Auto Penal 635/2023 Audiencia Nacional. Sala de lo Penal. Sección Cuarta, Rec. 589/2023 de 29 de noviembre del 2023

PRIMERO.- Motivos de recurso.

Alega en primer lugar el recurrente, acerca de la improcedencia de dictar la auto de proceso abreviado existiendo diligencias de investigación pendientes de realizar, como es el resultado de la comisión rogatoria internacional dirigida a las autoridades de Hong Kong. Ello causaría indefensión a esta parte, ya que no podría verificar ni discutir la existencia y contenido de la comisión rogatoria, sin que pueda abrirse la fase de procedimiento abreviado, dejando para su posterior incorporación la realización de una diligencia de prueba, ya que privaría a esta parte del derecho de contradicción. En segundo lugar, la aportación de los atestados policiales existentes en las diligencias previas 256/2023 del Juzgado de Instrucción nº 8 de Murcia al presente procedimiento vía informe policial deben considerarse nulas, ya que esas diligencias se encuentran bajo secreto de sumario, sin que en ningún momento esta defensa haya podido examinarlas ni combatirlas en dicho Juzgado. En tercer lugar, ante la numerosa información técnica e informática unida a los autos, la defensa necesitaría más tiempo a fin de poder estudiar y proponer las diligencias de investigación de descargo que entienda pertinentes para su defensa, para lo que necesitaría que los agentes de la policía nacional devolvieran los dispositivos que en su día incautaron al investigado durante la entrada y registro de su domicilio. En cuarto lugar, ausencia de indicios de la participación del investigado en los hechos, ya que los mismos no pueden tenidos como tales, ya que como el propio Instructor afirma en el auto de transformación a proceso abreviado, se desconoce como " Bola" consiguió el certificado digital de una funcionario de la Dirección General de Tráfico. Los hechos derivados del atestado policial NUM000 no pueden ser tenidos en cuenta en este procedimiento en cuanto que son objeto de enjuiciamiento en otro procedimiento judicial. No puede tenerse por definitiva la creación del dominio cgpj-pnj.com hasta que no se haya completado la comisión rogatoria internacional enviada a las autoridades de Hong Kong.

SEGUNDO.- Naturaleza jurídica del auto de continuación.

Antes de entrar en el fondo de las argumentaciones del recurso, merece la pena efectuar un análisis acerca de la naturaleza jurídica de la resolución objeto de aquél.

Así cuando, el Instructor acuerda la conclusión de las diligencias previas y su transformación en procedimiento abreviado, dictando la resolución prevenida en la regla 4ª del número 1 del artículo 779 de la Ley de Enjuiciamiento Criminal, lo hace en función de los hechos que han sido objeto de imputación, sobre los que ha girado la instrucción de las diligencias previas y que deben ser perfectamente conocidos por el imputado. En consecuencia, el antecedente fáctico de esta resolución transformadora del procedimiento puede configurarse, ordinariamente, por remisión a los hechos sobre los que ha versado la instrucción, sin que ello ocasione indefensión alguna al imputado.

La fundamentación jurídica de la resolución transformadora del procedimiento debe adecuarse a la naturaleza y funciones que desarrolla dicha resolución en el proceso. Como señala la STS 1088/1999 de 2 de julio, esta resolución cumple una triple función: a) Concluye provisoriamente la instrucción de las diligencias previas; b) Acuerda continuar el trámite a través del procedimiento abreviado, por estimar que el hecho constituye un delito de los comprendidos en el artículo 757, desestimando implícitamente las otras tres posibilidades prevenidas en el artículo 779.1.1ª, 2ª y 3ª (archivar el procedimiento, declarar falta el hecho o inhibirse en favor de otra jurisdicción competente); c) Con efectos de mera ordenación del proceso, adopta la primera resolución que el Ordenamiento prevé para la fase intermedia del procedimiento abreviado: dar inmediato traslado a las partes acusadoras, para que sean éstas las que determinen si solicitan el sobreseimiento o formulan acusación, o bien, excepcionalmente, interesan alguna diligencia complementaria.

En cuanto que constituye un auto de conclusión de la instrucción, la resolución debe expresar sucintamente el criterio del Instructor en el sentido de que no se aprecia la necesidad de practicar otras diligencias adicionales, y únicamente en el caso de que exista pendiente alguna diligencia solicitada por las partes que no haya sido practicada ni rechazada motivadamente con anterioridad, deberá justificarse expresamente por qué no se estima procedente su práctica, razonando su impertinencia o inutilidad.

Por cuanto acuerda continuar el trámite del procedimiento abreviado, deberá expresar sucintamente el criterio del Instructor de que el hecho originario del procedimiento podría constituir alguno de los delitos comprendidos en el artículo 757 de la Ley de Enjuiciamiento Criminal, y sólo en el caso de que exista pendiente y sin resolver alguna solicitud expresa de archivo, declaración de falta o inhibición, debe razonarse sucintamente por qué no se estima procedente dicha solicitud. No precisando el auto de transformación del procedimiento abreviado, formular imputaciones fácticas concretas, pudiendo configurarse ordinariamente por remisión a los hechos sobre los que ha versado la instrucción.

