Crímenes tecnológicos: una realidad

Aunque la investigación de cibercrímenes apenas recaba pistas, las empresas deben tomar conciencia
Juan Antonio Oseguera

Sobran los ejemplos de famosos detectives de la literatura: Sherlock Holmes, Philip Marlowe, Hercule Poirot o Sam Spade. Recientemente, la industria fílmica legó un guardián robotizado: Robocop. Ahora, con ustedes, Cibercop, un detective de crímenes cibernéticos que en la vida civil es conocido como William Spernow.

-

“Hice mi vida en las máquinas. Trabajé en los programas del Apollo, como consultor independiente, desgraciadamente descubrí que no tenía mucho que hacer en este campo y entonces me involucré en la arena electrónica, como un experto técnico en el área de consultoría y asesoramiento para las 500 empresas más importantes en Estados Unidos. Esta actividad me llevó por el mundo entero instalando y reparando sistemas de gran escala. Fue una ardua labor que demandaba mi presencia siete días a la semana. Durante tres años estuve atado a una cuenta, no atendía ningún mensaje; mi cliente adoró esto, mi esposa lo odió”, cuenta la fría voz de Spernow durante la entrevista telefónica.

-

En una ocasión, cuando salía de Seúl, un agente aduanal lo detuvo porque cargaba en el maletín de la portátil no sólo la computadora, sino botellas de solución antiácido. “Había llegado al punto que con sólo ver una computadora, me atacaba el dolor gástrico. Cuando por fin logré abandonar el país, y durante el viaje en avión, tomé la decisión de que debía cambiar de profesión, abandonar las computadoras”.

-

Un amigo lo invitó a unirse a las fuerzas básicas de la policía de California. “Sólo debes atender un curso de 20 semanas y al final obtendrás un carro con torreta, una placa y una pistola.” Spernow creyó que sería buena idea y se enroló.

-

Una vez firmado el contrato, los de recursos humanos le dijeron: “Con este currículum, ¿adivina a dónde te vamos a asignar? A la división de sistemas de cómputo del departamento.” Y cuando estaba a punto de decirles que no le interesaba nada que tuviera que ver con computadoras, un capitán de la fuerza policial  colocó a Spernow en el área de reclusorios. Ahí estuvo algunos años y luego se trasladó al autopatrulla, pero al poco tiempo decidió que era demasiado peligroso. “Reconsideré mi decisión bajo la siguiente premisa: finalmente, las computadoras no te disparan. Así que combiné mi experiencia técnica con mis conocimientos policiales. De hecho, obtuve apoyo del Departamento de Justicia del estado de California para montar la oficina de capacitación de oficiales en crímenes de alta tecnología.”

-

Spernow estuvo ocho años al cargo de esta oficina, “hasta que el fondo federal se tornó inestable” y tuvo que pasar al sector privado, donde su trabajo se volvió más seguro y lucrativo. Se incorporó a Fidelity Investments, un despacho de inversión en Boston, como ciberpolicía. Su labor consistía en investigar todas las amenazas contra la infraestructura tecnológica (PC, teléfonos, redes, todo lo que estuviera asociado con algún aspecto tecnológico). Ahí trabajó dos años y actualmente escribe un libro.

-

A continuación, un extracto de la charla que Expansión sostuvo con él.

-

¿Hay que cuidarse más de los empleados o de gente externa?
Las empresas deben estar seguras de que tienen bien establecidas sus políticas y procedimientos que controlan las actividades no autorizadas, particularmente las que causen daño a las organizaciones, a sus clientes o a su reputación. Cuando trabajé en Fidelity Investments, las amenazas que ocurrieron estaban asociadas más bien con el estatus histórico de la empresa. Es decir, 80% eran internas y 20% externas. De las externas, la mayoría provenía de gente maliciosa que quería ocasionar problemas en algún punto y de las internas, se trataba de empleados y becarios resentidos.

-

¿Cuál fue su primer caso de crimen tecnológico?
Fue en diciembre de 1989 en Sacramento, California. Un caso de fraude en el que un quiropráctico usó una computadora personal para diagnosticar enfermedades a gente que no tenía cura con métodos tradicionales. El método de este fraudulento doctor era que sus pacientes pusieran la mano en la pantalla de la computadora y luego, con un programa, les diagnosticaba la enfermedad con sólo la lectura de la palma de la mano. El tipo fue hallado, la computadora confiscada (una IBM fabricada en 1987), pero no pasó de una multa.

