Al de hoy se le puede ayudar en cada paso. Ya no necesita necesariamente dominar toda la cadena de un ataque: puede descargar scripts, utilizar herramientas listas para usar, comprar accesos o pedirle a una IA que corrija código, supere una dificultad, explique un error o redacte un mensaje creíble.

En los años 80, 90 y a principios de la década de 2000, los jóvenes hackers famosos solían actuar movidos por un espíritu de desafío técnico. Richard Pryce, Matthew Bevan, Jonathan James, Michael Calce o Kevin Mitnick alimentaron el imaginario del hacker adolescente: un joven, solo frente a instituciones consideradas poderosas, guiado por la curiosidad, el ego o el gusto por la transgresión.

Estos casos ya eran graves, pues ponían de manifiesto la fragilidad de sistemas que se suponían seguros. Pero a menudo formaban parte de una cultura del trofeo: penetrar en una red, demostrar que se era capaz de hacerlo, ganarse el reconocimiento en un círculo reducido o dañar la imagen de una gran organización. Incluso cuando las consecuencias eran graves, la motivación principal no siempre era económica.

Hoy en día, los objetivos han cambiado. Los jóvenes hackers ya no buscan solo «entrar». Quieren extraer, reclamar y vender. Los datos personales se han convertido en una mercancía. Una dirección, un número de teléfono, un IBAN, un identificador o un expediente administrativo pueden revenderse, cruzarse y reutilizarse en otros fraudes.

Esta es una de las lecciones que se desprenden de los recientes casos franceses. En el caso de Free, se pusieron a la venta los datos de millones de clientes, con un componente de extorsión. En el caso Dumpsec, se sospecha que el grupo ha atacado a más de 1 500 entidades y se ha especializado en la extracción y reventa de datos sensibles. En el caso de la ANTS, la reivindicación también va acompañada de una puesta en escena en foros frecuentados por actores del cibercrimen.

El hacker adolescente de antaño a veces quería demostrar que podía entrar en la fortaleza. El de hoy quiere salir de ella con la base de datos, publicar un extracto para demostrar su valía y, a continuación, venderla.

Sería demasiado simplista afirmar que la IA «crea» a los jóvenes ciberdelincuentes. La fascinación por la piratería informática, las comunidades en línea y la búsqueda de reconocimiento existían mucho antes de ChatGPT. Los «script kiddies», esos usuarios poco cualificados que utilizan herramientas diseñadas por otros, tampoco son nada nuevo.

Lo que cambia es la potencia de la ayuda disponible. La inteligencia artificial puede actuar como profesor, corrector o asistente de programación. Un adolescente que no entienda un comando o un error puede pedir una explicación inmediata. 

Quien quiera redactar un mensaje de extorsión o una reivindicación pseudoprofesional puede elaborar un texto más creíble de lo que habría hecho sin la IA.

Esta evolución difumina la frontera entre la competencia real y el rendimiento aparente. Algunos jóvenes sospechosos parecen construirse una imagen de ciberdelincuente sofisticado sin disponer de un nivel técnico excepcional. Por lo tanto, la IA no necesita convertir a un adolescente en un experto para volverse peligrosa: basta con que reduzca la brecha entre la intención y la acción.

La juventud de los hackers recientes no se explica únicamente por la técnica. También se explica por los lugares donde aprenden, se muestran y se comparan. Discord, Telegram y los foros especializados no son solo espacios de intercambio. A veces se convierten en escenarios donde la ciberdelincuencia se vive como un juego de estatus.

En estos espacios, se reivindican los ataques, circulan los seudónimos y las bases de datos se convierten en pruebas de credibilidad. Publicar una muestra equivale a presentar una tarjeta de visita. La filtración, por tanto, ya no es solo un producto: se convierte también en una puesta en escena. Hay que ser visto, citado, reconocido y, a veces, incluso temido.

Siguiendo esta lógica, la notoriedad puede convertirse en una motivación casi tan importante como el dinero. A algunos jóvenes sospechosos se les describe como «en busca de notoriedad», «autodidactas» y «totalmente desinhibidos». Esta actitud refleja, sobre todo, una percepción errónea del riesgo. Muchos se creen protegidos por un seudónimo, una VPN, una cuenta de Telegram o la aparente distancia que ofrece Internet. Confunden el anonimato relativo con la impunidad.

Esta discrepancia es fundamental. Estos jóvenes hackers pueden ser lo suficientemente competentes como para causar daño, pero no siempre lo suficientemente maduros como para valorar la gravedad y la trazabilidad de sus actos. Subestiman la cooperación entre los servicios de investigación, la conservación de las huellas técnicas o la capacidad de la policía para cruzar pistas. La misma necesidad de reconocimiento que les empuja a reivindicar sus actos acaba, a veces, por delatarlos.

Por el contrario, los ciberdelincuentes experimentados razonan más a largo plazo. Buscan limitar los riesgos, organizar sus actividades y mantener la discreción. En el ecosistema del ransomware, algunos grupos funcionan casi como franquicias, con funciones específicas que van desde el acceso inicial hasta la negociación con las víctimas.

Quizá lo más preocupante no sea que los adolescentes mejoren técnicamente, sino que ya no necesitan serlo tanto como antes, lo que plantea la cuestión del número. 

Existe una gran tentación de tratar a estos jóvenes hackers únicamente como delincuentes digitales. Los hechos son graves, las víctimas numerosas y las consecuencias duraderas. Una filtración de datos no desaparece tras la detención de un sospechoso. Sigue circulando, alimentando fraudes, phishing o suplantación de identidad, a veces durante años.

Pero la juventud de los implicados también obliga a la sociedad a plantearse las preguntas adecuadas sobre la sensibilización y la educación. ¿Cómo evitar que los adolescentes atraídos por la tecnología, la fama y el dinero fácil caigan en la ciberdelincuencia? ¿Cómo hacerles comprender que robar una base de datos no es un juego, sino un delito grave que supone además una violación de la privacidad? ¿Cómo transformar la curiosidad técnica en una competencia útil en lugar de en delincuencia?

La respuesta pasa por la escuela, las familias, las plataformas, las empresas y la voluntad política. Es necesario desarrollar en nuestros jóvenes, lo antes posible, una cultura de la ética digital: explicar qué consecuencias tiene una fuga de datos y recordar a qué se exponen tanto las víctimas como los autores. También hay que crear vías legales de reconocimiento: concursos de ciberseguridad, programas de bug bounty supervisados, clubes, cursos de formación o programas de mentoría.

El auge de los jóvenes hackers no es, por tanto, un caso aislado. Es el síntoma de un entorno en el que las herramientas son más accesibles, los datos más monetizables, las comunidades más visibles y la IA está al alcance de todos.

La respuesta a este fenómeno también debe ser cultural. Porque detrás de cada adolescente que sueña con convertirse en una leyenda de la dark web, a veces hay un futuro experto en ciberseguridad. Pero hay que demostrarle lo antes posible que el reconocimiento se puede ganar de otra forma que no sea mediante el robo, la filtración y la amenaza.