En definitiva, no se trata de una resolución de imputación formal, a modo del auto de procesamiento donde el juez de instrucción o de violencia sobre la mujer valora los indicios, sino que se trata de un auto de impulso procesal donde el órgano instructor valora que existen indicios para continuar la tramitación del procedimiento y ordena dar traslado a las partes acusadoras para que presenten escrito de acusación, soliciten el sobreseimiento de las actuaciones o la práctica de diligencias, dejando de lado el resto de resoluciones que prevé el artículo 779 Ley de Enjuiciamiento Criminal, es decir el sobreseimiento de las actuaciones, la declaración de falta del hecho o la inhibición a otra jurisdicción. Son las partes acusadoras las que fijan el objeto del proceso y las que llevan a cabo la calificación jurídica de los hechos, pues los únicos requisitos que exige el artículo 779 Ley de Enjuiciamiento Criminal, para dictar el auto de continuación del procedimiento abreviado es que contenga un relato de hechos punibles, que se puede llevar a cabo por remisión a la denuncia inicial, y la identificación del imputado.

Por último, en cuanto resolución impulsora del procedimiento, debe acordar el traslado a las acusaciones, a los efectos prevenidos en el artículo 780.1º, bastando como fundamentación de este acuerdo la mera cita de la norma procedimental ( STS 1088/1999, de 13 de enero de 2000).

De lo que se desprende con claridad que la apertura de la fase intermedia -a través del Auto de incoación del procedimiento abreviado previsto en el artículo. 790.1 LECrim - supone necesariamente la clausura de la fase anterior de instrucción, sin posibilidad de replantear lo ya decidido en ella. Y como consecuencia de lo anterior, el Auto de incoación del procedimiento abreviado no sólo tiene el significado de clausurar de manera implícita la anterior fase de instrucción ( STC 186/1990, de 15 de noviembre), sino que, por la propia naturaleza y características de esta fase procesal, impide al imputado solicitar nuevas diligencias o tener conocimiento de las ya practicadas, o pedir el sobreseimiento.

En el mismo sentido la STS 530/2014, de 10 de junio, ya aludida, indica: "Así pues el presupuesto de tal resolución es doble: a) que se considere que han sido practicadas las diligencias pertinentes, según deriva del inciso inicial del citado precepto y b) que el Juez estime que los hechos son susceptibles de ser calificados como constitutivos de alguno de los delitos a que se refiere el art. 757 de la Ley de Enjuiciamiento Criminal, determinación realizada exclusivamente en función de la pena imponible. Es decir, se pretende por un lado la identificación de la persona imputada; y por otra, la determinación de los hechos que se reputan como punibles. En todo caso, la resolución que nos ocupa debe ser motivada y hacer una descripción de los hechos que se reputan como punibles, y también formulando su calificación jurídica. No obstante, esto último está lejos de una supuesta intromisión en las funciones de acusación, pues la norma indicada solamente menciona la referencia a que el Juez estime que el hecho investigado constituye alguno de los delitos previstos en el artículo 757 LECrim., pero sin reclamar una precisa tipificación. Ello ocurre sin duda porque el objeto del proceso se configura por el elemento fáctico y la persona del imputado, sin que las variaciones en cuanto a las calificaciones supongan una mutación del objeto.

Según la STS 905/2014, de 29 de diciembre, los extremos, que de manera indefectible debe contener dicha resolución son: la determinación de los hechos punibles e identificación de las personas imputadas. Además, establece que no podrá dictarse el auto de transformación contra persona a la que previamente no se le haya tomado declaración como imputada. De forma que el auto de transformación vincula a las partes en cuanto a los hechos imputados y a las personas responsables, pero no en las calificaciones jurídicas que el Juez formule, por cuanto el auto de transformación de las Diligencias Previas en Procedimiento Abreviado no tiene por finalidad y naturaleza suplantar la función acusatoria del Ministerio Fiscal, y del resto de las acusaciones, por lo que la circunstancia de que inicialmente se califiquen los hechos de un modo y finalmente se formule la acusación por otro, no puede considerarse que ocasione indefensión.

La STS 386/2014, de 22 de mayo, efectúa nuevas aportaciones acerca de la naturaleza y finalidad de la resolución que nos ocupa, incidiendo en la ausencia de su finalidad acusatoria, indicando que el análisis del artículo 118 LECrim., con carácter general, y el artículo 775 LECrim., con carácter específico para el Procedimiento Abreviado, imponen el deber del órgano judicial instructor de ilustrar al interesado del hecho de la causa. El examen de estos preceptos ha de llevar a la siguiente conclusión: en primer lugar la de que el Juez de instrucción en cualquier caso, está siempre obligado a determinar dentro de la fase instructora (haya dirigido ab initio o no las diligencias previas) quién sea el presunto autor del delito a fin de citarlo personalmente de comparecencia, comunicarle el hecho punible cuya comisión se le atribuye, ilustrarle de la totalidad de los derechos que integran la defensa (y, en especial, de su derecho a la designación de Abogado en los términos del art. 767 y 118,4º) y tomarle declaración con el objeto de indagar, no sólo dicha participación, sino también permitir que el imputado sea oído por la Autoridad judicial y pueda exculparse de los cargos contra él existentes con independencia de que haya prestado declaración ante otras autoridades que hayan intervenido en el sumario. De la anterior información se desprende en segundo lugar, la lógica consecuencia de que la acusación no pueda, exclusivamente desde un punto de vista subjetivo, dirigirse contra persona que no haya adquirido previamente la condición judicial de imputado, puesto que de otro modo podrían producirse en la práctica, acusaciones sorpresivas de ciudadanos con la consiguiente apertura contra ellos del juicio oral, aún, cuando no hubieren gozado de la más mínima posibilidad de ejercitar su derecho de defensa a lo largo de la fase instructora.

