Qué es Jabaroot, el misterioso grupo de hackers que amenaza con revelar los secretos de Marruecos sobre Ceuta

No puedo responder con detalle a tu pregunta porque estoy especializado en política e instituciones de España y en su marco legislativo y parlamentario, no en el derecho ni en los procedimientos judiciales de Marruecos u otros Estados. Mis herramientas de búsqueda y de referencia están orientadas específicamente al entorno español (Congreso, Senado, parlamentos autonómicos, BOE y boletines autonómicos, Gobiernos e instituciones públicas españolas, así como al debate político y regulatorio relacionado con España).

Esto implica dos límites importantes para lo que planteas:

• Marco jurídico extranjero: no tengo acceso estructurado ni especializado a la legislación marroquí (códigos penales, leyes de procedimiento penal, leyes de ciberseguridad, normas de inteligencia o de defensa, etc.), ni a bases de datos oficiales sobre su tramitación o aplicación práctica.
• Práctica judicial y policial de Marruecos: tampoco estoy diseñado para documentar con rigor cómo se organizan y actúan sus tribunales, fiscalías, fuerzas de seguridad o servicios de inteligencia ante hechos concretos como ciberataques atribuidos a determinados grupos, empresas o actores (como el que mencionas).

El tipo de respuesta que merecería tu pregunta —una descripción precisa de los tipos penales aplicables en Marruecos a los ciberataques, de los órganos competentes (policía judicial, fiscalía, jurisdicciones penales, eventuales jurisdicciones especializadas en terrorismo o crimen organizado, etc.) y de la secuencia de actuaciones (investigación preliminar, diligencias de instrucción, cooperación internacional, medidas cautelares, enjuiciamiento)— requiere:

• Consultar directamente las leyes marroquíes vigentes (por ejemplo, reformas del Código Penal o leyes específicas sobre cibercriminalidad o seguridad de la información).
• Revisar documentos o análisis de organismos marroquíes oficiales (ministerios, fiscalía, consejo superior del poder judicial) o de organizaciones internacionales especializadas en cibercrimen con foco en Marruecos.
• Acceder a jurisprudencia o, al menos, a estudios de casos sobre cómo se han tramitado investigaciones de ciberataques en ese país.

Nada de eso forma parte del ámbito en el que estoy preparado para ofrecer información fiable y contrastada. Si lo hiciera, correría un riesgo muy alto de darte una respuesta engañosa, extrapolando de sistemas jurídicos que sí conozco mejor (como el español) pero que no son trasladables automáticamente al ordenamiento marroquí, ni en sus figuras delictivas ni en sus procedimientos.

Lo que sí puedo hacer es orientarte sobre cómo buscar esa información de forma más segura y precisa:

• Consultar directamente fuentes oficiales marroquíes, como los sitios web del Ministerio de Justicia, del Consejo Superior del Poder Judicial o de la Dirección General de Seguridad Nacional, donde a veces se publican leyes, reformas y comunicados sobre ciberdelincuencia.
• Revisar informes de organismos internacionales (por ejemplo, ONU, Consejo de Europa si hubiera cooperación, INTERPOL, o agencias especializadas en cibercrimen) que analicen la legislación y la práctica de Marruecos en materia de ciberseguridad.
• Buscar trabajos académicos o de think tanks especializados en derecho comparado o en ciberseguridad en el Magreb, que suelen explicar con cierto detalle los tipos penales aplicables y el itinerario procesal en cada país.
• En caso de necesitar un uso profesional (litigio, asesoramiento de riesgo, compliance, etc.), acudir a un experto en derecho marroquí o a un despacho con práctica en ese país, que pueda interpretar correctamente la legislación y la jurisprudencia vigentes.

Dentro de mi ámbito, en cambio, sí podría ayudarte, por ejemplo, a:

• Explicar cómo investiga y persigue España los ciberataques desde el punto de vista penal y procesal.
• Detallar el papel de la Audiencia Nacional, de la Fiscalía de Criminalidad Informática, de las unidades de cibercrimen de Policía y Guardia Civil, o de organismos como el CCN-CERT o INCIBE.
• Analizar iniciativas legislativas españolas en materia de ciberseguridad o ciberdefensa, y su tramitación parlamentaria.

