Dónde termina la información de personas y empresas extraída por ciberdelincuentes

El camino que recorren los datos privados robados en ataques informáticos es mucho más directo de lo que se suele imaginar. Los expertos en cibercrimen explican que, tras una filtración de información, los datos personales y empresariales terminan en mercados digitales donde se negocian, se perfila la información recopilada y se comercia con ella para diversos fines.

La motivación económica lidera la explicación de estos delitos. Autoridades en la investigación de ciberdelitos han confirmado la existencia de carteras frías —sistemas fuera de línea para almacenar criptoactivos— cuyo valor asciende a varios millones de euros: “Hemos visto billeteras frías de un par de millones de euros. El mayor caso que detectamos fue de cinco millones de euros”, relató a El País un investigador de un caso reciente en España.

Los datos robados pueden agruparse y venderse más caro si contienen información específica y detallada, como perfilados que incluyen residencia, ingresos o hábitos de consumo de una persona. Gracias a softwares especializados, es posible recolectar piezas de información dispersa y reconstruir la vida digital de una víctima, sabiendo si tiene seguros, vehículos, domicilio actual, empleo y otros detalles, tal como detallan los investigadores.

El destino de estas bases de datos ilícitas no se reduce a la simple venta a organizaciones criminales. Tanto empresas de ciberinteligencia como entidades financieras han acudido a estos mercados para verificar la exposición de sus clientes, o detectar el robo de tarjetas y credenciales.

Guillermo Suárez-Tangil, investigador del instituto Imdea Networks, describe este fenómeno: “Empresas de inteligencia de ciberamenazas las compran para ver si sus clientes han sido afectados por un robo, incluidos bancos que descubren si la tarjeta de crédito de uno de sus clientes ha sido robada, hasta empresas que sacan un beneficio económico directo, como por ejemplo conseguir que hagamos la portabilidad de nuestro número de teléfono a otra compañía”.

Incluso existen casos en los que operadores de telefonía acceden a esa información para contactar a clientes de la competencia o individuos que han sido objeto de perfilado. Suárez-Tangil agrega: “Hace poco me llamaron personalmente, en teoría, de mi operador de telefonía móvil. Sabían cuál era mi número de teléfono, mi compañía y mi nombre, claramente por un perfilado con datos robados. Luego llegó la segunda llamada de otra presunta compañía”.

Como objetivo fundamental, estos datos permiten perpetrar estafas dirigidas, campañas de phishing, campañas comerciales no consentidas y sofisticados ataques de ingeniería social.

Sergio Pastrana, profesor de Informática en la Universidad Carlos III, recalca el papel de estos datos en ataques avanzados: “Es típico usar estas filtraciones para obtener toda la información posible sobre una víctima, con el fin de hacer algún tipo de ataque de ingeniería social avanzado (...) los datos robados tienen gran valor aquí”.

Quienes perpetran los ataques digitales presentan, en muchos casos, un perfil inesperado. Las redes policiales internacionales han documentado la actividad de jóvenes que, desde la adolescencia, se han sumergido en foros especializados, han compartido herramientas y vulnerabilidades, e incluso han colaborado entre sí para acometer los ataques.

Representantes de la investigación aseguran que algunos de estos jóvenes compiten y buscan reconocimiento en su entorno virtual: tras una detención, uno de ellos llegó a compartir en redes sociales la hoja de derechos policiales como si se tratara de una insignia.

La facilidad con la que los atacantes pueden operar se agrava por la laxitud de las consecuencias legales. Los castigos suelen ser moderados y se encuadran como delitos contra la propiedad, daños informáticos o violaciones a la intimidad, recibiendo penas que rara vez superan los cuatro años.

Asimismo, los asaltos a las redes empresariales suelen llevarse a cabo durante fines de semana o en horarios en que hay menos vigilancia interna, lo que facilita la intrusión y la exfiltración de datos sin ser advertidos.

El punto de fragilidad más común reside tanto en los hábitos de los usuarios como en la infraestructura tecnológica de las organizaciones. Un solo ordenador desactualizado en una filial, o una contraseña repetida en múltiples servicios personales y laborales, puede bastar para abrir el acceso a redes enteras.