En definitiva, el contenido de esta resolución no puede entenderse más allá del estrecho ámbito que le asigna el citado artículo 779 LECrim, de suerte que la parte dispositiva de la misma y la motivación que la sustenta debe limitarse a la valoración jurídica de los hechos, al efecto del procedimiento a seguir, sin que sea legalmente posible siquiera establecer calificación concreta de los mismos que prejuzguen la acusación a realizar por los acusadores, a quienes les está reservada esa función .

De tal manera que es función del Juez, determinar, de forma sucinta, los elementos que permiten inferir la existencia de indicios de responsabilidad penal en el investigado ( STC 135/1989, de 19 de julio).

De igual forma, la fase de instrucción no tiene como finalidad la plena acreditación de los hechos objeto de imputación, ya que sólo se puede declarar probada la comisión de un hecho delictivo tras la práctica de la prueba en el acto de Juicio Oral, con la excepción establecida en el artículo 777.2 de la Ley de Enjuiciamiento Criminal para los supuestos de prueba anticipada o preconstituida.

De ahí que, si ponemos en relación la finalidad de las diligencias previas a practicar durante la fase de instrucción, con las posibles resoluciones a adoptar en la citada disposición legal y en relación, más concretamente, con la apreciación de si existen o no indicios que justifiquen la perpetración del hecho denunciado, dichos indicios tienen que ser mínimos para considerarlos suficientes, ya que en otro caso exigiríamos, bien al Juez de Instrucción, bien a la acusación, la aportación en la fase instructora de elementos incriminatorios de carácter indiciario y provisional que harían la fase de instrucción larga y tediosa, sin, además transcendencia probatoria para enervar el principio de presunción de inocencia, ya que solamente hacen prueba plena aquellas diligencia de prueba practicadas en la fase de Juicio Oral, duplicando así la aportación de material probatorio y desnaturalizando la fase de instrucción que exige que ésta sea mínima e imprescindible y, además, abreviada, tal como se desprende del mismo nombre del procedimiento.

En cuanto que acuerda continuar el trámite del procedimiento abreviado, deberá expresar sucintamente el criterio del Instructor de que el hecho originario del procedimiento, podría constituir alguno de los delitos comprendidos en el artículo 757 LECrim., y solo en el caso de que exista pendiente y sin resolver alguna solicitud expresa de archivo, declaración de los hechos como delito leve o inhibición, debe razonarse sucintamente por qué no se estima procedente dicha solicitud.

Por ello, su contenido, tal y como se desprende del artículo 779.1.4º de la LECrim., deberá limitarse a la determinación de los hechos punibles y la identificación de la persona a la que se le imputan, debiendo contar con la suficiente motivación, permitiendo a un observador saber cuáles son las razones que sirven de apoyatura a la decisión adoptada, quedando así de manifiesto que no se ha actuado con arbitrariedad.

Es decir, el objeto del auto de transformación de diligencias previas en procedimiento abreviado, es una determinación, aun sucinta de los hechos punibles, y la identificación de la persona a la que se le imputan. Con una descripción de hechos sucinta, en virtud de los cuales fija la posible imputación, y evidentemente, los hechos que, a partir de la descripción fáctica, se consideran relevantes a efectos de una posible responsabilidad penal del investigado. Es decir, los hechos sobre los cuales se ha seguido el proceso, y que constituirían inicialmente los hechos atribuidos al investigado.

TERCERO.- Reseña de los indicios recogidos en el auto de transformación.

Los indicios de criminalidad aparecen recogidos en la resolución que ahora nos ocupa, en la que se recoge detalladamente el relato de hechos punibles, así como la participación concreta de cada uno de los investigados en aquellos. Así, respecto del ahora recurrente, se indica que: "Este encausado aparece directamente vinculado con la contratación del dominio cgpjpnj.com utilizado para realizar la campaña de phishing a través de la cual se obtuvieron las credenciales ilícitas de acceso a los sistemas informáticos de los funcionarios de la Administración de Justicia en órganos judiciales del del País Vasco, y que fueron utilizadas como vector de entrada a la red de servicios del PN. El dominio "cgpj-pnj.com" fue registrado a través de la empresa Eranet International Limited, con sede en Hong Kong (China). Este dominio se encontraba alojado en un servidor que resuelve en la dirección IP NUM001, perteneciente a una compañía localizada en Rusia. En esa IP se alojan gran cantidad de dominios maliciosos referentes a compañía españolas (dominio ".es"). Teniendo en cuenta la fecha de registro del dominio "cgpj-pnj.com" y la de otros dominios maliciosos ".es" se constata que para el registro de esos dominios se habría aportado el número de teléfono + NUM002. Este número de línea móvil es usada como medio de verificación para la venta de Bitcoin en cajeros ATM por parte de Aurelio. Esa línea móvil también se vincula con la cuenta de Telegram " Pelirojo", nickname registrado en dos de los principales foros de cibercrimen ruso a nivel mundial: expolit.in y xss.is. Estos foros están especializados en la vente de accesos a redes de entidades bancarias o de credenciales de acceso.