Si reformulas tu pregunta para centrarla en el caso español, en la cooperación internacional de España frente a ciberataques, o en la comparación entre España y la UE en este ámbito, podré darte una respuesta detallada y contextualizada.

En Marruecos, la Dirección General de Vigilancia del Territorio (DGST) y la Dirección General de Estudios y Documentación (DGED) forman el núcleo del aparato de inteligencia del Estado, con una división funcional aproximada entre seguridad interior y dimensión exterior. La información disponible procede sobre todo de comunicados oficiales, notas de prensa y trabajos periodísticos, ya que el marco jurídico detallado de ambas estructuras no se publica con transparencia plena.

DGST: inteligencia y seguridad interior

La DGST aparece descrita en múltiples comunicados oficiales marroquíes y en la cooperación con España como el servicio de inteligencia interior del país. Un comunicado citado por Demócrata señala que la DGST es la que proporciona “información precisa de inteligencia” para desarticular células yihadistas y neutralizar “planes terroristas altamente peligrosos” en territorio marroquí, con operaciones coordinadas en ciudades como Casablanca, Agadir o Tetuán.

A partir de estos documentos y de las operaciones conocidas, pueden resumirse así sus principales funciones:

• Prevención y represión del terrorismo interno: la DGST impulsa investigaciones que permiten identificar células vinculadas a Estado Islámico, detener a sus miembros y decomisar explosivos, armas blancas y material de propaganda. Las operaciones descritas incluyen fases de vigilancia, análisis de riesgos y coordinación con fuerzas policiales.
• Lucha contra la radicalización y el extremismo violento: los comunicados oficiales subrayan que la DGST monitoriza redes sociales y espacios digitales donde se difunden nasheed, manuales o instrucciones para fabricar artefactos explosivos, y contribuye a identificar “influencers yihadistas” que actúan tanto en Marruecos como en el extranjero.
• Apoyo de inteligencia a la policía y a la justicia: en varios casos, la Oficina Central de Investigaciones Judiciales (BCIJ) indica que las detenciones se basaron en datos proporcionados por la DGST, lo que sitúa a esta dirección general como proveedor principal de inteligencia para las investigaciones penales por terrorismo y crimen organizado.
• Crimen organizado y tráfico de drogas: un comunicado sobre la desarticulación de una red de tráfico internacional de hachís cerca de Casablanca señala que la operación fue planificada a partir de información de la DGST, que permitió localizar playas, embarcaciones, motores y dinero vinculado a la organización.
• Cooperación internacional en seguridad: notas del Ministerio del Interior español resaltan la “estrecha colaboración” con la DGST en operaciones antiterroristas desarrolladas en España, lo que implica intercambio de información, seguimiento de objetivos comunes y coordinación operativa.
• Uso de capacidades de vigilancia tecnológica: una investigación difundida por Demócrata sobre el caso Pegasus explica, a partir del testimonio de un antiguo miembro de la DGST, cómo el organismo habría incorporado el programa espía a sus operaciones y lo reservaba para objetivos considerados de alto valor ( análisis de Demócrata sobre Pegasus ).

En conjunto, la DGST actúa como un servicio de seguridad del Estado en el interior: recopila y analiza información, realiza vigilancia física y digital, alimenta al dispositivo policial y judicial, y coordina la respuesta operativa frente a amenazas terroristas y redes criminales.

DGED: inteligencia y operaciones en el exterior

La Dirección General de Estudios y Documentación (DGED) aparece en la documentación consultada de forma más indirecta. Demócrata la menciona como uno de los servicios de inteligencia marroquíes implicados en debates sobre el papel de determinados actores mediáticos, precisando que no existe una resolución judicial que identifique personalmente a algunas personas como agentes de la DGED ( pieza de Demócrata sobre el supuesto informe del CNI ).

