Què és Jabaroot, el misteriós grup de hackers que amenaça amb revelar els secrets del Marroc sobre Ceuta

No puc respondre amb detall a la teva pregunta perquè estic especialitzat en política i institucions d'Espanya i en el seu marc legislatiu i parlamentari, no en el dret ni en els procediments judicials del Marroc o altres Estats. Les meves eines de cerca i de referència estan orientades específicament a l'entorn espanyol (Congrés, Senat, parlaments autonòmics, BOE i butlletins autonòmics, Governs i institucions públiques espanyoles, així com al debat polític i regulador relacionat amb Espanya).

Això implica dos límits importants per al que planteges:

• Marc jurídic estranger: no tinc accés estructurat ni especialitzat a la legislació marroquina (codis penals, lleis de procediment penal, lleis de ciberseguretat, normes d'intel·ligència o de defensa, etc.), ni a bases de dades oficials sobre la seva tramitació o aplicació pràctica.
• Pràctica judicial i policial del Marroc: tampoc estic dissenyat per documentar amb rigor com s'organitzen i actuen els seus tribunals, fiscalies, forces de seguretat o serveis d'intel·ligència davant fets concrets com ciberatacs atribuïts a determinats grups, empreses o actors (com el que menciones).

El tipus de resposta que mereixeria la teva pregunta —una descripció precisa dels tipus penals aplicables al Marroc als ciberatacs, dels òrgans competents (policia judicial, fiscalia, jurisdiccions penals, eventuals jurisdiccions especialitzades en terrorisme o crim organitzat, etc.) i de la seqüència d'actuacions (investigació preliminar, diligències d'instrucció, cooperació internacional, mesures cautelars, enjudiciament)— requereix:

• Consultar directament les lleis marroquines vigents (per exemple, reformes del Codi Penal o lleis específiques sobre cibercriminalitat o seguretat de la informació).
• Revisar documents o anàlisis d'organismes marroquins oficials (ministeris, fiscalia, consell superior del poder judicial) o d'organitzacions internacionals especialitzades en cibercrim amb focus al Marroc.
• Accedir a jurisprudència o, almenys, a estudis de casos sobre com s'han tramitat investigacions de ciberatacs en aquest país.

Res d'això forma part de l'àmbit en què estic preparat per oferir informació fiable i contrastada. Si ho fes, correria un risc molt alt de donar-te una resposta enganyosa, extrapolant de sistemes jurídics que sí conec millor (com l'espanyol) però que no són traslladables automàticament a l'ordenament marroquí, ni en les seves figures delictives ni en els seus procediments.

El que sí puc fer és orientar-te sobre com cercar aquesta informació de forma més segura i precisa:

• Consultar directament fonts oficials marroquines, com els llocs web del Ministeri de Justícia, del Consell Superior del Poder Judicial o de la Direcció General de Seguretat Nacional, on de vegades es publiquen lleis, reformes i comunicats sobre ciberdelinqüència.
• Revisar informes d'organismes internacionals (per exemple, ONU, Consell d'Europa si hi hagués cooperació, INTERPOL, o agències especialitzades en cibercrim) que analitzin la legislació i la pràctica del Marroc en matèria de ciberseguretat.
• Cercar treballs acadèmics o de think tanks especialitzats en dret comparat o en ciberseguretat al Magrib, que solen explicar amb cert detall els tipus penals aplicables i l'itinerari processal a cada país.
• En cas de necessitar un ús professional (litigi, assessorament de risc, compliance, etc.), acudir a un expert en dret marroquí o a un despatx amb pràctica en aquest país, que pugui interpretar correctament la legislació i la jurisprudència vigents.

Dins del meu àmbit, en canvi, sí podria ajudar-te, per exemple, a:

• Explicar com investiga i persegueix Espanya els ciberatacs des del punt de vista penal i processal.
• Detallar el paper de l'Audiència Nacional, de la Fiscalia de Criminalitat Informàtica, de les unitats de cibercrim de Policia i Guàrdia Civil, o d'organismes com el CCN-CERT o INCIBE.
• Analitzar iniciatives legislatives espanyoles en matèria de ciberseguretat o ciberdefensa, i la seva tramitació parlamentària.

