Nadie sabe con certeza quién es Jabaroot. No hay cara, no hay nombre verificado, no hay organización identificable. Lo que sí hay es un rastro de filtraciones coordinadas contra instituciones marroquíes que se ha intensificado durante más de un año y que culminó, según el grupo, con los datos personales de 70.000 miembros de los dos principales organismos de seguridad de Marruecos: la DGST (vigilancia del territorio) y la DGSN (policía nacional).
La operación tiene nombre: OP_CEUTA. Y el grupo la presentó explícitamente como «un regalo para Europa y, en particular, para España», vinculándola a la crisis migratoria de Ceuta. Si los datos son auténticos, es la mayor filtración conocida de personal de inteligencia marroquí. Si no lo son del todo, sigue siendo una operación de presión geopolítica de considerable sofisticación.
¿Quién es Jabaroot y cuándo apareció?
El grupo irrumpió en escena el 8 de abril de 2025, publicando en BreachForums y en Telegram para atribuirse un ataque a la Caja Nacional de Seguridad Social (CNSS) de Marruecos. La empresa de ciberseguridad CybelAngel documentó la filtración: más de 53.000 archivos PDF y dos grandes conjuntos de datos CSV que abarcaban a cerca de dos millones de empleados y casi medio millón de empresas, con salarios, números de identificación y datos bancarios en su mayoría en texto plano.
El grupo presentó ese ataque como represalia por el hackeo previo de la cuenta de X de la Agencia de Noticias de Argelia, vinculándolo a la disputa del Sáhara Occidental. Esa primera acción marcó el patrón que se repetiría: filtraciones masivas de datos de instituciones marroquíes que coinciden temporalmente con momentos de tensión política entre Marruecos y sus vecinos.
En junio de 2025 vino la segunda oleada. Jabaroot se atribuyó una brecha en Tawtik, la plataforma de digitalización notarial de Marruecos, y en la ANCFCC, la agencia nacional del registro de la propiedad. Ambas tuvieron que suspender servicios y volver a trámites en papel. Días después, el grupo afirmó haber accedido a los sistemas del Ministerio de Justicia marroquí, con datos de unos 5.000 magistrados y 35.000 empleados judiciales.
¿Son auténticos los datos de los 70.000 agentes de inteligencia?
Aquí la prudencia es obligatoria. Hackmanac y Euronews reportaron la filtración de OP_CEUTA cuando el grupo la publicó, pero desde Undercode News apuntaron lo que cualquier analista de seguridad señalaría: una afirmación en un foro no equivale a una brecha confirmada. El origen de los datos —si proceden de una intrusión real en la DGST/DGSN o de fuentes administrativas anteriores ya comprometidas— sigue sin verificar de forma independiente.
Lo que sí está documentado es la magnitud de las filtraciones anteriores. El ataque a la CNSS con datos de dos millones de empleados fue verificado por empresas de ciberseguridad independientes. El patrón de Jabaroot es de filtraciones reales, no de anuncios vacíos. Si la filtración de los 70.000 agentes es del mismo nivel que las anteriores, las consecuencias para el aparato de seguridad marroquí son significativas: nombres, afiliaciones, potencialmente direcciones y datos de contacto de personal de inteligencia de alto valor.
Jabaroot también amenazó con publicar la base de datos completa si el conflicto de Ceuta no se resuelve «en sus propios términos», según Euronews. Eso convierte la filtración en una herramienta de presión geopolítica, no solo en una demostración de capacidad técnica.
¿Quién puede estar detrás?
Hay tres hipótesis principales, ninguna confirmada.
La primera es la que el propio grupo propagó: un colectivo de «patriotas argelinos» que actúa por motivación geopolítica en el contexto del conflicto entre Argelia y Marruecos por el Sáhara Occidental. Es la narrativa más sencilla y la menos verificable.
La segunda, planteada por la consultora Navakintelligence según compartía El Confidencial, es que Jabaroot es en realidad un único exoperativo de inteligencia que actúa por su cuenta con conocimiento interno de sistemas marroquíes. Eso explicaría la coordinación de las filtraciones y el acceso a datos que van más allá de lo que un grupo externo sin información privilegiada podría obtener.
La tercera, señalada por la empresa de seguridad Zecurion en 2025, apunta a haber rastreado pistas hasta un ingeniero informático afincado en Alemania que se identifica como tunecino. Esa hipótesis mezcla la segunda con una dimensión de diáspora norteafricana que añade complejidad a la atribución.
La desaparición del canal original de Telegram de Jabaroot y la aparición de nuevas cuentas con el mismo nombre pero diferente tono complica aún más cualquier conclusión: puede indicar que el grupo original fue comprometido o infiltrado, que hay múltiples actores usando el mismo nombre, o simplemente que el operador cambió de plataforma por seguridad operacional.
Hemos comprobado en coberturas de grupos de hacktivismo que la incertidumbre sobre la atribución es frecuentemente una estrategia deliberada, no una consecuencia inevitable de la naturaleza del anonimato digital. Grupos como Anonymous histórico o APT28 mantuvieron ambigüedad sobre su composición exactamente porque esa ambigüedad les daba libertad de operación y dificultaba la respuesta diplomática o legal de sus objetivos.
¿Qué significa OP_CEUTA para España?
La vinculación explícita de Jabaroot a la crisis migratoria de Ceuta convierte esto en algo más que un incidente de ciberseguridad. Si la filtración es auténtica y los datos de los 70.000 agentes son verificables, el Estado español —y los servicios de inteligencia europeos— tienen acceso potencial a una base de datos del personal de seguridad marroquí que normalmente es clasificada.
El uso de esa información por parte de las agencias de inteligencia españolas o europeas, si ocurriera, entraría en un territorio legal y diplomático extremadamente delicado: usar datos obtenidos mediante un ciberataque contra un tercer país puede violar convenios de cooperación en seguridad incluso cuando el objetivo es un país con quien hay tensión migratoria activa.
Hemos comprobado en coberturas de ciberoperaciones con dimensión geopolítica que la capa de negación plausible que ofrecen los hacktivistas anónimos es frecuentemente conveniente para los estados que teóricamente se benefician de la filtración sin ser responsables de ella.
Hay también el riesgo contrario: que Marruecos lo interprete como prueba de que España está involucrada en la operación, o que utiliza información derivada de ella. El contexto de la crisis de Ceuta ya ha generado suficiente tensión bilateral. Una filtración de esta magnitud añade una capa de desconfianza que ninguna de las dos partes tiene interés en gestionar públicamente.
La seguridad de las contraseñas y las credenciales digitales es el punto de entrada más común en los ataques a instituciones gubernamentales. El phishing es el vector más frecuente en las filtraciones documentadas de instituciones públicas marroquíes, y la escala de la filtración de la CNSS —53.000 archivos de una agencia que gestiona datos de millones de empleados— sugiere que hubo acceso a sistemas administrativos con credenciales válidas, no solo explotación de vulnerabilidades técnicas. El estándar de passkeys para autenticación sin contraseña es exactamente el tipo de medida que habría reducido la superficie de ataque disponible para Jabaroot, si las instituciones marroquíes lo hubieran adoptado.