A partir de esa cobertura y de análisis periodísticos sobre el sistema de seguridad marroquí, la DGED se sitúa como el otro gran pilar del aparato de inteligencia, complementario a la DGST. Las funciones que se le atribuyen en fuentes abiertas pueden sintetizarse así, siempre con cautela porque Rabat no publica un catálogo detallado:

• Inteligencia estratégica sobre el exterior: recopilación y análisis de información política, de seguridad y económica relevante para la política exterior marroquí y para dosificación de su influencia internacional, por ejemplo en el debate sobre el Sáhara Occidental.
• Seguimiento de actores y escenarios clave en el extranjero: medios como Demócrata documentan que Marruecos cultiva una presencia intensa en Washington mediante contratos de lobby registrados ante el Departamento de Justicia de EE. UU. ( investigación sobre el lobby marroquí ); la DGED aparece en este contexto como uno de los servicios que alimentan esa estrategia con información y análisis.
• Operaciones sensibles y protección de intereses en el exterior: aunque las fuentes no detallan misiones concretas, al tratarse de un servicio de inteligencia vinculado al palacio real se le asocia con tareas de protección de intereses estratégicos de Marruecos en otros países y foros multilaterales.

En comparación con la DGST, la información pública sobre la DGED es mucho más escasa y fragmentaria. Lo que sí reflejan las fuentes consultadas es que forma parte del dispositivo global de inteligencia marroquí, con énfasis en la dimensión exterior y en la proyección internacional de la agenda del reino.

En resumen, la DGST concentra la inteligencia y la acción operativa dentro del territorio marroquí frente a terrorismo y crimen organizado, mientras que la DGED se ubica en el ámbito de la inteligencia estratégica y de influencia hacia el exterior, con un elevado grado de opacidad institucional y pocas referencias oficiales sobre el detalle de sus competencias.

Los casos de filtraciones transfronterizas como las protagonizadas por el grupo de hackers Jabaroot se mueven en la intersección entre varias capas normativas: protección de datos, ciberseguridad y cooperación penal internacional. No existe una “ley única mundial”, sino un mosaico de instrumentos que se solapan y que operan según quién sea la víctima, dónde se ubica la empresa atacada y desde qué país actúan los atacantes.

1. Reglamento General de Protección de Datos (RGPD) y su desarrollo

El Reglamento (UE) 2016/679, RGPD, es hoy la referencia central cuando la filtración afecta a datos de personas en la UE. Se aplica a cualquier organización que trate datos de residentes en la Unión, con independencia de dónde esté establecida, y define de forma amplia las “violaciones de seguridad de los datos personales” como incidentes que provocan destrucción, pérdida, alteración o divulgación no autorizada de datos personales (AEPD, resoluciones sancionadoras como esta).

Para filtraciones transfronterizas, el RGPD articula:

• Obligación de notificar brechas a la autoridad de control y, en su caso, a los afectados.
• Un sistema de cooperación entre autoridades nacionales en casos transfronterizos: una “autoridad principal” lidera la investigación, pero debe coordinarse con las demás (Consejo Europeo y Parlamento han aprobado una nueva ley específica para agilizar estas reclamaciones transfronterizas: reglamento sobre reclamaciones transfronterizas ).
• Reglas estrictas para las transferencias internacionales de datos: decisiones de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes, etc. (véanse las guías de la CNIL sobre transferencias: guía de análisis de impacto de transferencias ).

Además, la UE ha adoptado un nuevo reglamento para mejorar la ejecución transfronteriza del RGPD, que estandariza requisitos y plazos de cooperación entre autoridades de protección de datos ( acuerdo político Consejo‑Parlamento ).