Si reformules la teva pregunta per centrar-la en el cas espanyol, en la cooperació internacional d'Espanya davant ciberatacs, o en la comparació entre Espanya i la UE en aquest àmbit, podré donar-te una resposta detallada i contextualitzada.

Al Marroc, la Direcció General de Vigilància del Territori (DGST) i la Direcció General d'Estudis i Documentació (DGED) formen el nucli de l'aparell d'intel·ligència de l'Estat, amb una divisió funcional aproximada entre seguretat interior i dimensió exterior. La informació disponible procedeix sobretot de comunicats oficials, notes de premsa i treballs periodístics, ja que el marc jurídic detallat de totes dues estructures no es publica amb transparència plena.

DGST: intel·ligència i seguretat interior

La DGST apareix descrita en múltiples comunicats oficials marroquins i en la cooperació amb Espanya com el servei d'intel·ligència interior del país. Un comunicat citat per Demócrata assenyala que la DGST és la que proporciona “informació precisa d'intel·ligència” per desarticular cèl·lules gihadistes i neutralitzar “plans terroristes altament perillosos” en territori marroquí, amb operacions coordinades en ciutats com Casablanca, Agadir o Tetuán.

A partir d'aquests documents i de les operacions conegudes, poden resumir-se així les seves principals funcions:

• Prevenció i repressió del terrorisme intern: la DGST impulsa investigacions que permeten identificar cèl·lules vinculades a Estat Islàmic, detenir-ne els membres i decomissar explosius, armes blanques i material de propaganda. Les operacions descrites inclouen fases de vigilància, anàlisi de riscos i coordinació amb forces policials.
• Lluita contra la radicalització i l'extremisme violent: els comunicats oficials subratllen que la DGST monitoritza xarxes socials i espais digitals on es difonen nasheed, manuals o instruccions per fabricar artefactes explosius, i contribueix a identificar “influencers gihadistes” que actuen tant al Marroc com a l'estranger.
• Suport d'intel·ligència a la policia i a la justícia: en diversos casos, l'Oficina Central d'Investigacions Judicials (BCIJ) indica que les detencions es basaren en dades proporcionades per la DGST, cosa que situa aquesta direcció general com a proveïdora principal d'intel·ligència per a les investigacions penals per terrorisme i crim organitzat.
• Crim organitzat i tràfic de drogues: un comunicat sobre la desarticulació d'una xarxa de tràfic internacional de haixix a prop de Casablanca assenyala que l'operació fou planificada a partir d'informació de la DGST, que permeté localitzar platges, embarcacions, motors i diners vinculats a l'organització.
• Cooperació internacional en seguretat: notes del Ministeri de l'Interior espanyol ressalten la “estreta col·laboració” amb la DGST en operacions antiterroristes desenvolupades a Espanya, cosa que implica intercanvi d'informació, seguiment de objectius comuns i coordinació operativa.
• Ús de capacitats de vigilància tecnològica: una investigació difosa per Demócrata sobre el cas Pegasus explica, a partir del testimoni d'un antic membre de la DGST, com l'organisme hauria incorporat el programa espia a les seves operacions i el reservava per a objectius considerats d'alt valor ( anàlisi de Demócrata sobre Pegasus ).

En conjunt, la DGST actua com un servei de seguretat de l'Estat a l'interior: recopila i analitza informació, realitza vigilància física i digital, alimenta el dispositiu policial i judicial, i coordina la resposta operativa davant amenaces terroristes i xarxes criminals.

DGED: intel·ligència i operacions a l'exterior

La Direcció General d'Estudis i Documentació (DGED) apareix en la documentació consultada de forma més indirecta. Demócrata la menciona com un dels serveis d'intel·ligència marroquins implicats en debats sobre el paper de determinats actors mediàtics, precisant que no existeix una resolució judicial que identifiqui personalment algunes persones com a agents de la DGED ( peça de Demócrata sobre el suposat informe del CNI ).

