Jabaroot (també estilitzat com JabaRoot DZ o Jabaroot DZ) és el nom utilitzat des de l'abril de 2025 per un actor o possible conjunt d'actors de ciberamenaces que ha reivindicat diverses intrusions i filtracions de dades relacionades amb institucions públiques del Marroc. Es presenta com a algerià i ha difós el material principalment mitjançant canals de Telegram i fòrums de ciberdelinqüència.
La seua primera acció coneguda va ser la filtració de dades de la Caixa Nacional de Seguretat Social (CNSS), considerada aleshores la bretxa de dades més important reconeguda per les autoritats marroquines. Posteriorment va reivindicar filtracions relacionades amb una plataforma notarial, la CNOPS, el Ministeri de Justícia, la NARSA, alts càrrecs i el personal dels servicis de seguretat. Estes reivindicacions han tingut graus de verificació diferents i no totes han implicat una intrusió confirmada en els sistemes de la institució assenyalada.
Encara que les autoritats i alguns mitjans marroquins l'han vinculat amb Algèria, no s'han establit de manera concloent la seua composició, localització ni una possible vinculació estatal. El nom prové del terme àrab jabarūt, que es pot traduir com «poder» o «domini».
Context Jabaroot va aparéixer en un moment de forta tensió entre Algèria i el Marroc. El 24 d'agost de 2021, Algèria va trencar unilateralment les relacions diplomàtiques amb el Marroc, al qual acusava d'actes hostils; Rabat va rebutjar les acusacions. Els dos estats mantenen, a més, posicions enfrontades sobre el Sàhara Occidental.
Jabaroot va presentar la seua primera acció com una represàlia per la presa de control del compte de l'agència de premsa algeriana APS en la xarxa social X, atribuïda a actors vinculats al Marroc. El compte va ser rebatejat com «Sahara Marocain» abans que la plataforma el suspenguera.
Història Atac a la CNSS i al Ministeri d'Inclusió Econòmica (abril de 2025) El 8 d'abril de 2025, un usuari amb l'àlies «Jabaroot» va anunciar en el fòrum BreachForums i en Telegram que havia obtingut dades de la CNSS, l'organisme que gestiona la seguretat social del sector privat marroquí.
El material publicat contenia més de 53.000 fitxers PDF i dos fitxers CSV amb informació de prop de 500.000 empreses i uns dos milions de treballadors. Les dades incloïen afiliacions empresarials, noms, identificadors personals, salaris declarats, dades bancàries i informació de contacte, en molts casos actualitzada fins al novembre de 2024. Entre les entitats afectades hi havia organismes públics, partits polítics, representacions diplomàtiques i grans empreses.
El mateix dia va ser alterat el lloc web del Ministeri d'Inclusió Econòmica, Petita Empresa, Ocupació i Competències. El Ministeri va restar importància a l'incident amb l'argument que la pàgina era merament informativa i no contenia dades personals. El grup va respondre amb la publicació de més de 3.000 nòmines que atribuïa a empleats del departament, l'autenticitat de les quals va ser negada pel Ministeri.
La CNSS va reconéixer haver patit una sèrie de ciberatacs, però va advertir que una part dels documents en circulació era «sovint falsa, inexacta o incompleta». Diversos mitjans marroquins van poder autenticar, no obstant això, una part de la informació publicada.
El portaveu del Govern, Mustapha Baitas, va qualificar els atacs d'«acte criminal» comés per «entitats hostils al Regne del Marroc», va anunciar que el cas havia passat a la justícia i els va interpretar com un intent de perjudicar els èxits diplomàtics del país. La Comissió Nacional de Control de la Protecció de Dades Personals (CNDP) va obrir una investigació i va recordar que la consulta, conservació o redistribució de la informació filtrada podia infringir la legislació marroquina sobre protecció de dades.
