Con la excusa de una emergencia policial, pueden robar tus datos de Amazon, Apple y Meta en 20 minutos

Solo bastan 20 minutos para que los ciberdelincuentes puedan robar información aprovechando la excusa de una “emergencia policial”, buscando datos de usuarios de Amazon, Apple, Meta, entre otras empresas.

El método se apoya en procedimientos legales diseñados para situaciones límite, los cuales, manipulados por criminales, han permitido cientos de filtraciones en tiempo récord, según revela WIRED.

Cómo es la estafa de la “emergencia policial”

La estafa explota un recurso legal denominado “Solicitud de Datos de Emergencia” o EDR (por sus siglas en inglés). Este proceso está reservado para fuerzas de seguridad que, ante amenazas inminentes o riesgo de muerte, necesitan obtener información personal de usuarios alojada en servidores de grandes tecnológicas sin tener antes una orden judicial.

La urgencia y la posibilidad de salvar vidas justifican la omisión de pasos de verificación adicionales. Sin embargo, los criminales han aprendido a imitar a la perfección los procedimientos de la policía.

El modus operandi inicia con la creación o robo de cuentas de correo electrónico que aparentan pertenecer a agentes de fuerzas policiales. Los estafadores no solo falsifican las direcciones de email, sino que a menudo compran dominios web que simulan ser de organismos oficiales (como jaxsheriff.us en vez de jaxsheriff.org), y suplantan a verdaderos agentes usando sus nombres y números de placa, información que pueden recoger en documentos públicos o filtraciones previas.

Luego, emplean documentos legales falsificados, diseñados a partir de modelos legítimos para lograr la máxima verosimilitud. Así, remiten la solicitud a los departamentos legales de empresas como Amazon, Apple, Meta o Charter Communications, alegando que existe una situación de emergencia, incluso llegando a advertir sobre supuestos peligros de muerte.

Ante la premura, los equipos de las tecnológicas responden en cuestión de minutos y entregan nombres, direcciones, teléfonos, emails e incluso credenciales relacionadas con las cuentas objetivo.

Casos reales de víctimas de esta modalidad de ciberataque

Los detalles sobre la magnitud de la estafa surgen de testimonios recogidos por el equipo de WIRED, y de la propia declaración de un hacker que responde al alias Exempt.

Él asegura haber realizado este tipo de ataque con éxito hasta 500 veces en los últimos años, abarcando tanto gigantes tecnológicos como Apple, Amazon y plataformas de video como Rumble, entre otras. Exempt reveló registros de emails, grabaciones telefónicas con personal de respuesta legal y documentos intercambiados durante los fraudes, demostrando la vulnerabilidad del sistema.

Uno de los ejemplos más recientes documentados ocurrió con la compañía Charter Communications. En este caso, la respuesta a una solicitud falsa fue emitida en apenas veinte minutos, facilitando al grupo de hackers datos sensibles de un usuario identificado solo como un “gamer” de Nueva York.

Estos ataques exponen a las víctimas a riesgos mayores, como amenazas, acoso o incluso ataques de “swatting” (falsas denuncias para enviar fuerzas de seguridad de manera violenta a sus domicilios).

Los grupos organizados detrás de estas operaciones venden la información obtenida en foros de la dark web frecuentados por ciberdelincuentes. Los datos robados permiten lanzar campañas de Phishing, fraudes de todo tipo o alimentar nuevas cadenas de estafas.

Las cifras reveladas por Exempt muestran la rentabilidad del esquema: en solo el mes de agosto, la organización recaudó más de 18.000 dólares, y algunos “doxings” (obtención y venta de datos) llegan a valer hasta 1.200 dólares por víctima.

Cómo puede prevenirse esta estafa

Si bien la mayor responsabilidad recae sobre las compañías que almacenan los datos, algunos aspectos pueden considerarse al pensar en la protección de la información personal. Para los usuarios, resulta complejo anticipar este tipo de brechas, ya que la filtración ocurre por canales internos y legales de las empresas, sin intervención del propio afectado. Por tanto:

• Mantener actualizadas las credenciales y contraseñas en todas las cuentas y habilitar la autenticación en dos pasos suma una barrera frente al acceso indebido resultante de ataques posteriores.
• Desconfiar de mensajes, llamados y emails inesperados que soliciten datos privados o deriven a páginas externas, aun si parecen relacionados con la propia cuenta.
• Para las empresas, la tendencia apunta a migrar hacia portales seguros y abandonar progresivamente la gestión de solicitudes por correo electrónico, fortaleciendo los mecanismos de verificación.