Piratas informáticos atacaron a miles de personas y cientos de instituciones en todo el mundo

LONDRES — El grupo de piratas informáticos “Dark Basin” apuntó a miles de personas y cientos de instituciones en todo el mundo -incluidos grupos de activismo, periodistas, funcionarios electos, abogados, fondos de cobertura y empresas- según Citizen Lab, un instituto enfocado en temas de internet.

Los investigadores descubrieron casi 28.000 páginas web creadas por piratas informáticos para efectuar ataques personalizados de “spear phishing” (suplantación de identidad), diseñados para robar contraseñas, según un informe publicado el martes por la antedicha institución, que depende de la Escuela Munk de la Universidad de Toronto.

“Los vemos una y otra vez en áreas donde los negocios y la política son controvertidos”, indicó John Scott-Railton, autor principal del informe, quien agregó que los piratas informáticos actuaron de forma “descarada; piensan que son intocables”.

El reporte expuso que un gran grupo de personas y organizaciones específicas estaban involucradas en asuntos ambientales y habían hecho campaña contra ExxonMobil, la petrolera de EE.UU. Entre ellos entidades como Rockefeller Family Fund, Climate Investigations Center, Greenpeace, Conservation Law Foundation y Union of Concerned Scientists. Exxon declinó hacer comentarios antes de “revisar el informe completo”.

“El crecimiento de una industria de la piratería por contratación puede verse impulsado por la creciente normalización de otras formas de actividad ciberdefensiva comercializada, desde la vigilancia digital hasta el ‘contraataque’, ya sea dirigida a particulares, gobiernos o el sector privado”, señala el informe.

El documento agrega que el relevante material había sido compartido con el Departamento de Justicia de EE.UU. El grupo de ciberseguridad NortonLifeLock también llevó a cabo una investigación paralela sobre el pirateo.

Citizen Lab señaló: “El objetivo de Dark Basin era generalizado e implicaba a múltiples industrias”. La entidad agregó que un ejemplo destacado fue la focalización en “fondos de cobertura, vendedores al descubierto, periodistas e investigadores que trabajan en temas relacionados con irregularidades contables del procesador de pagos alemán Wirecard”.

Wirecard es una de las compañías tecnológicas más destacadas de su país, que se ha enfrentado al escrutinio crítico de su contabilidad durante años. Su junta administrativa está bajo investigación por sospecha de manipulación del mercado en relación con una reciente auditoría especial que no logró resolver cuestiones de fraude contable. La empresa y sus ejecutivos negaron cualquier irregularidad.

Citizen Lab expuso que, en el caso de los críticos de Wirecard, “algunas personas fueron atacadas casi a diario durante meses, y continuaron recibiendo mensajes por años”. El informe también remarca que los correos electrónicos privados de algunos de los destinatarios se dieron a conocer mediante posteos en línea.

El informe agrega que el grupo de piratas informáticos contratados que solía llevar a cabo los ataques estaba vinculado “con gran confianza a una empresa india, BellTroX InfoTech”, una consultora de tecnología que anunciaba servicios como “ciberinteligencia”, con el eslogan “Usted lo desea, nosotros ¡lo hacemos!”.

El sitio web del grupo fue desactivado en los últimos días y su número de teléfono ha sido desconectado. BellTroX no respondió a una solicitud de comentarios enviada por correo electrónico.

El informe de Citizen Lab señaló que los casos anteriores indicaban que dicha piratería se organizaba “a través de un conjunto turbio de capas contractuales, de pagos e intercambio de información que podían incluir bufetes de abogados e investigadores privados, y que permitían a los clientes un grado de denegabilidad plausible y distancia”.

La investigación se inició después de que un periodista de Reuters que había investigado a Wirecard y fue blanco de una campaña de phishing contactó a Citizen Lab en 2017, según personas familiarizadas con la situación. Varios periodistas del Financial Times también fueron atacados con correos electrónicos que pretendían ser de amigos y colegas, en algunos casos mediante fotografías extraídas de cuentas de las redes sociales.

El Financial Times informó anteriormente que un exjefe de inteligencia de Libia financió el año pasado una operación de vigilancia en Londres contra una serie de inversores considerados críticos de Wirecard. El grupo de pagos reconoció anteriormente haber encargado una consultoría forense externa en 2016, para identificar los antecedentes de los vendedores al descubierto que habían publicado un expediente crítico sobre la firma, pero negó haber comisionado cualquier operación de vigilancia para investigar o seguir a individuos. “Wirecard AG nunca ha estado en contacto directo o indirecto con un grupo de piratas informáticos de la India”, aseguró el martes el grupo de pagos al Financial Times.

Los ataques de phishing de Dark Basin tomaron la forma de correos electrónicos creados a semejanza de los enviados por servicios populares, como YouTube, Dropbox y LinkedIn. Contenían direcciones de sitios web acortadas, conocidas como URL, que llevaban a los blancos a páginas similares a las de inicio de sesión de dichos servicios.

Citizen Lab comentó que “la sofisticación del contenido del cebo, la especificidad para el objetivo, la importancia del mensaje y la persistencia en el tiempo variaron ampliamente”.

El informe ratifica que “pudimos identificar a varios empleados de BellTroX cuyas actividades se superponían con Dark Basin porque usaban documentos personales, incluido un CV, como contenido de cebo cuando probaban sus acortadores de URL. También publicaban en las redes sociales, describiendo y reconociendo autoría de los ataques cibernéticos, con capturas de pantalla de enlaces a la infraestructura de Dark Basin”.

En 2015, el Departamento de Justicia acusó a varios investigadores privados y a un ciudadano indio en relación con otra argucia de piratería por encargo. Posteriormente, cuatro de esos individuos se declararon culpables de hackeo en un acuerdo con los fiscales, y uno recibió una pena privativa de libertad. El ciudadano indio, que según la fiscalía está prófugo y podría residir en el área de Nueva Delhi, es director de BellTroX.

“Las acciones descritas en esa acusación, incluidas las extensas relaciones con investigadores privados, son similares a las que atribuimos a BellTroX”, agrega el informe.

Según un archivo de su sitio web, BellTroX también brindaba servicios de transcripción médica a proveedores de atención de salud en EE.UU, Reino Unido, Australia y Canadá.

Con reportes adicionales de Derek Brower, en Londres.

© The Financial Times Ltd. 2020. Todos los derechos reservados. FT y Financial Times son marcas comerciales de Financial Times Ltd. No se deben redistribuir, copiar o modificar de forma alguna.

Para leer esta nota en inglés haga clic aquí