La nota de la Dirección General de la Policía es la principal fuente. EFE y Europa Press la difunden ese mismo día.
El script en la tienda
Se colaron en la plataforma de ventas de un operador de telefonía móvil. Un script —un archivo de texto con instrucciones— aprovechó una vulnerabilidad que la empresa no había detectado y manipuló el código de la tienda online para que se generara un pedido de entrega sin que se realizara el pago. Una vez creado el pedido, los teléfonos se enviaban por toda España a puntos de recogida reservados a nombre de otras personas. Se incluía la identificación por vídeo: se sentaban frente a la cámara haciéndose pasar por los centenarios cuyos datos tenían en su poder.
El operador no aparece nombrado en el comunicado policial. La vulnerabilidad se describe como desconocida hasta el momento de la investigación.
De Madrid a Italia en una hora
El presunto cabecilla abandonó España cuando se dio cuenta de que lo estaban vigilando. Una orden de detención europea, SIRENE, y la unidad cibernética de la Polizia di Stato italiana lo detuvieron aproximadamente una hora después de que se emitiera la orden. Cuatro registros: tres en Madrid, uno en Italia. Unos 13 000 euros en efectivo, documentos oficiales de otras personas, dispositivos electrónicos.
Cincuenta identidades: ese es el lado humano. Cuentas bancarias y líneas telefónicas a nombre de personas que nunca entraron en una tienda. Algunas de esas personas tenían más de cien años. No se trata de una floritura técnica. Es a quién se le roba cuando se necesita una identidad limpia que supere una verificación por vídeo y un registro de la tarjeta SIM.
No se menciona ninguna empresa de telecomunicaciones. No hay ningún CVE público. No hay ningún volcado de las 50 identidades. Hay un script de tienda, un albarán de entrega que no debería haber existido, siete detenciones y una orden judicial que se ejecutó en Italia en una hora.
