El caso revela cómo el acceso privilegiado a sistemas
informáticos puede convertirse en una amenaza interna cuando quienes lo poseen
traicionan la confianza depositada en ellos
Dos antiguos expertos en ciberseguridad que
ocuparon cargos clave en empresas especializadas se declararon culpables de
orquestar ataques de ransomware y
extorsionar a una empresa de dispositivos médicos por USD 1,2 millones,
según informó el Departamento de Justicia de Estados Unidos (DOJ).
La acusación judicial indica que Ryan Goldberg,
exgerente de respuesta a incidentes en Sygnia Cybersecurity Services,
y Kevin Martin, antiguo negociador ante ransomware en Digital
Mint, aprovecharon sus conocimientos —adquiridos precisamente para proteger
a compañías frente a ciberataques— para cometer estos delitos.
Así se cometió el ciberdelito
Según el reporte, en 2023 los acusados accedieron
ilícitamente a la red de una empresa de dispositivos médicos en Estados Unidos,
donde cifraron y sustrajeron datos sensibles antes de exigir el pago de un
rescate en criptomonedas. La compañía accedió a pagar el monto solicitado
en Bitcoin, constituyendo uno de los mayores pagos conocidos en
este tipo de casos en el país.
Tras ese ataque exitoso, Goldberg y Martin intentaron
replicar su esquema de extorsión empresarial contra otras
compañías estadounidenses. De acuerdo con el DOJ, exigieron pagos a
una firma farmacéutica con sede en Maryland, solicitaron USD 5 millones a
una consulta médica en California, USD 1 millón a una empresa
de ingeniería ubicada en el mismo estado y USD 300.000 a un
fabricante de drones en Virginia.
Estos intentos resultaron infructuosos, pero demuestran el
alcance y la confianza de los implicados al seleccionar sectores
críticos como la salud y la tecnología.
El grupo empleó el software malicioso ALPHV/BlackCat,
una variante de ransomware de alto perfil, dentro de un esquema de “ransomware
como servicio”, donde los desarrolladores distribuyen el malware a
afiliados encargados de ejecutar los ataques y ambos comparten los fondos
extorsionados.
El DOJ señaló que, tras infiltrar las redes
de las víctimas, los implicados cifraban la información y robaban datos
confidenciales, incrementando la presión sobre las empresas. Los pagos
obtenidos eran canalizados a través de múltiples monederos de criptomonedas
para dificultar la trazabilidad de los fondos.
Hasta 20 años de prisión
El proceso judicial se desarrolla en el Distrito Sur
de Florida, donde los acusados enfrentan cargos por conspiración para
interferir con el comercio interestatal mediante extorsión, la propia
interferencia con el comercio por extorsión y daño intencional a sistemas
informáticos protegidos.
Según la acusación, los dos primeros cargos pueden conllevar
hasta 20 años de prisión, mientras que el tercero implica una
posible condena de 10 años. Tanto Goldberg como Martin admitieron
su responsabilidad por conspiración en noviembre de 2023; la lectura de
sentencia está prevista para el 12 de marzo de 2026.
Varios portavoces destacaron la gravedad ética de estos
hechos. El fiscal adjunto A. Tysen Duva, del Departamento
de Justicia de EE. UU., subrayó que ambos implicados “emplearon formación y
experiencia en ciberseguridad —destinadas a proteger infraestructuras críticas—
para perpetrar precisamente los delitos que debían impedir”.
El caso evidencia que incluso los mayores riesgos de la
economía digital pueden surgir desde el interior de las organizaciones, a manos
de quienes originalmente estaban encargados de su defensa.