L'incident va provocar una successió d'accions de represàlia. El 10 d'abril, grups que es presentaven com a marroquins, entre els quals «Phantom Atlas» i «Moroccan Cyber Forces», van reivindicar intrusions contra organismes algerians.
Filtració de la plataforma notarial Tawtik, atribuïda inicialment a l'ANCFCC (juny de 2025) El 2 de juny de 2025, Jabaroot va afirmar en el fòrum DarkForums que havia obtingut les bases de dades de l'Agència Nacional de Conservació de la Propietat, del Cadastre i de la Cartografia (ANCFCC). Va assegurar que disposava de mostres d'uns 10.000 certificats de propietat i prop de 20.000 documents, entre els quals hi havia escriptures, documents d'estat civil, còpies de documents d'identitat i documentació bancària. El grup va xifrar el suposat conjunt complet en més de quatre milions de documents i quatre terabytes.
CybelAngel només va poder obtindre un fitxer incomplet de 4,8 gigabytes que contenia prop de 20.000 documents PDF i va assenyalar que no havia sigut possible verificar el volum total reivindicat pel grup.
Una investigació de la Direcció General de Seguretat dels Sistemes d'Informació (DGSSI) va determinar posteriorment que les dades procedien exclusivament de tawtik.ma, una plataforma gestionada pel Consell Nacional de l'Orde dels Notaris. La DGSSI va descartar que els sistemes de l'ANCFCC hagueren sigut compromesos i va indicar que Tawtik havia sigut desconnectada temporalment per a corregir les vulnerabilitats que havien permés l'extracció.
Reivindicacions sobre el Ministeri de Justícia i la NARSA (juny de 2025) El 9 de juny, Jabaroot va afirmar que havia accedit a informació personal d'uns 5.000 jutges i 35.000 agents judicials. El Ministeri de Justícia va negar categòricament que les dades procediren dels seus sistemes i va assegurar que les seues plataformes no havien patit cap intrusió ni filtració.
El 12 de juny, el canal del grup va difondre quatre documents atribuïts a l'Agència Nacional de Seguretat Viària (NARSA): un comunicat de premsa, dos fotografies de vehicles que superaven la velocitat permesa i un avís d'infracció. Jabaroot no va indicar el volum de les dades que afirmava haver obtingut i, en el moment de la publicació, no s'havien confirmat ni l'autenticitat dels documents ni cap intrusió en els sistemes de la NARSA.
Filtracions sobre alts càrrecs i servicis de seguretat (2025) Durant els mesos següents, el canal de Telegram del grup va publicar una llista d'uns 3.400 empleats dels palaus reials i documentació sobre propietats immobiliàries atribuïdes al ministre d'Afers Estrangers, Nasser Bourita, al director de la intel·ligència exterior, Mohamed Yassine Mansouri, i a Mohamed Raji, número dos de la Direcció General de Vigilància del Territori (DGST).
El material publicat no va tindre un grau uniforme de verificació. Diversos mitjans van autenticar una part de les dades de la CNSS i van contrastar alguns documents posteriors, però no es van acreditar independentment tots els conjunts difosos ni que cada publicació procedira d'una intrusió nova.
L'1 de setembre de 2025, el rei Mohammed VI va nomenar el general de brigada Abdellah Boutrig director general de la DGSSI, en substitució del general El Mostapha Rabii. El comunicat oficial va presentar el relleu com una mesura destinada a reforçar la ciberseguretat de l'Estat, mentre que diversos mitjans el van relacionar amb les filtracions que s'havien produït durant els mesos anteriors.
Eixe mateix mes, la CNSS va licitar un contracte de 40 milions de dírhams per a reforçar els seus sistemes de seguretat informàtica.
Reivindicació contra la CNOPS (abril de 2026) El 8 d'abril de 2026, un any després de la bretxa de la CNSS, Jabaroot va reivindicar una intrusió en la Caixa Nacional d'Organismes de Previsió Social (CNOPS), l'organisme d'assegurança sanitària dels funcionaris. El grup va afirmar que havia extret «tres milions de línies» de dades.
