Crime-as-a-Service (CaaS)

900 euros al dia. Eso costaba alquilar el kit completo de GXC Team, una operacion de cibercrimen-como-servicio de habla hispana que ofrecio durante meses mas de 250 paginas web de phishing para suplantar a 36 bancos espanoles, 9 aplicaciones de malware Android para interceptar codigos OTP, y un panel de control con soporte tecnico via Telegram. Su lema interno, segun la investigacion de Group-IB publicada en agosto de 2024, era “robarle todo a las abuelas”. GXC Team no es un caso aislado: es el ejemplo mas documentado de como el cibercrimen ha mutado de lobos solitarios a una industria de servicios profesionalizados donde cualquiera con dinero puede comprar la capacidad de atacar, sin escribir una sola linea de codigo.

Definicion tecnica

Crime-as-a-Service (CaaS) es un modelo de negocio ilicito en el que actores maliciosos desarrollan y comercializan herramientas, infraestructura y servicios de ciberataque listos para usar, ofreciendolos a otros criminales (los “clientes”) mediante suscripciones, licencias temporales o pago por uso. El concepto replica deliberadamente el modelo SaaS (Software-as-a-Service) legitimo: paneles de control web, manuales de usuario, soporte tecnico, actualizaciones periodicas e incluso garantias de servicio.

La consecuencia directa es la democratizacion del cibercrimen: atacantes sin conocimientos tecnicos avanzados (denominados “script kiddies” o “afiliados”) pueden ejecutar campanas sofisticadas de phishing, ransomware o fraude financiero comprando el servicio completo a los desarrolladores.

Estadisticas clave:

Taxonomia del Crime-as-a-Service

El ecosistema CaaS se ha fragmentado en verticales especializados, cada uno con su propio mercado, precios y modelos de negocio:

1. Phishing-as-a-Service (PhaaS)

Kits completos para crear campanas de phishing sin conocimientos tecnicos. Incluyen paginas web clonadas de bancos, plantillas de email, infraestructura de hosting y paneles de gestion de credenciales robadas.

Ejemplos activos en 2024-2025:

2. Ransomware-as-a-Service (RaaS)

Grupos de desarrollo de ransomware reclutan “afiliados” que ejecutan los ataques. El desarrollador proporciona el malware, la infraestructura de negociacion y el blog de filtraciones. Los beneficios se reparten (tipicamente 70-80% afiliado, 20-30% desarrollador).

3. Malware-as-a-Service (MaaS)

Venta de malware modular por suscripcion: troyanos bancarios, infostealers, RATs (Remote Access Trojans). El comprador recibe el malware compilado, un panel de control web y soporte tecnico.

4. Access-as-a-Service (AaaS)

Venta de acceso a sistemas comprometidos. Los “Initial Access Brokers” (IABs) comprometen redes corporativas y venden ese acceso a otros criminales (tipicamente grupos de ransomware).

5. DDoS-as-a-Service (DaaS)

Servicios de ataques de denegacion de servicio por encargo. Tambien conocidos como “booters” o “stressers”, ofrecen ataques DDoS desde 10-30 USD por ataque.

6. AI-as-a-Service para cibercrimen

La ultima evolucion del CaaS incorpora inteligencia artificial:

Caso emblematico: GXC Team y el phishing bancario en Espana

La investigacion de Group-IB publicada en agosto de 2024 revelo la operacion completa de GXC Team, considerado uno de los proveedores de PhaaS mas sofisticados dirigidos a bancos espanoles.

Infraestructura de GXC Team

Flujo de ataque

Economia del CaaS: como funciona el mercado

Canales de distribucion

Modelo economico

El CaaS replica la estructura de una empresa de software legitima:

Metodos de pago

• Bitcoin (BTC): El mas comun, pero trazable mediante analisis blockchain
• Monero (XMR): Preferido para transacciones de alto valor por su privacidad
• USDT (Tether): Stablecoin usado en mercados Telegram
• Intercambio de servicios: Acceso a redes comprometidas como pago

Impacto en Espana

Operaciones destacadas contra infraestructura CaaS en Espana:

• Op. Vicentius (octubre 2024): 35 detenidos, 442.650 EUR defraudados, red de mulas bancarias + cripto-estafas
• Op. Cronos (febrero 2024): Participacion espanola en el desmantelamiento de LockBit (RaaS)
• LabHost takedown (abril 2024): Europol desmantela plataforma PhaaS con 170+ bancos suplantados, usuarios espanoles identificados
• Op. Dolphin (2024): Desarticulacion de red de smishing bancario que usaba kits PhaaS para suplantar entidades espanolas

Analisis forense de herramientas CaaS

Cuando una empresa o particular es victima de un ataque ejecutado con herramientas CaaS, el perito informatico forense debe investigar no solo el impacto sino tambien la herramienta utilizada para documentar la cadena de ataque completa.

Metodologia pericial

Herramientas forenses para analisis CaaS

Marco legal

Codigo Penal espanol

Art. 248 CP - Estafa informatica:

“Cometen estafa los que, con animo de lucro, utilizaren engano bastante para producir error en otro, induciendolo a realizar un acto de disposicion en perjuicio propio o ajeno.”

• Pena base: 6 meses - 3 anos prision
• Agravante (Art. 250): Si la cuantia supera 50.000 EUR: 1-6 anos + multa

Art. 264 CP - Danos informaticos:

Incluye la creacion y distribucion de malware.

• Pena: 6 meses - 3 anos prision

Art. 264 ter CP - Facilitacion de herramientas para delitos informaticos:

“Sera castigado […] el que, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o de cualquier modo facilite a terceros […] programas informaticos concebidos o adaptados principalmente para la comision de alguno de los delitos [del capitulo].”

• Pena: 6 meses - 2 anos prision o multa
• Este es el articulo clave contra los proveedores de CaaS: no solo se castiga al que ejecuta el ataque, sino al que vende las herramientas

Art. 197 CP - Descubrimiento y revelacion de secretos:

Aplicable cuando el CaaS facilita el acceso a datos personales o comunicaciones.

• Pena: 1-4 anos prision

Convenio de Budapest (2001)

Espana ratifico el Convenio sobre Ciberdelincuencia del Consejo de Europa, que en su Art. 6 tipifica especificamente la produccion, venta y distribucion de herramientas de cibercrimen como delito independiente. Este es el marco juridico internacional que sustenta la persecucion de proveedores de CaaS que operan desde fuera de Espana.

Directiva NIS2

La Directiva (UE) 2022/2555 (NIS2), que Espana debe transponer, obliga a las entidades esenciales e importantes a implementar medidas de gestion de riesgos que incluyan la proteccion contra amenazas CaaS, con sanciones de hasta 10 millones de euros o el 2% de la facturacion global por incumplimiento.

Caso practico: investigacion forense de ataque PhaaS bancario

Nota: El siguiente caso esta basado en patrones reales de investigaciones forenses de ataques PhaaS contra clientes de banca espanola. Los datos especificos han sido anonimizados para proteger la confidencialidad de los afectados.

Victima: Empresa PYME, 45 empleados, facturacion 6M EUR/ano Perdida: 38.000 EUR transferidos a cuenta de mula bancaria

Timeline del ataque:

Informe pericial:

1. Analisis del SMS phishing: numero remitente spoofed (cabeceras SS7 no verificables)
2. Captura pagina phishing: kit PhaaS identificado como variante GXC Team (mismo template CSS, misma estructura backend)
3. Analisis APK maliciosa instalada en movil del empleado: interceptacion SMS activa
4. Trazabilidad: fondos convertidos a BTC via exchange sin KYC, seguidos hasta mixer
5. Correlacion IOCs: 3 dominios y 2 IPs vinculados a campana PhaaS activa con 1.200+ victimas

Resultado: Denuncia ante Policia Nacional con informe pericial de 52 paginas. Detencion de 2 mulas bancarias en Madrid. Fondos cripto no recuperables (mixer).