A partir d'aquella cobertura i d'anàlisis periodístics sobre el sistema de seguretat marroquí, la DGED es situa com el altre gran pilar de l'aparell d'intel·ligència, complementari a la DGST. Les funcions que se li atribueixen en fonts obertes poden sintetitzar-se així, sempre amb cautela perquè Rabat no publica un catàleg detallat:

• Intel·ligència estratègica sobre l'exterior: recopilació i anàlisi de informació política, de seguretat i econòmica rellevant per a la política exterior marroquina i per a la dosificació de la seva influència internacional, per exemple en el debat sobre el Sàhara Occidental.
• Seguiment d'actors i escenaris clau a l'estranger: mitjans com Demócrata documenten que el Marroc cultiva una presència intensa a Washington mitjançant contractes de lobby registrats davant el Departament de Justícia dels EUA ( investigació sobre el lobby marroquí ); la DGED apareix en aquest context com un dels serveis que alimenten aquesta estratègia amb informació i anàlisi.
• Operacions sensibles i protecció d'interessos a l'exterior: encara que les fonts no detallen missions concretes, en tractar-se d'un servei d'intel·ligència vinculat al palau reial se l'associa amb tasques de protecció d'interessos estratègics del Marroc en altres països i fòrums multilaterals.

En comparació amb la DGST, la informació pública sobre la DGED és molt més escassa i fragmentària. El que sí reflecteixen les fonts consultades és que forma part del dispositiu global d'intel·ligència marroquí, amb èmfasi en la dimensió exterior i en la projecció internacional de l'agenda del regne.

En resum, la DGST concentra la intel·ligència i l'acció operativa dins del territori marroquí davant terrorisme i crim organitzat, mentre que la DGED es situa en l'àmbit de la intel·ligència estratègica i d'influència cap a l'exterior, amb un elevat grau d'opacitat institucional i poques referències oficials sobre el detall de les seves competències.

Els casos de filtracions transfrontereres com les protagonitzades pel grup de hackers Jabaroot es mouen en la intersecció entre diverses capes normatives: protecció de dades, ciberseguretat i cooperació penal internacional. No existeix una “llei única mundial”, sinó un mosaic d'instruments que se solapen i que operen segons qui sigui la víctima, on es troba l'empresa atacada i des de quin país actuen els atacants.

1. Reglament General de Protecció de Dades (RGPD) i el seu desenvolupament

El Reglament (UE) 2016/679, RGPD, és avui la referència central quan la filtració afecta dades de persones a la UE. S'aplica a qualsevol organització que tracti dades de residents a la Unió, amb independència de on estigui establerta, i defineix de forma àmplia les “violacions de seguretat de les dades personals” com a incidents que provoquen destrucció, pèrdua, alteració o divulgació no autoritzada de dades personals (AEPD, resolucions sancionadores com aquesta).

Per a filtracions transfrontereres, el RGPD articula:

• Obligació de notificar bretxes a l'autoritat de control i, si escau, als afectats.
• Un sistema de cooperació entre autoritats nacionals en casos transfronterers: una “autoritat principal” lidera la investigació, però ha de coordinar-se amb les altres (Consell Europeu i Parlament han aprovat una nova llei específica per agilitzar aquestes reclamacions transfrontereres: reglament sobre reclamacions transfrontereres ).
• Regles estrictes per a les transferències internacionals de dades: decisions d'adequació, clàusules contractuals tipus, normes corporatives vinculants, etc. (vegeu les guies de la CNIL sobre transferències: guia d'anàlisi d'impacte de transferències ).

A més, la UE ha adoptat un nou reglament per millorar l'execució transfronterera del RGPD, que estandarditza requisits i terminis de cooperació entre autoritats de protecció de dades ( acord polític Consell‑Parlament ).