2. Directiva NIS2 y normativa de ciberseguridad

En materia de ciberseguridad de redes y servicios esenciales, el pilar europeo es la Directiva (UE) 2022/2555, NIS2. Obliga a un amplio abanico de entidades “esenciales” e “importantes” (energía, transporte, banca, sanidad, proveedores digitales, etc.) a:

• Aplicar medidas de gestión de riesgos y controles técnicos y organizativos.
• Notificar incidentes significativos a las autoridades competentes en plazos muy breves (entre 24 y 72 horas, según explican análisis como este ).
• Asumir responsabilidades a nivel de órgano de dirección por fallos graves de ciberseguridad.

NIS2 no es una norma penal, pero sí fija el estándar mínimo de ciberresiliencia y de notificación de incidentes para operadores críticos, complementando al RGPD cuando el incidente implica datos personales.

3. Convenios internacionales de protección de datos

Fuera del marco exclusivamente comunitario, destacan dos instrumentos del Consejo de Europa:

• El Convenio 108 y su Protocolo 108+, primer tratado internacional vinculante sobre protección de datos, abierto también a países no europeos. Establece principios de licitud, minimización, seguridad y reglas para las transferencias transfronterizas de datos.
• Una red de autoridades de control que pueden cooperar en investigaciones y sanciones por tratamientos o filtraciones con dimensión internacional, en línea con lo que se refleja en decisiones de distintas autoridades nacionales y en orientaciones del Comité Europeo de Protección de Datos ( directrices sobre transferencias a autoridades de terceros países ).

4. Ciberdelincuencia y acceso a pruebas: Budapest y el nuevo tratado de la ONU

Cuando la filtración es fruto de un ciberataque —como en el caso de Jabaroot—, entra en juego el ámbito penal:

• El Convenio de Budapest sobre ciberdelincuencia del Consejo de Europa, con decenas de Estados parte, armoniza delitos informáticos (acceso ilícito, interceptación, daños a sistemas, etc.) y facilita la cooperación transfronteriza y la obtención de pruebas electrónicas.
• El nuevo tratado de la ONU contra el ciberdelito, firmado por 65 países en Hanói ( tratado de Hanói ), refuerza ese marco: tipifica varias formas de ciberdelincuencia, crea una red de cooperación 24/7 y regula el intercambio de evidencias electrónicas.

Estos dos instrumentos son clave para investigar a grupos como Jabaroot cuando atacan desde un país a infraestructuras o personas situadas en otro.

5. Flujos transfronterizos de datos y acuerdos sectoriales

A ese núcleo se añaden numerosos acuerdos que condicionan cómo se protegen los datos en flujos internacionales:

• Decisiones de adecuación y acuerdos bilaterales de la UE (por ejemplo, con Brasil o Singapur) que permiten crear áreas de “datos libres y seguros”, siempre que el país socio tenga un nivel de protección equiparable al RGPD ( UE‑Brasil ; UE‑Singapur ).
• Acuerdos PNR con terceros países (EE. UU., Australia, Reino Unido, Noruega, Islandia, Suiza) que fijan reglas estrictas para el intercambio de datos de pasajeros aéreos, limitando usos y plazos de conservación ( acuerdos PNR ).
• Iniciativas multilaterales sobre flujos de datos y comercio digital, muchas veces inspiradas por principios de la OCDE, que buscan compatibilizar transferencias internacionales con garantías de privacidad.

6. Aplicación práctica a casos como Jabaroot

En un escenario de filtración transfronteriza como el de Jabaroot, el encaje normativo suele ser el siguiente:

• Si hay afectados en la UE o empresas establecidas en la UE, se activa el RGPD (protección de datos, notificación de brechas, sanciones) y, si la entidad es esencial, también NIS2 (gestión de riesgos e incidentes).
• Para perseguir penalmente a los atacantes y pedir diligencias en otros países, se utilizan el Convenio de Budapest y, progresivamente, el tratado de la ONU contra el ciberdelito.
• Los acuerdos de datos (adecuación, PNR, comercio digital) y el Convenio 108+ enmarcan cómo pueden circular esos datos entre jurisdicciones y qué salvaguardas deben aplicarse incluso después de la filtración.