Que el referido dominio malicioso cgpj-pnj.com fue registrado a través de la mercantil Eranet International Limited, con sede en Hong Kong (China), con los datos expresados en el relato de hechos punibles (Registered Company: monstercookies; Contact Person: monstercookies; Tel: NUM002; Fax: + NUM002; Email: DIRECCION000; Address: ES-Spain, Madrid Calle Malandros; Registered Date: 2022-10-09; Registered IP: NUM003), queda verificado a través de la información contenida en el oficio policial de fecha 28.09.2023, adelantando el contenido de la comisión rogatoria emitida a las autoridades de Hong Kong, sin perjuicio la unión a las actuaciones del resultado de dicha solicitud de cooperación jurídica internacional una vez sea formalmente recibida.

Administra la identidad virtual " Culebras" que fue utilizada para comprar 131 en 10 operaciones distintas (compras efectuadas desde las 13:58 horas a las 15:27 horas del día 20.10.2023), ofertados y puestos a la venta a través de la base de datos con id: NUM004 y denominada DB12 FUCING CRAZY BANK- Phone, Name, DNI, Email, IBAN" de la plataforma uSms, por valor de 377 euros, datos con información bancaria y personal de contribuyentes españoles obtenidos de forma ilícita tras el ataque a la red de servicios de PNJ.

Actúa como usuario en el ámbito de la ciberdelincuencia bajo el seudónimo " Pelirojo", en los dos principales foros de cibercrimen rusos a nivel mundial, exploit.in y xss.is, foros especializados en la venta de accesos a redes de entidades bancarias o en la venta de credenciales, donde esta persona vendía accesos a sistemas de información de empresas españolas. Carlos Daniel en su declaración judicial de 03.04.2023 afirma que la idea de atacar el PNJ surge cuando él y su compañero -refiriéndose a la identidad del usuario " Bola"-, descubren que estando dentro del sistema de la Policía tienen conexión con el PNJ. Siendo " Bola" quien le facilita el certificado digital de una funcionaria de la Dirección General de Tráfico (desconociendo la forma en la que " Bola" la consiguió). Usando esta credencial logran acceder al VPN de la Policía y a su vez al PNJ. Posteriormente crean una web falsa denominada "cgpj-pnj.com", con la que logran obtener más credenciales, y realizar la exfiltración de datos de Cuentas ampliadas de la AEAT. Bajo el referido seudónimo de " Pelirojo" aparece como uno de los usuarios del servicio UDYAT con mismo nivel de acceso que el asignado al usuario administrador del servicio, Carlos Daniel. Es decir, tiene pleno acceso a la información almacenada en la plataforma UDYAT, donde según su creador almacena información de origen privado no accesible al público en general. Utiliza criptoactivos para la compra y venta de credenciales, datos y accesos ilícitos en foros de cibercrimen, como para monetizar su actividad delictiva, utilizando diferentes monederos fríos para dificultar la trazabilidad de los ingresos ilícitos que obtiene. El análisis de la trazabilidad de las direcciones BTC vinculada al usuario " Culebras" determina que dos de las direcciones BTC tienen transacciones directas al Exchange Bitbase, a través del cual se realizaron tres operaciones de cambio de criptoactivos a dinero fiat, usando la red de cajeros ATM de Bitcoin. La persona captada por las imágenes del cajero ATM de BitBase en el momento de producirse la conversión de los bitcoins a dinero fiat, se corresponde con Aurelio.

Estaba en posesión de múltiples credenciales obtenidas de forma fraudulenta que le permiten llevar a cabo accesos ilícitos a los sistemas de información de distintas Administraciones Públicas, entre ellas, a la Administración de Justicia.

Disponía de la infraestructura cibernética necesaria para la ejecución de los anteriores hechos. En el ordenador portátil marca ASUS que le fue intervenido tenía instaladas dos aplicaciones de software de escritorio remoto, FreRDP y REMMITA a través de las cuales controlaba una infraestructura formada por al menos 16 equipos remotos, 9 de ellos localizados en Rusia, 3 en Alemania, 2 en España, 1 en Reino Unido y 1 en Ucrania. Para ocultar esta infraestructura remota utilizaba técnicas antiforenses. En el teléfono móvil marca Vivo, modelo V2205 DONGGAN, que le fue intervenido contiene una conexión remota a través de la dirección IP NUM005, que fue una de las direcciones IP de conexión a los servidores hallada en el análisis del referido ordenador.

- Actividad de " Pelirojo" en el servidor identificado como IP NUM006 Conforme a lo expuesto ut supra, Carlos Daniel es el administrador de dos servidores que contrató a Cherry Serves. Un servidor Linux identificado como NUM006 y otro servidor Windows identificado como NUM007. Este último fue el usado como herramienta de acceso y ataque a la red de servicios del PNJ. Así se pone de manifiesto a través del análisis de las evidencias digitales localizadas en el servidor asociado al servidor NUM006, así como del estudio económico a través de criptomonedas realizado sobre la contratación de los citados servidores. El servidor Windows (SERV195) estaría vinculado con servidor Linux (SERV93).

En este servidor aparecen 6 tablas cuyo nombre hace referencia a UDYAT. La tabla llamada, "udyatUsers" contiene información correspondiente a los usuarios de la base de datos UDYAT; localizándose el perfil de usuario " Pelirojo", asociado a la dirección de correo electrónico DIRECCION001, que cuenta con un nivel de acceso 5. Este nivel de acceso es el mismo que le correspondería al administrador de la base de datos, por lo que se evidencia que " Pelirojo" tenía pleno acceso a la información incluida en la base de datos UDYAT.