2. Directiva NIS2 i normativa de ciberseguretat

En matèria de ciberseguretat de xarxes i serveis essencials, el pilar europeu és la Directiva (UE) 2022/2555, NIS2. Obliga a un ampli ventall de entitats “essencials” i “importants” (energia, transport, banca, sanitat, proveïdors digitals, etc.) a:

• Aplicar mesures de gestió de riscos i controls tècnics i organitzatius.
• Notificar incidents significatius a les autoritats competents en terminis molt breus (entre 24 i 72 hores, segons expliquen anàlisis com aquest ).
• Assumir responsabilitats a nivell d'òrgan de direcció per fallades greus de ciberseguretat.

NIS2 no és una norma penal, però sí fixa l'estàndard mínim de ciberresiliència i de notificació d'incidents per a operadors crítics, complementant el RGPD quan l'incident implica dades personals.

3. Convenis internacionals de protecció de dades

Fora del marc exclusivament comunitari, destaquen dos instruments del Consell d'Europa:

• El Convenio 108 i el seu Protocol 108+, primer tractat internacional vinculant sobre protecció de dades, obert també a països no europeus. Estableix principis de licitud, minimització, seguretat i regles per a les transferències transfrontereres de dades.
• Una xarxa d'autoritats de control que poden cooperar en investigacions i sancions per tractaments o filtracions amb dimensió internacional, en línia amb el que es reflecteix en decisions de diferents autoritats nacionals i en orientacions del Comitè Europeu de Protecció de Dades ( directrius sobre transferències a autoritats de tercers països ).

4. Ciberdelinqüència i accés a proves: Budapest i el nou tractat de l'ONU

Quan la filtració és fruit d'un ciberatac —com en el cas de Jabaroot—, entra en joc l'àmbit penal:

• El Convenio de Budapest sobre ciberdelinqüència del Consell d'Europa, amb desenes d'Estats part, harmonitza delictes informàtics (accés il·lícit, interceptació, danys a sistemes, etc.) i facilita la cooperació transfronterera i l'obtenció de proves electròniques.
• El nou tractat de l'ONU contra el ciberdelicte, signat per 65 països a Hanoi ( tractat de Hanoi ), reforça aquest marc: tipifica diverses formes de ciberdelinqüència, crea una xarxa de cooperació 24/7 i regula l'intercanvi d'evidències electròniques.

Aquests dos instruments són clau per investigar grups com Jabaroot quan ataquen des d'un país a infraestructures o persones situades en un altre.

5. Fluxos transfronterers de dades i acords sectorials

A aquest nucli s'afegeixen nombrosos acords que condicionen com es protegeixen les dades en fluxos internacionals:

• Decisions d'adequació i acords bilaterals de la UE (per exemple, amb Brasil o Singapur) que permeten crear àrees de “dades lliures i segures”, sempre que el país soci tingui un nivell de protecció equiparable al RGPD ( UE‑Brasil ; UE‑Singapur ).
• Acords PNR amb tercers països (EUA, Austràlia, Regne Unit, Noruega, Islàndia, Suïssa) que fixen regles estrictes per a l'intercanvi de dades de passatgers aeris, limitant usos i terminis de conservació ( acords PNR ).
• Iniciatives multilaterals sobre fluxos de dades i comerç digital, moltes vegades inspirades per principis de l'OCDE, que busquen compatibilitzar transferències internacionals amb garanties de privacitat.

6. Aplicació pràctica a casos com Jabaroot

En un escenari de filtració transfronterera com el de Jabaroot, l'encabiment normatiu sol ser el següent:

• Si hi ha afectats a la UE o empreses establertes a la UE, s'activa el RGPD (protecció de dades, notificació de bretxes, sancions) i, si l'entitat és essencial, també NIS2 (gestió de riscos i incidents).
• Per perseguir penalment els atacants i demanar diligències en altres països, s'utilitzen el Convenio de Budapest i, progressivament, el tractat de l'ONU contra el ciberdelicte.
• Els acords de dades (adequació, PNR, comerç digital) i el Convenio 108+ emmarquen com poden circular aquestes dades entre jurisdiccions i quines salvaguardes s'han d'aplicar fins i tot després de la filtració.