Jabaroot (también estilizado como JabaRoot DZ o Jabaroot DZ) es el nombre utilizado desde abril de 2025 por un actor o posible conjunto de actores de ciberamenazas que ha reivindicado diversas intrusiones y filtraciones de datos relacionadas con instituciones públicas de Marruecos. Se presenta como argelino y ha difundido el material principalmente mediante canales de Telegram y foros de ciberdelincuencia.
Su primera acción conocida fue la filtración de datos de la Caja Nacional de Seguridad Social (CNSS), considerada entonces la mayor brecha de datos reconocida por las autoridades marroquíes.
Posteriormente reivindicó filtraciones relacionadas con una plataforma notarial, la CNOPS, el Ministerio de Justicia, la NARSA, altos cargos y el personal de los servicios de seguridad. Estas reivindicaciones han tenido grados de verificación distintos y no todas han supuesto una intrusión confirmada en los sistemas de la institución señalada. Aunque las autoridades y algunos medios marroquíes lo han vinculado con Argelia, no se han establecido de manera concluyente su composición, localización ni una eventual vinculación estatal.
El nombre procede del término árabe jabarūt, que puede traducirse como «poder» o «dominio».
Reivindicaciones sobre el Ministerio de Justicia y la NARSA (junio de 2025) El 9 de junio, Jabaroot afirmó haber accedido a información personal de unos 5000 jueces y 35 000 agentes judiciales. El Ministerio de Justicia negó categóricamente que los datos procedieran de sus sistemas y aseguró que sus plataformas no habían sufrido ninguna intrusión ni filtración.
El 12 de junio, el canal del grupo difundió cuatro documentos atribuidos a la Agencia Nacional de Seguridad Vial (NARSA): un comunicado de prensa, dos fotografías de vehículos por exceso de velocidad y un aviso de infracción. Jabaroot no indicó el volumen de los datos que decía haber obtenido y, en el momento de la publicación, ni la autenticidad de los documentos ni una intrusión en los sistemas de la NARSA habían sido confirmadas.
Contexto El grupo surgió en un momento de fuerte tensión entre Argelia y Marruecos, que rompieron relaciones diplomáticas en agosto de 2021 y mantienen una rivalidad ligada, entre otros asuntos, al conflicto del Sáhara Occidental. Jabaroot presentó su primer ataque como una represalia por la toma de control de la cuenta de la agencia de prensa argelina APS en la red social X, atribuida a actores vinculados a Marruecos, que fue renombrada «Sahara Marocain» antes de que la plataforma la suspendiera.
Historia
Ataque a la CNSS y al Ministerio de Inclusión Económica (abril de 2025) El 8 de abril de 2025, un usuario con el alias «Jabaroot» anunció en el foro BreachForums y en Telegram que había obtenido datos de la CNSS, el organismo que gestiona la seguridad social del sector privado marroquí. El material publicado constaba de unos 53 000 archivos PDF y dos ficheros CSV con información de cerca de 500 000 empresas y unos dos millones de trabajadores: nombres, números de identificación, salarios declarados y datos bancarios, en muchos casos con fecha de noviembre de 2024. Entre las entidades cuya documentación salió a la luz había organismos públicos y grandes empresas como AXA, Al Barid Bank o la Agencia Nacional de Seguridad del Medicamento.
Ese mismo día fue desfigurado el sitio web del Ministerio de Inclusión Económica, Pequeña Empresa, Empleo y Competencias. El ministerio restó importancia al incidente alegando que la página era meramente informativa y que no contenía datos personales; el grupo replicó con la publicación de más de 3000 nóminas que atribuía a empleados del departamento, cuya autenticidad este negó.
La CNSS admitió haber sufrido una serie de ciberataques, pero sostuvo que los documentos en circulación eran «a menudo falsos, inexactos o truncados». Dos días después, el portavoz del Gobierno, Mustapha Baitas, calificó los ataques de «acto criminal» cometido por «entidades hostiles al Reino de Marruecos», anunció que el asunto había pasado a la justicia y los interpretó como un intento de empañar los éxitos diplomáticos del país. La Comisión Nacional de Control de la Protección de Datos Personales (CNDP) abrió una investigación, recordó que la CNSS está sujeta a la ley 09-08 de protección de datos y advirtió de que consultar, conservar o difundir la información filtrada era ilegal.
El ataque provocó una reacción en cadena. El 10 de abril, grupos que se identifican como marroquíes, entre ellos «Phantom Atlas» y «Moroccan Cyber Forces», reivindicaron intrusiones en la caja de seguridad social de los trabajadores de correos y telecomunicaciones de Argelia.