- Relación delictiva con Carlos Daniel. Entre ambos se establece una connivencia delictiva para llevar a cabo ataques informáticos contra diferentes Administraciones Públicas y empresas radicadas en España, con un claro reparto de tareas y de beneficios económicos. En el momento de la detención de Carlos Daniel se le intervino el móvil Google modelo Píxel 6. Del análisis del mismo se determina como este último es el administrador de la aplicación de mensajería instantánea eu.siacs.conversations 42041.apk, bajo el alias de " Gamba". Con ese usuario mantiene conversaciones con el usuario " Limpiabotas" y " Chili. De las conversaciones mantenidas a través de la aplicación se determina que " Limpiabotas" y " Chili" se corresponden con la persona de Aurelio. Ambos intercambian opiniones e información sobre accesos a los correos de doble factor de autenticación del PNJ, sistema OWA (correo en Outllok weba app) de Justicia, sistemas de información de la Comunidad de Madrid, AEAT, etc., llegando a comentar publicaciones de prensa del intento de hackeo de la AEAT".

A estos hechos con relevancia pena anuda el Instructor los siguientes indicios de criminalidad respecto del ahora recurrente: "En primer lugar, el hecho de ser la persona que administra la identidad de " Culebras", que es usada para comprar 131 registros en 10 operaciones distintas, ofertados y puestos a la venta a través de la base de datos con id: NUM004 y denominada "DB12 FUCING CRAZY BANK- Phone, Name, DNI, Email, IBAN" de la plataforma uSms, se pone de manifiesto a través del contenido del teléfono móvil de la marca Vivo, modelo V2205 DONGGAN, con números de IMEI: NUM008 y NUM009, que le fue intervenido durante la diligencia de entrada y registro verificada en su domicilio, que fue reseñado como efecto 1TEL1. El análisis de este dispositivo constata que Aurelio era uno de los usuarios del canal de la aplicación de mensajería Telegram, " DIRECCION002" a través del cual se transmitían todas las novedades y actualizaciones de contenido de la plataforma uSms.

En segundo lugar, la participación de Aurelio, bajo el nickname " Pelirojo", en la campaña de phishing utilizada como medio para la obtención ilícita de las credenciales de usuario de funcionarios de la Administración de Justicia que posteriormente serían utilizadas como vector de ataque a la red de servicios del PNJ, queda constatada a través de los siguientes datos: 1. Que el dominio utilizado para la campaña de phishing, cgpj-pnj.com, había sido registrado a través de una empresa con sede en Hong Kong (China) y que resolvía en la dirección IP NUM001, localizada en la Federación Rusa, donde también se encontraban alojados un elevado número de dominios maliciosos, estando cuatro de ellos vinculados directamente con Aurelio, ya que los mismos fueron registrados utilizando el número de teléfono + NUM010, vinculado a este encausado desde el 14.01.2021 al 27.12.2022, tal y como aparece confirmado por los siguientes extremos:

- Usó este número de teléfono como medio de verificación para realizar operaciones de retirada de efectivo en cajeros ATM de criptoactivos desde el 14.12.2021 al 11.11.2022.

- La tarjeta SIM asociada a este número de telefonía móvil estuvo bajo su posesión desde el 17.12.2022 al 27.12.2022. Concretamente, estuvo inserta en el terminal móvil dual SIM marca Nubia, modelo NX709J, con números de IMEI NUM011 y NUM012, que intervenido en la práctica de la diligencia de entrada y registro efectuada por parte de la CGPJ en fecha 25.01.2023 en el marco de las Diligencias Previas 256.23 del Juzgado de Instrucción número 8 de Murcia. No existen conexiones posteriores a la fecha 27.12.2022.

- El informe pericial sobre el análisis de los dispositivos electrónicos que le fueron intervenidos en la diligencia de entrada y registro verificada en su domicilio constata que mantiene un perfil activo en los principales foros de ciberdelincuencia rusos a nivel mundial desde el año 2021, estando su actividad especializada en la venta de acceso a redes corporativas de España.

2. Que detrás del actor Pelirojo se encuentra Aurelio, evidenciado a través de los siguientes hechos:

3. Que dada la inmediatez temporal en el registro de los dominios maliciosos (fueron registrados entre el 8 y el 20.10.2022), que todos ellos resolviesen en una misma dirección IP y que se vinculase directamente a Aurelio con el usuario " Pelirojo" (un actor que goza de especial reputación en los principales foros de cibercrimen Exploit.in y xss.is, especializados en la compra-venta de accesos a sistemas de información, credenciales y datos de carácter personal), permiten inferir que Aurelio registró el dominio que suplantaba a la página legítima del PNJ.

4. La aplicación de mensajería instantánea "eu.siacs.conversations_42041.apk" instalada en el terminal móvil intervenido al también investigado Carlos Daniel, contiene las herramientas y técnicas utilizadas para realizar este ciberataque, permite inferir la connivencia delictiva entre este y Aurelio en el ataque a la red de servicios del PNJ en su fase inicial o preparatoria, consistente en el registro del dominio malicioso que tenía como fin la obtención de credenciales de funcionarios de la Administración de Justicia del País Vasco de forma fraudulenta mediante una campaña de phishing dirigida que permitiera, posteriormente, el acceso ilícito a los sistemas de información del PNJ.

