Un adolescente fue arrestado por el ciberataque a casinos en Las Vegas que causó pérdidas por USD 100 millones

Un adolescente fue arrestado en Las Vegas tras ser identificado como presunto responsable de una serie de ciberataques cometidos entre agosto y octubre de 2023 contra casinos locales, entre ellos MGM Resorts y Caesars Entertainment, provocando una pérdida por USD 100 millones. De acuerdo con un comunicado de prensa del Las Vegas Metropolitan Police Department (LVMPD), los ataques fueron realizados por un grupo conocido bajo varias denominaciones, incluyendo “Scattered Spider”, “Octo Tempest”, “UNC3944” y “0ktapus”.

El 17 de septiembre de 2025, el sospechoso, cuya identidad no ha sido revelada al tratarse de un menor de edad, se entregó a la justicia y fue ingresado en el centro de detención juvenil del condado de Clark. La Fiscalía del condado de Clark busca transferir el caso a la división penal para que el acusado enfrente los cargos como adulto. El LVMPD aseguró que la investigación fue asumida por la FBI Cyber Task Force de Las Vegas, en la que también interviene el grupo de investigaciones cibernéticas de la policía local.

Tras varios meses, los detectives lograron identificar al menor relacionado con el caso y le imputaron tres cargos por uso y obtención de información personal de otras personas para causar daño o suplantar, uno por extorsión, uno por conspiración para cometer extorsión y uno por actos ilícitos relacionados con sistemas informáticos. Entre los principales objetivos figuraron el Bellagio, Mandalay Bay, Mirage y Luxor. Los ciberataques causaron daños relevantes a los sistemas informáticos, interrumpiendo operaciones y bloqueando servicios clave para empleados y clientes.

Impacto y consecuencias en las operaciones de los casinos

Durante los ataques, el acceso a las habitaciones mediante tarjetas digitales quedó inutilizado, las máquinas tragamonedas dejaron de funcionar y los sistemas de registro y cajeros automáticos presentaron interrupciones en 30 propiedades de MGM Resorts. Estos problemas provocaron un caos operativo que se extendió por nueve días y afectó a huéspedes en las ciudades de Las Vegas, Atlantic City y Detroit, además de otras localizaciones internacionales.

El 10 de septiembre de 2023, la compañía procedió al apagado de sistemas para contener la intrusión tras detectar la brecha un día después del ataque inicial. En una declaración presentada por MGM ante la Securities and Exchange Commission (SEC) el 5 de octubre de 2023, se reportaron pérdidas cercanas a los USD 100 millones relacionadas directamente con el incidente de ciberseguridad de septiembre.

Mientras tanto, Caesars Entertainment notificó en sus propios documentos entregados a la SEC que también fue objeto de un ciberataque; la empresa aseguró que había tomado medidas para lograr la eliminación de los datos sustraídos, aunque reconocía que no podía garantizar ese resultado. La información comprometida incluía desde nombres completos, direcciones, teléfonos y fechas de nacimiento hasta pasaportes, números de seguridad social y licencias de conducir de clientes.

Técnicas de intrusión y respuesta de las autoridades

El método utilizado para penetrar en los sistemas de MGM Resorts consistió en ingeniería social: un hacker localizó a un empleado del área de TI de la empresa en la red profesional LinkedIn y, suplantando su identidad, persuadió al equipo de asistencia técnica de MGM para que restableciera la contraseña de acceso. El proceso duró menos de diez minutos, permitiendo a los atacantes ingresar al entorno informático de MGM e instalar el software de secuestro digital que inutilizó sus infraestructuras.

Según información aportada por la policía, tanto la acción como la reacción de los casinos afectados generaron consecuencias legales: tras la divulgación del alcance del robo, se presentaron varias demandas colectivas en Estados Unidos, las cuales fueron consolidadas en una sola que culminó con un acuerdo por USD 45 millones. Los afectados recibieron notificaciones por correo electrónico sobre las formas de reclamar compensación y monitoreo crediticio gratuito por un año.

La Comisión Federal de Comercio (FTC) abrió una investigación sobre las prácticas de ciberseguridad adoptadas por MGM Resorts para determinar posibles infracciones a la Ley Gramm-Leach-Bliley y la Ley de Informe de Crédito Justo. El 25 de enero de 2024, la FTC envió a MGM una demanda civil requiriendo información en 100 categorías distintas, lo que fue rechazado judicialmente por la compañía. Finalmente, en febrero de 2025, la FTC informó a los representantes legales de MGM que daba por terminada la investigación.