El grupo de hackers JabaROOT DZ ha elevado un nuevo escalón su ofensiva contra Marruecos con la publicación de datos personales de supuestos miembros de los servicios de seguridad e inteligencia del reino y la amenaza de divulgar nueva información sobre sus operaciones. La filtración llega después de meses de ataques contra organismos públicos marroquíes y pone ahora el foco directamente sobre el núcleo del aparato de seguridad de Mohamed VI.

JabaROOT ha vinculado expresamente esta nueva publicación con la crisis de Ceuta y amenaza con revelar más información sobre los servicios de seguridad marroquíes. El grupo exige explicaciones sobre la actuación de las autoridades del reino y pretende convertir los datos sustraídos en una herramienta de presión política.

La identidad de las personas incluidas en los listados y su condición de agentes de inteligencia no ha podido ser verificada de forma independiente, por lo que los nombres difundidos deben considerarse por el momento como supuestos miembros de los servicios de seguridad marroquíes.

Escudo Digital lleva meses siguiendo el rastro de JabaROOT

La actual filtración adquiere una especial relevancia porque Escudo Digital lleva meses documentando la actividad de JabaROOT y la progresiva sensibilidad de la información que el grupo asegura haber sustraído a instituciones marroquíes.

En abril de 2026, este medio informó de que un hacker aseguraba disponer de una base de datos con información personal de funcionarios vinculados al Palacio Real de Marruecos, incluidos números de identificación y direcciones. Aquella información planteaba ya una cuestión fundamental: si los datos formaban parte de una nueva intrusión o si procedían de una cadena de filtraciones anteriores sufridas por organismos públicos del país.

Pero la investigación de Escudo Digital había comenzado incluso antes. En agosto de 2025, este medio publicó que las nuevas filtraciones de JabaROOT DZ estaban poniendo contra las cuerdas a altos funcionarios marroquíes. El artículo documentaba entonces cómo el grupo había pasado de la filtración de datos de ciudadanos a atacar directamente instituciones estratégicas del Estado y a publicar información relacionada con algunos de los principales responsables políticos y de seguridad del reino.

La investigación señalaba que, tras el ataque de junio contra el Ministerio de Justicia, JabaROOT había comenzado a publicar parcialmente en la dark web más de cuatro terabytes de datos del sistema notarial marroquí TAWTIK, entre ellos más de diez millones de títulos de propiedad y alrededor de 200.000 documentos confidenciales.

El alcance de aquellas filtraciones ya permitía anticipar el problema al que se enfrenta ahora Marruecos: el grupo no estaba obteniendo únicamente datos de ciudadanos, sino información capaz de comprometer a jueces, funcionarios, responsables políticos y miembros del aparato de seguridad.

De millones de ciudadanos al corazón de la inteligencia marroquí

La evolución de JabaROOT resulta especialmente significativa. En abril de 2025, el grupo publicó datos procedentes de la Caja Nacional de Seguridad Social (CNSS). El INCIBE documentó entonces más de 53.000 archivos que contenían registros de cerca de medio millón de empresas y aproximadamente dos millones de empleados. Entre la información expuesta figuraban números de identificación, salarios, relaciones laborales y datos de contacto.

En junio, JabaROOT pasó a atacar otros organismos. La compañía de ciberinteligencia CybelAngel documentó la filtración atribuida al grupo contra la Agencia Nacional de Conservación de la Propiedad Inmobiliaria (ANCFCC) y señaló que el ataque se producía dentro de una ola de operaciones contra entidades marroquíes en un contexto de creciente tensión entre Marruecos y Argelia. La empresa, además, advirtió de que la legitimidad y el alcance completo de aquella filtración no podían darse por confirmados en su totalidad.

Ese mismo mes, JabaROOT aseguró haber accedido a los sistemas del Ministerio de Justicia de Marruecos y haber obtenido información de unos 5.000 magistrados y cerca de 35.000 empleados del sector judicial. La reivindicación fue recogida entonces por medios especializados en el Magreb.

Y en agosto de 2025, Escudo Digital ya advertía del salto cualitativo que suponía la publicación de información relacionada con Mohamed Raji, considerado uno de los hombres más poderosos de la DGST y conocido dentro del aparato de seguridad como “Monsieur écoutes”, por su responsabilidad en operaciones de vigilancia y escuchas.

La secuencia es clara: JabaROOT ha ido desplazando el centro de gravedad de sus filtraciones desde los datos masivos de ciudadanos hasta la información personal, patrimonial y profesional de personas situadas cada vez más cerca del núcleo del poder marroquí.

La filtración de Raji, una pieza clave

La publicación de datos de Mohamed Raji fue especialmente sensible porque afectaba a un hombre situado en el corazón de la inteligencia marroquí. Aunque el elemento más relevante era el hecho de que algunas de las informaciones difundidas apuntaban a una posible fractura dentro del propio aparato de seguridad marroquí.

Las filtraciones alimentaron las especulaciones sobre una pugna entre los servicios de inteligencia interior y exterior, la DGST y la DGED. Escudo Digital advertía entonces de que se trataba de una confrontación basada en información filtrada y no confirmada oficialmente, pero señalaba que la publicación de documentos internos estaba poniendo bajo presión a las estructuras de seguridad del reino.

Ahora una de las principales incógnitas es si se trata de un ataque externo o de una brecha desde dentro. 

El hecho de que JabaROOT pueda publicar información aparentemente tan detallada sobre funcionarios, jueces, responsables políticos y miembros de los servicios de inteligencia no demuestra por sí mismo que el grupo haya penetrado directamente en todos los sistemas afectados.

La compañía de ciberseguridad CybelAngel ya advertía en junio de 2025, al analizar una de las filtraciones atribuidas a JabaROOT, de que la legitimidad y el alcance completo de los datos publicados debían ser objeto de investigación adicional.

Y esta cautela resulta especialmente importante ahora. La publicación de datos personales auténticos tampoco demuestra automáticamente que el atacante haya obtenido toda esa información mediante una única intrusión.

Una hipótesis posible es que JabaROOT esté acumulando información procedente de diferentes brechas y fuentes comprometidas y utilizándola posteriormente para construir campañas de presión contra el régimen.

Otra posibilidad, planteada en análisis periodísticos anteriores, es que parte de la información pueda proceder de fuentes internas con acceso a organismos de seguridad.

En cualquiera de los dos casos, el problema para Rabat es considerable: la información que está apareciendo públicamente afecta ya a estructuras que deberían encontrarse entre las más protegidas del Estado.