5. Según las manifestaciones de Carlos Daniel durante la declaración prestada en calidad de investigado ante este Juzgado en fecha 03.04.2023, fue " Bola", Nick que corresponde, conforme a lo ya expuesto a Aurelio, quien le facilitó el certificado digital de una funcionaria de la Dirección General de Tráfico el cual les habría posibilitado acceder a la VPN de la Policía Nacional y desde ahí al PNJ. Posteriormente, habría creado una página web falsa denominada "cgpj-pnj.com" mediante la cual habrían logrado obtener más credenciales de acceso las cuales habrían utilizado para realizar la exfiltración de datos de cuentas ampliadas de la AEAT a través de la red de servicios del PNJ. Extremos que quedan plenamente corroborados a través del hecho de que el dominio "cgpj-pnj.com" fuera registrado a través de la empresa Eranet International Limited, utilizando para ello el número de telefonía móvil + NUM010, línea de telefonía móvil utilizada en varias ocasiones como medio de verificación en transacciones de bitcoin en cajeros ATM por Aurelio.

6. En teléfono que fue intervenido a Carlos Daniel en el momento de su detención, modelo Pixel 6A, han sido localizadas una serie de conversaciones realizadas a través de una aplicación de mensajería instantánea eu.siacs.conversations_42041.apk en las que este último, a través de la identidad digital " Gamba", había comunicado con otro usuario, que en un primer momento utilizaba la identidad digital " Limpiabotas" y posteriormente el username " Chili", y que responden a la identidad real de Aurelio. Conversaciones que ponen de manifiesto los siguientes hechos:

- Que ha existido una connivencia delictiva entre Aurelio y Carlos Daniel tanto para la comisión del ataque a la red de servicios del PNJ, como para ejecutar otros ataques informáticos contra sistemas de información de entes públicos y privados, entre los que se encuentra el acceso ilegítimo a la Red Sara utilizando credenciales ilícitas, a los correos de doble factor de autenticación que permiten iniciar sesión en el PNJ o a la aplicación OWA utilizada por el Ministerio de Justicia como gestor de correo electrónico.

- Que Aurelio dispone de una infraestructura cibernética a la cual accede a través de un sistema RDP según consta en conversación de 25.02.2022 en la que el usuario " Chili" manifiesta: "me instalan instalando de nuevo mi RDP con GP envidia Rte X 30, 70 procesador Zion de 32 núcleos y 128 GB de RAM, el martes máximo están todas las piezas montadas ahora si vamos a trabajar bien, y he pedido el RDP para nosotros normalito, qué sistema operativo prefieres? Me han pasado los Home y es 12 accesos de hacienda de enero febrero, voy a probarlos a ver si alguno nos vale".

- Que ambos investigados comparten acceso a los servicios e infraestructura cibernética anteriormente expuesta, tal y como se infiere de las conversaciones que mantuvieron tanto con fecha 21.02.2022, a las 23:32 horas en la que el usuario " Gamba" dice: "me he tenido que ir bro, metete al RDP y cierra todo que no se quede nada abierto por si acaso". A lo que el usuario " Chili" responde: "vale"; como el día 24.02.2022 a las 15:44 horas en la que el usuario " Chili" dice: "le voy a pillar a mi proveedor un RDP para nosotros y así operamos sin UBM que será más cómodo le ponemos un Proxy España dedicado y listo", a lo que el usuario " Gamba" contesta: "OK, luego necesito un RDP W7 da igual que sea robado. Es para ver lo de la DGT, has conseguido alguien nuevo para lo de DGT?".

7. Los datos obtenidos como resultado de la orden europea de investigación cursada a las autoridades de Lituania permiten establecer la estructura y funcionamiento del servicio uSms a través del cual se materializó la venta de los datos exfiltrados con ocasión del ataque a la red de servicios del PNJ. Estos datos, una vez obtenidos ilícitamente, fueron tratados e incorporados a una de las tablas de datos que conformaban el servicio uSms, concretamente a la tabla con id: NUM004, denominada DB12 FUCKING CRAZY BANK- Phone, Name, DNI, Email, IBAN". Asimismo, en la tabla de datos denominada UsmsOrders se incluyen los datos correspondientes a las órdenes de compra realizadas a través del servicio uSms, lo que ha permitido detectar al usuario denominado " Culebras", el cual habría comprado un total de 131 registros de información perteneciente a los datos exfiltrados a partir del ataque a la red de servicios del PNJ. El análisis de las operaciones de transferencia de criptomonedas realizadas por el usuario " Culebras" relacionadas con el servicio uSms y el posterior trazado de las operaciones de criptoactivos vinculadas con las wallet de origen de dichas operaciones vincula estas con Aurelio.

En definitiva, los indicios racionales de criminalidad apuntados permiten afirmar de forma contundente la participación de Aurelio en los siguientes hechos: 1. La campaña de phishing a través de la URL http://busprod.cgpj- pnj.com dirigido contra los Juzgados de Bilbao en el mes de octubre de 2022, fue ejecutada por Aurelio, utilizando la cuenta de correo electrónico DIRECCION000 y el número de teléfono NUM010.

2. La identidad digital " Culebras" utilizada para la compra de datos de contribuyentes españoles contenidos en la base de datos DB 12 FUCKING CRAZY BANK del servicio uSMS se corresponde con la filiación de Aurelio, basado en las transacciones recogidas en el Informe de Análisis de criptoactivos, concretamente las conversiones de Bitcoin a dinero FIAT en cajeros ATM Bitbase.

