Los delincuentes informáticos diversifican sus objetivos

Ejecutivos que se pasan a una compañí­a y se llevan secretos en un soporte informático, robos de datos personales que estaban bajo custodia de una tercerizada, extorsiones a partir del secuestro de datos vitales y confidenciales, alquiler de redes de computadoras zombies para perpetrar ataques, ofensivas desde Internet contra los servidores de una firma rival, son algunas de las modalidades de ciberdelincuencia que proliferan cada vez más en todo el mundo.

Las técnicas y maniobras que emplean los delincuentes informáticos y los empleados deshonestos de organizaciones fueron explicadas por Laura Chapell, una de las especialistas de seguridad en tecnologí­as de la información (TI) más reconocidas en el mundo.

Chappell, fundadora del Instituto de Análisis de Protocolos, es famosa por su experiencia en lo que sucede en una red a nivel de paquetes. Es una oradora frecuente en eventos técnicos de grandes empresas y de la industria de TI. Su instituto se concentra en la investigación de protocolos y aplicaciones y en el desarrollo de material educativo para quienes se dedican a solucionar problemas de redes, analistas, ingenieros y técnicos de seguridad. Es asesora del Gobierno estadounidense en materia de seguridad informática.

En una de las sesiones de la conferencia ManageFusion 2006, realizada este mes en la ciudad estadounidense de Orlando, Chapell repasó una docena de casos de "cibercrimenes", tal como los cataloga el Departamento de Justicia del paí­s norteamericano.

La especialista señaló que los atacantes apuntan a afectar "la confidencialidad, la integridad y la disponibilidad" de los datos, tanto de organizaciones como de usuarios.

Los crí­menes fueron clasificados por Chappell de acuerdo a la siguiente tipologí­a:

• Intrusión de computadoras, más conocido como "hacking".
• Robo y tráfico de contraseñas.
• Piraterí­a de obras y trabajos protegidos por copyright.
• Robo de secretos comerciales.
• Falsificación de marcas comerciales.
• Pornografí­a y explotación infantil.
• Fraudes a través de Internet y el correo electrónico basura (spam).
• Acoso y bombardeo de amenazas a través de Internet.
• Tráfico de dispositivos y técnicas.

Aquí­, algunos de los casos repasados por Chapell:

FraudeSuibin Zhang trabajaba como manager de producto en la empresa NetGear en la ciudad californiana de San José, entre agosto de 2000 y abril de 2005. El 21 de diciembre pasado fue condenado por fraude, hurto y descarga desautorizada, copiado, transmisión y posesión ilegal de secretos comerciales de la empresa Marvell. Si la condena queda firme, puede llegar a sufrir 75 años de prisión y el pago de 2 millones de dólares.

Zhang habí­a descargado docenas de archivos de Marvell en mayo de 2005 después de aceptar una posición con el competidor de esta compañí­a, Broadband. Zhang tení­a acceso a la red interna de Marvell a través de un acuerdo con Netgear, un cliente de la damnificada, pese a que el manager de producto estaba limitado por un acuerdo a no acceder a esos datos. Dos dí­as después de comenzar el trabajo en Broadcom en abril, Zhang cargó muchos de los archivos que contení­an los secretos comerciales de Marvell en una computadora portátil. Robo de datosScott Levine era un empresario del estado de Florida que tení­a una compañí­a de enví­o masivo de e-mails. Fue condenado por robar más de 1.500 millones de archivos de la firma Acxiom, uno de los creadores de bases de datos de consumidores más importantes del mundo. Levine, de 46 años, natural de Boca Ratón (Florida), fue condenado el 6 de enero de 2005 después de que un tribunal de distrito estadounidense lo halló culpable de 120 cargos de robo por computadora, dos cargos de fraude y uno de obstrucción a la justicia.

Por los robos podrí­an caerle 5 años de prisión y una multa de 250.000 dólares, más otros 250.000 dólares de multa y hasta 10 años de cárcel por el fraude. La obstrucción a la justicia podrí­a hacerle pasar 20 años en prisión y pagar también 250.000 dólares. Según el fiscal, Levine, durante un perí­odo de 16 meses que acabó en agosto de 2003, se aprovechó de un fallo en el sistema de seguridad de Acxiom para robar los archivos, que esperaba usar para aumentar el valor de Snipermail.com, su empresa de enví­o masivo de e-mails, hoy clausurada. Levine robó direcciones fí­sicas y de correo electrónico y números de tarjetas de crédito y de cuentas bancarias de cheques. Secuestro de datosRichard Benimeli, de 55 años, fue condenado en febrero de 2006 por los daños cometidos a un sistema informático y por extorsión. Benimeli era un consultor de sistemas que trabajaba bajo contrato con la empresa Storefront Systems y Services, en el estado de Ohio. En forma intencional, infectó las computadoras de la compañí­a con códigos maliciosos que secuestraron datos confidenciales, tras lo cual extorsionó a sus contratistas por 5 mil dólares para liberar el acceso y restablecer las contraseñas de todos los usuarios de la red de la empresa.Ataques con computadoras zombiesA principios del 2006 la justicia de los EEUU atrapó a Jeanson James Ancheta. Con sus bots, programas informáticos que los ciberdelincuentes aprovechan para realizar acciones repetitivas y rutinarias de infección, logró tomar el control de 500.000 computadoras. Ancheta era un conocido miembro de "Botmaster Underground", la red secreta de hackers de computadoras expertos en ataques bot a sueldo. En el juicio que terminó por condenarlo a casi cinco años de cárcel y fuertes multas reconoció que ganaba cerca de u$s150 por cada 1.000 PC infectadas. Por supuesto, como mayor fuera el número de equipos a los que el hacker tuviera control mayor serian los ingresos que podí­a conseguir. Ancheta llegó a controlar 500.000 computadoras consiguiendo, como mí­nimo, unos ingresos de 75.000 dólares.EnseñanzasAl concluir su conferencia ante los participantes de ManageFusion, un evento organizado por la empresa Altiris, proveedor de soluciones de administración orientadas a servicios, junto con Intel y Dell, Chapell enumeró las "enseñanzas" que dejan estos casos:

• Coordinación entre organismos oficiales y entidades privadas para prevenir estos ataques.
• Auditorias frecuentes en los sistemas de las organizaciones.
• Control de las identidades de los usuarios que acceden a una red.
• Control en los puntos de accesos a la red.
• Análisis forenses de los delitos informáticos.
• Preparación de usuarios y organizaciones para responder en caso de intrusiones.

César DergarabedianEnviado especial a Orlando, EEUUcdergarabedian@infobae.com Infobaeprofesional.com