Crime-as-a-Service (CaaS)

900 euros al día. Eso costaba alquilar el kit completo de GXC Team, una operacion de cibercrimen-como-servicio de habla hispana que ofrecio durante meses más de 250 páginas web de phishing para suplantar a 36 bancos espanoles, 9 aplicaciones de malware Android para interceptar códigos OTP, y un panel de control con soporte técnico via Telegram. Su lema interno, según la investigacion de Group-IB publicada en agosto de 2024, era “robarle todo a las abuelas”. GXC Team no es un caso aislado: es el ejemplo más documentado de como el cibercrimen ha mutado de lobos solitarios a una industria de servicios profesionalizados donde cualquiera con dinero puede comprar la capacidad de atacar, sin escribir una sola linea de código.

Definicion técnica

Crime-as-a-Service (CaaS) es un modelo de negocio ilicito en el que actores maliciosos desarrollan y comercializan herramientas, infraestructura y servicios de ciberataque listos para usar, ofreciendolos a otros criminales (los “clientes”) mediante suscripciones, licencias temporales o pago por uso. El concepto replica deliberadamente el modelo SaaS (Software-as-a-Service) legitimo: paneles de control web, manuales de usuario, soporte técnico, actualizaciones periodicas e incluso garantías de servicio.

La consecuencia directa es la democratizacion del cibercrimen: atacantes sin conocimientos técnicos avanzados (denominados “script kiddies” o “afiliados”) pueden ejecutar campanas sofisticadas de phishing, ransomware o fraude financiero comprando el servicio completo a los desarrolladores.

Estadisticas clave:

Taxonomia del Crime-as-a-Service

El ecosistema CaaS se ha fragmentado en verticales especializados, cada uno con su propio mercado, precios y modelos de negocio:

1. Phishing-as-a-Service (PhaaS)

Kits completos para crear campanas de phishing sin conocimientos técnicos. Incluyen páginas web clonadas de bancos, plantillas de email, infraestructura de hosting y paneles de gestion de credenciales robadas.

Ejemplos activos en 2024-2025:

2. Ransomware-as-a-Service (RaaS)

Grupos de desarrollo de ransomware reclutan “afiliados” que ejecutan los ataques. El desarrollador proporciona el malware, la infraestructura de negociacion y el blog de filtraciones. Los beneficios se reparten (tipicamente 70-80% afiliado, 20-30% desarrollador).

3. Malware-as-a-Service (MaaS)

Venta de malware modular por suscripcion: troyanos bancarios, infostealers, RATs (Remote Access Trojans). El comprador recibe el malware compilado, un panel de control web y soporte técnico.

4. Access-as-a-Service (AaaS)

Venta de acceso a sistemas comprometidos. Los “Initial Access Brokers” (IABs) comprometen redes corporativas y venden ese acceso a otros criminales (tipicamente grupos de ransomware).

5. DDoS-as-a-Service (DaaS)

Servicios de ataques de denegacion de servicio por encargo. También conocidos como “booters” o “stressers”, ofrecen ataques DDoS desde 10-30 USD por ataque.

6. AI-as-a-Service para cibercrimen

La última evolucion del CaaS incorpora inteligencia artificial:

Caso emblematico: GXC Team y el phishing bancario en Espana

La investigacion de Group-IB publicada en agosto de 2024 revelo la operacion completa de GXC Team, considerado uno de los proveedores de PhaaS más sofisticados dirigidos a bancos espanoles.

Infraestructura de GXC Team

Flujo de ataque

Economia del CaaS: como funciona el mercado

Canales de distribucion

Modelo económico

El CaaS replica la estructura de una empresa de software legitima:

Métodos de pago

• Bitcoin (BTC): El más comun, pero trazable mediante análisis blockchain
• Monero (XMR): Preferido para transacciones de alto valor por su privacidad
• USDT (Tether): Stablecoin usado en mercados Telegram
• Intercambio de servicios: Acceso a redes comprometidas como pago

Impacto en Espana

Operaciones destacadas contra infraestructura CaaS en Espana:

• Op. Vicentius (octubre 2024): 35 detenidos, 442.650 EUR defraudados, red de mulas bancarias + cripto-estafas
• Op. Cronos (febrero 2024): Participacion espanola en el desmantelamiento de LockBit (RaaS)
• LabHost takedown (abril 2024): Europol desmantela plataforma PhaaS con 170+ bancos suplantados, usuarios espanoles identificados
• Op. Dolphin (2024): Desarticulacion de red de smishing bancario que usaba kits PhaaS para suplantar entidades espanolas

Análisis forense de herramientas CaaS

Cuando una empresa o particular es víctima de un ataque ejecutado con herramientas CaaS, el perito informático forense debe investigar no solo el impacto sino también la herramienta utilizada para documentar la cadena de ataque completa.

Metodología pericial

Herramientas forenses para análisis CaaS

Marco legal

Código Penal espanol

Art. 248 CP - Estafa informática:

“Cometen estafa los que, con animo de lucro, utilizaren engano bastante para producir error en otro, induciendolo a realizar un acto de disposicion en perjuicio propio o ajeno.”

• Pena base: 6 meses - 3 anos prision
• Agravante (Art. 250): Si la cuantia supera 50.000 EUR: 1-6 anos + multa

Art. 264 CP - Danos informáticos:

Incluye la creacion y distribucion de malware.

• Pena: 6 meses - 3 anos prision

Art. 264 ter CP - Facilitacion de herramientas para delitos informáticos:

“Sera castigado […] el que, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o de cualquier modo facilite a terceros […] programas informáticos concebidos o adaptados principalmente para la comision de alguno de los delitos [del capitulo].”

• Pena: 6 meses - 2 anos prision o multa
• Este es el artículo clave contra los proveedores de CaaS: no solo se castiga al que ejecuta el ataque, sino al que vende las herramientas

Art. 197 CP - Descubrimiento y revelacion de secretos:

Aplicable cuando el CaaS facilita el acceso a datos personales o comunicaciones.

• Pena: 1-4 anos prision

Convenio de Budapest (2001)

Espana ratifico el Convenio sobre Ciberdelincuencia del Consejo de Europa, que en su Art. 6 tipifica especificamente la produccion, venta y distribucion de herramientas de cibercrimen como delito independiente. Este es el marco jurídico internacional que sustenta la persecucion de proveedores de CaaS que operan desde fuera de Espana.

Directiva NIS2

La Directiva (UE) 2022/2555 (NIS2), que Espana debe transponer, obliga a las entidades esenciales e importantes a implementar medidas de gestion de riesgos que incluyan la proteccion contra amenazas CaaS, con sanciones de hasta 10 millones de euros o el 2% de la facturacion global por incumplimiento.

Caso práctico: investigacion forense de ataque PhaaS bancario

Nota: El siguiente caso esta basado en patrones reales de investigaciones forenses de ataques PhaaS contra clientes de banca espanola. Los datos específicos han sido anonimizados para proteger la confidencialidad de los afectados.

Víctima: Empresa PYME, 45 empleados, facturacion 6M EUR/ano Perdida: 38.000 EUR transferidos a cuenta de mula bancaria

Timeline del ataque:

Informe pericial:

1. Análisis del SMS phishing: número remitente spoofed (cabeceras SS7 no verificables)
2. Captura página phishing: kit PhaaS identificado como variante GXC Team (mismo template CSS, misma estructura backend)
3. Análisis APK maliciosa instalada en móvil del empleado: interceptacion SMS activa
4. Trazabilidad: fondos convertidos a BTC via exchange sin KYC, seguidos hasta mixer
5. Correlacion IOCs: 3 dominios y 2 IPs vinculados a campana PhaaS activa con 1.200+ víctimas

Resultado: Denuncia ante Policia Nacional con informe pericial de 52 páginas. Detencion de 2 mulas bancarias en Madrid. Fondos cripto no recuperables (mixer).