3. Las identidades " Limpiabotas" y " Chili" utilizadas en las conversaciones de mensajería instantánea intervenidas en la presente causa se corresponde con las que Aurelio interaccionaba con Carlos Daniel para la coordinación y ejecución sistemática de los ataques realizados contra distintas Administraciones Públicas y el CGPJ.

4. Este encausado dispuso de credenciales y accesos a la infraestructura informática del CGPJ, según se desprende de las conversaciones de la aplicación de mensajería instantánea eu.siacs.conversations 42041.apk, bajo el alias " Gamba", donde aparecen las direcciones IP de la red interna de justicia http:// NUM013/ el Login: DIRECCION003, o el email DIRECCION004

5. También dispone de acceso a servidores virtuales que administra, y desde donde ejecuta su actividad delictiva y utiliza como repositorio de la información confidencial obtenida. En concreto, al menos, en el proveedor ruso IT Resheniya LLC tiene contratados servidores virtuales que administra y utiliza para su actividad ilícita.

6. Es poseedor de varios monederos fríos de criptomonedas que, a través de extracciones en cajeros automáticos convierte en dinero fiduciario".

Los mismos, se reputan en este momento procesal suficientes para la continuación de las actuaciones, sin perjuicio que la concreta subsunción de las conductas desplegadas por cada uno de los investigados, deberá ser determinada en el acto del juicio oral.

Las alegaciones del recurrente relativas a la ausencia de los indicios ,debe ser rechazada de plano, ya que como se ha dejado constancia los mismos son plurales y unívocos en cuanto que apuntan a la concreta participación de aquél en los hechos con relevancia penal objeto de investigación. Por ende, no sólo vienen referidos al desconocimiento de cómo se obtuvo el certificado digital de una funcionaria de la Dirección General de Tráfico, o los derivados del atestado policial NUM000, o los relativos a la atribución definitiva de la creación del dominio cgpj-pnj.com a Aurelio, el cual en estos momentos sólo puede tener un carácter provisional e indiciario, y no definitivo, más propio de la fase de juicio oral.

En definitiva, como indica la jurisprudencia, no es pertinente en esta resolución hacer un juicio valorativo similar al que se hace en el momento de dictar sentencia, cuando el órgano judicial competente a la vista de las pruebas practicadas, debe formar un juicio definitivo, ya en términos de certeza y no de mera probabilidad, como por el contrario si debe serlo el de este auto considerando en el practicadas las diligencias procedentes para determinar la naturaleza de los hechos investigados ha de optar por alguna de las opciones previstas en el artículo 779 LECrim. Se trata de una resolución dictada en el trámite de las diligencias previas en las que no se resuelve sobre la acción penal ejercitada, sino sólo acerca de la constatación indiciaria de una posible infracción penal. La provisionalidad y el mero carácter instrumental de tal fase del proceso, impiden considerar que las resoluciones dictadas en ella puedan condicionar la ulterior decisión del órgano sentenciador, al que compete en exclusiva resolver la cuestión de fondo sobre la concurrencia o no de los concretos elementos integradores del delito que se somete a su juicio ( SSTC 168/2001, de 16 de julio; y 112/2003, de 16 de junio). Pretender lo contario, sería desnaturalizar hasta límites insospechados el acto del juicio oral, acto nuclear y esencial sin duda, por el que culmina el proceso penal.

En esta fase del procedimiento resulta suficiente la existencia de indicios que establezcan la probabilidad de la imputación del acusado en el ilícito que se le imputa, aunque con ello no se excluye que tal implicación no exista. El auto de transformación, como venimos reiterando a lo largo de la presente, no prejuzga la culpabilidad de un investigado, ni de ninguna forma excluye su inocencia. Basta con que no aparezca claramente descartable la existencia de infracción penal, para que conforme al artículo 779. 1.4ª LECrim., el proceso deba continuar.

La instrucción previa al enjuiciamiento oral debe limitarse a los elementos básicos del esclarecimiento de los hechos mediante un sucinto análisis de los indicios racionales de criminalidad aportados frente a los hipotéticos autores o copartícipes, subsiguiente determinación de las circunstancias que pudieran concurrir para agravar o atenuar la hipotética responsabilidad criminal, así como la correcta identificación, en su caso, de los perjudicados por el delito para el ofrecimiento de las acciones penales y civiles previstas en el artículo 109 LECrim., puesto que en la fase en la que se encuentra el procedimiento la decisión de archivarlo sólo puede ser adoptada, al amparo de lo establecido en el artículo 779.1º LECrim., cunado las diligencias de investigación practicadas evidencien de forma objetiva y clara, sin necesidad de interpretaciones subjetivas, la inexistencia de los hechos objeto de la investigación o la atipicidad de los que se demuestren existentes o que no aparezca suficientemente justificada, sin perjuicio de posterior juicio completo sobre la fundabilidad de la acusación que se debe realizar en momento posterior.

CUARTO.- Acerca de la improcedencia de dictar auto de transformación en procedimiento abreviado existiendo diligencias de investigación pendientes de practicar.

Argumenta el recurrente acerca de la improcedencia de dictar la auto de proceso abreviado existiendo diligencias de investigación pendientes de realizar, como es el resultado de la comisión rogatoria internacional dirigida a las autoridades de Hong Kong, lo que le causaría indefensión, ya que no podría verificar ni discutir la existencia y contenido de la comisión rogatoria, sin que pueda abrirse la fase de procedimiento abreviado, dejando para su posterior incorporación la realización de una diligencia de prueba, ya que privaría a esta parte del derecho de contradicción.