Ataque a la ANCFCC (junio de 2025) El 2 de junio de 2025, Jabaroot anunció una intrusión en la Agencia Nacional de Conservación de la Propiedad, el Catastro y la Cartografía (ANCFCC). Aseguró haber obtenido unos 10 000 certificados de propiedad y alrededor de 20 000 documentos —escrituras de compraventa, documentos de estado civil, copias de documentos de identidad y pasaportes y documentación bancaria—, con un volumen total que cifró en unos cuatro terabytes. Esta vez justificó la acción como respuesta a la cobertura que medios marroquíes habían dado a una supuesta congelación de bienes de altos cargos argelinos en Francia, que el grupo calificó de «propaganda». Entre los primeros documentos difundidos había algunos que atribuía a Mohamed Yassine Mansouri, director general de la inteligencia exterior (DGED). La ANCFCC, que había cerrado su plataforma en línea el 14 de abril como medida de precaución tras el ataque a la CNSS, no se pronunció sobre la autenticidad del material.
Filtraciones sobre altos cargos y servicios de seguridad (2025) Durante los meses siguientes, el canal de Telegram del grupo publicó una lista de unos 3400 empleados de los palacios reales y documentación sobre propiedades inmobiliarias atribuidas al ministro de Asuntos Exteriores, Nasser Bourita, al director de la DGED, Yassine Mansouri, y a Mohamed Raji, número dos de la Dirección General de Vigilancia del Territorio (DGST), el servicio de inteligencia interior. La mayor parte de lo publicado hasta entonces resultó ser auténtico, lo que dio credibilidad a sus anuncios posteriores.
El 1 de septiembre de 2025, el rey Mohamed VI nombró al general de brigada Abdellah Boutrig director general de la Dirección General de Seguridad de los Sistemas de Información (DGSSI), en sustitución del general El Mostapha Rabii. El comunicado oficial presentó el relevo como parte del refuerzo de la ciberseguridad del Estado, si bien la prensa española lo relacionó directamente con las filtraciones de Jabaroot. Ese mismo mes, la CNSS sacó a concurso un contrato de 40 millones de dírhams para reforzar sus sistemas de seguridad informática.
Ataque a la CNOPS (abril de 2026) El 8 de abril de 2026, justo un año después de la brecha de la CNSS, el grupo reivindicó una intrusión en la Caja Nacional de Organismos de Previsión Social (CNOPS), la mutua de los funcionarios, de la que decía haber extraído «3 millones de líneas». Un fichero examinado por el diario Le360 contenía datos de cerca de un millón de personas presentadas como afiliados, con nombres, números de afiliación, documentos de identidad y direcciones. El presidente de la CNDP, Omar Seghrouchni, señaló que el caso estaba en fase de instrucción y habló de «una agenda política» detrás del ataque. En esas mismas fechas circuló la afirmación de que el grupo disponía de una base de datos con información personal de funcionarios vinculados al Palacio Real.
Crisis de Ceuta y filtración de datos de agentes (agosto de 2026) La entrada masiva de migrantes en Ceuta a finales de julio de 2026 marcó una nueva etapa. A partir del 7 de agosto, el grupo centró sus mensajes en esta crisis y exigió a Marruecos que pidiera disculpas, decretara luto nacional y suspendiera las elecciones legislativas convocadas para el 23 de septiembre. Sostuvo que la operación había sido planificada por el consejero real Fouad Ali el Himma y por Abdellatif Hammouchi, director de la DGST y de la Dirección General de Seguridad Nacional (DGSN), y eximió expresamente al monarca de cualquier responsabilidad.
El 18 de agosto publicó, a modo de muestra, los nombres y fechas de nacimiento de una veintena de presuntos agentes de la DGST y afirmó tener una base de datos con unos 70 000 nombres del personal de la DGSN y la DGST. Poco después, el canal fue expulsado de Telegram a petición de las autoridades marroquíes.
El 24 de agosto cumplió su amenaza y difundió listados con nombres, números de identificación, cargos y año de ingreso de más de 70 000 personas que presentaba como agentes de ambos organismos, junto con un fichero de unas 1400 con sus grados y números de identificación bancaria. El grupo lo describió como un «regalo» a Europa «y especialmente a España». Anunció además una segunda entrega de documentos con la que pretendía demostrar la participación de las autoridades marroquíes en los hechos del 30 de julio.
Atribución e identidad Jabaroot se define como argelino e incluye en su nombre el sufijo «DZ», código internacional de Argelia. Las autoridades marroquíes lo consideran un instrumento del Estado argelino, pero esta atribución no ha sido confirmada de manera independiente y otros análisis apuntan en direcciones distintas. La consultora Navakintelligence ha planteado que podría tratarse de un único exagente actuando por su cuenta, y la empresa de ciberseguridad Zecurion señaló en 2025 indicios que conducían a un ingeniero informático residente en Alemania que se identificaba como tunecino. El origen del grupo sigue sin aclararse.
Referencias
Categoría:Grupos de hackers Categoría:Ciberataques Categoría:Relaciones Argelia-Marruecos Categoría:Marruecos en 2025 Categoría:Marruecos en 2026