Coste pericial

Total tipico: 4.350-7.700 EUR

FAQ

P: Que es Crime-as-a-Service y por que es peligroso? R: Crime-as-a-Service es un modelo de negocio criminal donde desarrolladores venden herramientas de ciberataque listas para usar: kits de phishing desde 150 EUR/mes, ransomware por suscripcion, malware Android para interceptar códigos OTP, e incluso IA para generar emails de phishing personalizados. Es peligroso porque democratiza el cibercrimen: cualquiera con dinero puede lanzar ataques sofisticados sin conocimientos técnicos. El caso de GXC Team en Espana demostro que por 900 EUR/día se podía acceder a un kit completo para estafar a clientes de 36 bancos espanoles.

P: Que tipos de servicios ofrece el CaaS? R: Los principales verticales son: Phishing-as-a-Service (kits de webs falsas para robar credenciales), Ransomware-as-a-Service (LockBit, ALPHV/BlackCat), Malware-as-a-Service (troyanos bancarios como DanaBot o Anubis), Access-as-a-Service (venta de credenciales y accesos VPN/RDP comprometidos), DDoS-as-a-Service (ataques de denegacion desde 10-30 USD), y la última generacion: servicios de IA criminal como WormGPT para generacion de phishing o deepfakes de voz para fraude telefónico.

P: Como investiga un perito informático un ataque CaaS? R: El perito analiza la cadena de ataque completa: preserva el email o SMS original con cadena de custodia, captura y analiza la página de phishing para identificar el kit utilizado, realiza ingenieria inversa del malware si lo hay, traza la infraestructura del atacante (dominios, IPs, servidores C2), rastrea las transacciones financieras incluyendo análisis blockchain, y correlaciona indicadores de compromiso con bases de datos de amenazas para vincular el ataque a un grupo CaaS conocido. El informe pericial documenta todo para el procedimiento judicial.

Conceptos relacionados

• RaaS (Ransomware-as-a-Service) - Vertical CaaS especializado en ransomware por suscripcion
• MaaS (Malware-as-a-Service) - Vertical CaaS de malware modular por suscripcion
• Phishing (análisis forense) - Análisis forense de campanas de phishing, vector principal del CaaS
• Blockchain forense - Trazabilidad de pagos en criptomoneda usados en el ecosistema CaaS
• C2 (Command and Control) - Infraestructura de control remoto utilizada por herramientas CaaS
• Credential harvesting - Técnica principal de los kits PhaaS

Referencias y fuentes

1. Group-IB. (2024). “GXC Team: A Spanish-Speaking CaaS Operation Targeting Banks”. group-ib.com - Investigacion completa sobre GXC Team: 250+ webs phishing, 36 bancos espanoles, 9 malwares Android, 900 EUR/día
2. Europol. (2024). “Internet Organised Crime Threat Assessment (IOCTA) 2024”. europol.europa.eu - Crime-as-a-Service como motor principal del cibercrimen europeo
3. INCIBE. (2026). “Balance de ciberseguridad 2025”. incibe.es - 122.223 incidentes, 25.133 phishing
4. Trend Micro. (2025). “The CaaS Economy: How Crime-as-a-Service is Reshaping Cybercrime”. trendmicro.com - 60-70% ataques involucran herramientas CaaS
5. Recorded Future. (2025). “Annual Report: The Industrialization of Cybercrime”. recordedfuture.com - +45% incremento oferta CaaS en dark web
6. IBM. (2024). “Cost of a Data Breach Report 2024”. ibm.com - Coste medio brecha por phishing: 4.88M USD
7. Policia Nacional. (2024). “Operacion Vicentius”. policia.es - 35 detenidos, 442.650 EUR defraudados, mulas bancarias + cripto-estafas
8. Europol. (2024). “LabHost Phishing-as-a-Service Platform Dismantled”. europol.europa.eu - Desmantelamiento plataforma PhaaS: 170+ bancos suplantados
9. Convenio de Budapest. (2001). Art. 6 - Abuso de dispositivos. coe.int - Marco jurídico internacional contra herramientas de cibercrimen
10. Código Penal espanol: Arts. 197 (revelacion secretos), 248-250 (estafa), 264 (danos informáticos), 264 ter (facilitacion herramientas)
11. Directiva (UE) 2022/2555 (NIS2): Obligaciones de gestion de riesgos y notificacion de incidentes

Última actualizacion: febrero 2026 Categoría: Ciberataques Código: ATK-010