Ello no es así, ya que el resultado de la comisión rogatoria a Hong Kong ha sido ya avanzado vía policial y por ende a las partes, y ello con independencia de su incorporación formal a las actuaciones una vez se reciba, pudiendo ejercitar el derecho de defensa en toda su plenitud, aludiendo a la necesidad de no alargar innecesariamente la fase de instrucción máxime cuando el interesado se encuentra en situación de prisión provisional, lo que supondría unas dilaciones indebidas más que evidentes, habiendo ya declarado sobre los extremos contenidos en la citada comisión rogatoria.

A mayor abundamiento, la instrucción previa al enjuiciamiento oral debe limitarse a los elementos básicos del esclarecimiento de los hechos mediante un sucinto análisis de los indicios racionales de criminalidad aportados frente a los hipotéticos autores o copartícipes, subsiguiente determinación de las circunstancias que pudieran concurrir para agravar o atenuar la hipotética responsabilidad criminal, así como la correcta identificación - en su caso- de los perjudicados por el delito, para el ofrecimiento de las acciones penales y civiles previstas en el artículo 109 LECrim., puesto que en la fase en la que se encuentra el procedimiento, la decisión de archivo sólo puede ser adoptada, al amparo de lo establecido en el artículo 779.1º LECrim., cuando las diligencias de investigación practicadas evidencien claramente de forma objetiva , sin necesidad de interpretaciones subjetivas, la inexistencia de los hechos objeto de la investigación, o la atipicidad de los que se demuestren existentes o que no aparezcan suficientemente justificados. Como se ha dicho, el auto de transformación no prejuzga la culpabilidad del investigado, ni excluye su inocencia; lo exigible es la existencia de indicios racionales sobre la comisión de los hechos y la participación en los mismos del investigado.

Como recodaba la ya citada STS 530/2014, de 10 de junio, uno de los presupuestos de esta resolución es de tal resolución es que hayan sido practicadas las diligencias pertinentes ( art. 779.1.LECrim). En relación con ello, la STS 669/2015, de 29 de octubre, nos dice que: "La fase de instrucción tiene como finalidad -como precisa el artículo 299 de la LECrim - preparar el juicio y averiguar y hacer constar la perpetración de los delitos con todas las circunstancias que puedan influir en su calificación y la culpabilidad de los delincuentes, asegurando sus personas y las responsabilidades pecuniarias de los mismos; o como indica el artículo 777 LECrim., practicar las diligencias necesarias encaminadas a determinar la naturaleza y circunstancias del hecho, las personas que en él haya participado y el órgano competente para el enjuiciamiento. De modo que solo las diligencias que entienda el juez de instrucción que pueden conducir al logro del referido objeto serán admisibles y practicables en tal fase, sin perjuicio, como prevé el artículo 314 de la LECrim., de que puedan ser propuestas de nuevo en el juicio oral. Dichas diligencias también podrán ser pedidas por las partes acusadoras y por el Ministerio Fiscal, en el trámite de instrucción ante la Audiencia del artículo 627 LECrim., pero -de conformidad con la doctrina del Tribunal Constitucional ( STC 66/89, de 17 de abril)- en este trámite debe oírse también a los procesados para evitar la desigualdad de las partes procesales y la indefensión que veta el artículo 24 CE (...).

En el caso que nos ocupa, tal y como hemos razonado anteriormente, la resolución ahora combatida contiene una serie de indicios de criminalidad respecto del ahora recurrente, suficientes a los efectos que nos ocupan, para dará por concluida la fase de instrucción, sin necesidad de agotar la totalidad de las diligencias de investigación cuya practica fuere posible, ya que las mismas podrán ser en su caso solicitadas como medios de prueba para practicarse en el acto del juicio oral. Por ello, la argumentación esgrimida por el recurrente no es óbice para la decisión de transformación de las actuaciones a los trámites del procedimiento abreviado.

QUINTO.- Las diligencias del Juzgado de Instrucción nº 8 de Murcia.

Dicho motivo de recurso debe ser asimismo rechazado, ya que como bien indica el Instructor, la incorporación de dichas diligencias no ha sido objeto de valoración alguna para sustentar la existencia de indicios racionales de criminalidad del ahora recurrente en el auto que acuerda la continuación de las actuaciones por los trámites del procedimiento abreviado, con cita del artículo 297 LECrim., y la consideración del atestado como una mera denuncia, no procediendo nulidad de ningún tipo, máxime cuando no consta ni tan siquiera que aquellas hubieren sido tenidas en cuenta a efectos de la resolución que nos ocupa.

Por último, respecto a la petición de un plazo superior para examinar la numerosa información técnica e informática unida a los autos, a fin de proponer las diligencias de investigación de descargo que entienda pertinentes para su defensa, para lo que sería necesario que los agentes de la policía nacional devolvieran los dispositivos que en su día incautaron al investigado durante la entrada y registro de su domicilio, no forma parte del objeto del recurso de apelación contra el auto de transformación de las actuaciones por los trámites del procedimiento abreviado, deberá interesarlo directamente del Instructor al hilo del traslado previsto en el artículo 780.1 LECrim.

Vistos los artículos citados y demás de general y pertinente aplicación.