Un fitxer examinat pel diari Le360 contenia informació de prop d'un milió de persones presentades com a afiliades, amb noms, números d'afiliació, documents d'identitat i adreces. El president de la CNDP, Omar Seghrouchni, va indicar que el cas es trobava en fase d'instrucció i va afirmar que darrere de l'acció hi havia «una agenda política».
La CNOPS no va confirmar públicament la intrusió. Especialistes consultats per Les Inspirations ÉCO van assenyalar que, a partir dels elements difosos, no es podia determinar si es tractava d'una extracció recent, de dades antigues reutilitzades o d'un esquer. Tampoc van descartar que diversos actors pogueren utilitzar el mateix pseudònim.
Crisi de Ceuta i filtració de dades de personal de seguretat (agost de 2026) L'entrada massiva de migrants a Ceuta a finals de juliol de 2026 va marcar una nova etapa en els missatges del grup. A partir del 7 d'agost, Jabaroot va exigir al Govern marroquí que demanara disculpes, decretara dol nacional i ajornara les eleccions legislatives previstes per al 23 de setembre.
El grup va afirmar, sense aportar proves independents, que els fets havien sigut planificats pel conseller reial Fouad Ali el Himma i per Abdellatif Hammouchi, director de la DGST i de la Direcció General de Seguretat Nacional (DGSN). Al mateix temps, va eximir expressament el monarca de qualsevol responsabilitat.
El 18 d'agost va publicar, com a mostra, els noms i les dates de naiximent d'una vintena de presumptes agents de la DGST i va afirmar que disposava d'una base de dades amb prop de 70.000 noms de personal de la DGSN i la DGST. Posteriorment, els fitxers van deixar d'estar accessibles en Telegram perquè, segons l'agència EFE, incomplien la política d'ús de la plataforma.
El 24 d'agost, Jabaroot va difondre quatre fulls de càlcul amb uns 70.000 registres de persones que presentava com a membres de la DGSN i la DGST. Els fitxers incloïen noms, números d'identificació i de compte bancari i dates de naiximent i contractació. El principal llistat barrejava personal dels dos organismes, per la qual cosa el seu contingut no permet descriure totes les persones incloses com a agents d'intel·ligència o «espies».
Antics agents consultats per mitjans espanyols van considerar autèntica una part de la informació, però els llistats no van ser verificats íntegrament. Le Monde va observar que la data de contractació més recent era de 2020 i que hi apareixien diverses persones que ja havien mort, fet que indicaria que, si els registres són reals, serien antics.
Per la seua banda, Médias24 va sostindre que una part significativa dels noms podia procedir de filtracions anteriors d'organismes de protecció social i correspondre a policies, administratius i altres funcionaris, no necessàriament a personal d'intel·ligència.
El 27 d'agost, la DGSN i la DGST van negar categòricament que s'haguera produït una intrusió en els seus sistemes. En un comunicat conjunt, van afirmar que la informació publicada era antiga i procedia de bases de dades gestionades per asseguradores i organismes de cobertura social i sanitària. També van denunciar la difusió de fotografies manipulades i documents falsificats i van anunciar que la investigació continuava sota la supervisió de la fiscalia.
Jabaroot va anunciar, a més, una segona entrega de suposades ordes de missió relacionades amb la crisi de Ceuta i va afirmar que disposava d'informació sobre l'ús del programari espia Pegasus contra el president del Govern espanyol, Pedro Sánchez. Fins al 26 d'agost no havia publicat documents ni proves tècniques que acreditaren cap de les dos afirmacions.
Motivació i mètode de difusió Jabaroot ha acompanyat les seues publicacions de missatges nacionalistes i de represàlia relacionats amb les tensions entre Algèria i el Marroc. Les filtracions s'han difós públicament i de manera escalonada mitjançant Telegram i fòrums d'internet, sovint destacant documents vinculats a figures simbòliques de l'Estat marroquí.