Coste pericial

Total tipico: 4.350-7.700 EUR

FAQ

P: Que es Crime-as-a-Service y por que es peligroso? R: Crime-as-a-Service es un modelo de negocio criminal donde desarrolladores venden herramientas de ciberataque listas para usar: kits de phishing desde 150 EUR/mes, ransomware por suscripcion, malware Android para interceptar codigos OTP, e incluso IA para generar emails de phishing personalizados. Es peligroso porque democratiza el cibercrimen: cualquiera con dinero puede lanzar ataques sofisticados sin conocimientos tecnicos. El caso de GXC Team en Espana demostro que por 900 EUR/dia se podia acceder a un kit completo para estafar a clientes de 36 bancos espanoles.

P: Que tipos de servicios ofrece el CaaS? R: Los principales verticales son: Phishing-as-a-Service (kits de webs falsas para robar credenciales), Ransomware-as-a-Service (LockBit, ALPHV/BlackCat), Malware-as-a-Service (troyanos bancarios como DanaBot o Anubis), Access-as-a-Service (venta de credenciales y accesos VPN/RDP comprometidos), DDoS-as-a-Service (ataques de denegacion desde 10-30 USD), y la ultima generacion: servicios de IA criminal como WormGPT para generacion de phishing o deepfakes de voz para fraude telefonico.

P: Como investiga un perito informatico un ataque CaaS? R: El perito analiza la cadena de ataque completa: preserva el email o SMS original con cadena de custodia, captura y analiza la pagina de phishing para identificar el kit utilizado, realiza ingenieria inversa del malware si lo hay, traza la infraestructura del atacante (dominios, IPs, servidores C2), rastrea las transacciones financieras incluyendo analisis blockchain, y correlaciona indicadores de compromiso con bases de datos de amenazas para vincular el ataque a un grupo CaaS conocido. El informe pericial documenta todo para el procedimiento judicial.

Conceptos relacionados

• RaaS (Ransomware-as-a-Service) - Vertical CaaS especializado en ransomware por suscripcion
• MaaS (Malware-as-a-Service) - Vertical CaaS de malware modular por suscripcion
• Phishing (analisis forense) - Analisis forense de campanas de phishing, vector principal del CaaS
• Blockchain forense - Trazabilidad de pagos en criptomoneda usados en el ecosistema CaaS
• C2 (Command and Control) - Infraestructura de control remoto utilizada por herramientas CaaS
• Credential harvesting - Tecnica principal de los kits PhaaS

Referencias y fuentes

1. Group-IB. (2024). “GXC Team: A Spanish-Speaking CaaS Operation Targeting Banks”. group-ib.com - Investigacion completa sobre GXC Team: 250+ webs phishing, 36 bancos espanoles, 9 malwares Android, 900 EUR/dia
2. Europol. (2024). “Internet Organised Crime Threat Assessment (IOCTA) 2024”. europol.europa.eu - Crime-as-a-Service como motor principal del cibercrimen europeo
3. INCIBE. (2026). “Balance de ciberseguridad 2025”. incibe.es - 122.223 incidentes, 25.133 phishing
4. Trend Micro. (2025). “The CaaS Economy: How Crime-as-a-Service is Reshaping Cybercrime”. trendmicro.com - 60-70% ataques involucran herramientas CaaS
5. Recorded Future. (2025). “Annual Report: The Industrialization of Cybercrime”. recordedfuture.com - +45% incremento oferta CaaS en dark web
6. IBM. (2024). “Cost of a Data Breach Report 2024”. ibm.com - Coste medio brecha por phishing: 4.88M USD
7. Policia Nacional. (2024). “Operacion Vicentius”. policia.es - 35 detenidos, 442.650 EUR defraudados, mulas bancarias + cripto-estafas
8. Europol. (2024). “LabHost Phishing-as-a-Service Platform Dismantled”. europol.europa.eu - Desmantelamiento plataforma PhaaS: 170+ bancos suplantados
9. Convenio de Budapest. (2001). Art. 6 - Abuso de dispositivos. coe.int - Marco juridico internacional contra herramientas de cibercrimen
10. Codigo Penal espanol: Arts. 197 (revelacion secretos), 248-250 (estafa), 264 (danos informaticos), 264 ter (facilitacion herramientas)
11. Directiva (UE) 2022/2555 (NIS2): Obligaciones de gestion de riesgos y notificacion de incidentes

Ultima actualizacion: febrero 2026 Categoria: Ciberataques Codigo: ATK-010