-

El crimen tecnológico más antiguo del que tengo referencia fue a finales de los años 60 y también en California: fue el robo de código fuente de una mainframe.

-

¿Cómo se investiga un crimen de alta tecnología?
Hay que entender tanto la tecnología como a la mente que opera tras el incidente. Déjeme explicar: para investigar este tipo de casos es necesario un conocimiento profundo de telecomunicaciones, sistemas operativos de computación, software, hardware, aplicaciones, así como la funcionalidad de la infraestructura y cómo interactúa con otros elementos.

-

Un ciberpolicía tiene conocimientos tecnológicos,  que deben ser complementados con técnicas de investigación para entender las motivaciones que mueven a los criminales o a los empleados rencorosos que quieren provocar daños en las empresas violando sus políticas.

-

Es importante que el ciberpolicía sepa hacer las preguntas claves al acusado, para obtener la información que necesita. Debe saber qué equipo se utilizó, cómo se utilizó, qué huellas quedaron o qué candados traspasó para fincar responsabilidades. El reto más grande es que la evidencia debe estar en un gigabyte. Cuando trabajaba en Fidelity Investments había que revisar hasta 100 o 200 gigabytes.

-

¿Cuál es la diferencia entre un crimen tecnológico y uno de los llamados crímenes de cuello blanco?
En muchos casos son lo mismo. Si alguien por teléfono invita a otro a invertir en una empresa fraudulenta, esto es un crimen de cuello blanco. En tanto, que un “delincuente  técnico” podría mandar cientos de correos electrónicos con el mismo tema para vaciar las cuentas bancarias de sus víctimas.

-

¿Cuál es la diferencia entre un hacker y un cracker?
Cracker es un término que no uso, porque no es definitivo para describir actividades ilícitas. La distinción la hago entre un hacker común y un  hacker “maloso”. Anteriormente, hacker era,  en algunos casos, una designación honrosa para describir a algún tipo en extremo técnico y capaz de arreglar problemas que nadie más podía, o hacer un programa que corriera más rápido que el de cualquier otro. En tanto que el hacker “maloso” utiliza estas habilidades tecnológicas para ocasionar daños, como “tirar” sistemas, manipular o alterar datos financieros o de otra clase a su favor.

-

El término cracker fue utilizado por ciertos autores para llamar la atención de sus lectores en referencia a gente que podía obtener contraseñas, pasar barreras de seguridad y obtener la información privada de terceros. En el mundo de la ciberinvestigación nos cuidamos más de los hackers “malosos”.

-

¿Son legales los hackers?
Esta pregunta tiene implicaciones geográficas: dónde se cometió el ilícito y cómo lo penaliza la ley del lugar. En algunos casos y en países del Tercer Mundo, como Nigeria, no está penado el hacking, pero en Estados Unidos, sí. Depende de dónde estés y lo que hagas, esto te convierte en hacker o en hacker “maloso”.

-

¿Existen muchos cibercrímenes actualmente?
No más de 10% de los crímenes de alta tecnología son reportados y de ellos sólo se investigan 3%. Es decir, menos de la mitad de estos ilícitos son llevados a proceso. Si fueras un cibercriminal, las posibilidades de ser capturado, procesado y mandado a prisión son muy remotas por el momento. Aunque las condiciones están cambiando.

-

¿Qué necesita la ley para ser más efectiva?
Hay problemas muy particulares al respecto. Uno de ellos es global: el derecho está basado en la tradición, y ésta dicta que lo que fue hecho ayer debe realizarse hoy pues así es como siempre ha sucedido. Intentar cambiar esto es muy difícil; tratar de convencer a los altos administradores de cualquier agencia investigadora de cambiar el status quo y que operen con herramientas de alta tecnología para combatir crímenes tecnológicos ha sido un ardua tarea. No se sienten a gusto con el hecho de dedicar elementos humanos a investigar algo que no pueden ver, tocar u oler. Deben darse cuenta de que la gran mayoría de los oficiales fueron capacitados para ofrecer ayuda, manejar un auto, llegar rápidamente a un sitio, neutralizar asaltantes, investigar los aspectos físicos que pueden ver y tocar.

-

Usted ha entrenado miles de investigadores, ¿cuál es la respuesta de quienes toman sus cursos?
Su respuesta es muy sui generis. Una de las cosas que he identificado en cualquier agencia es que el individuo está deseoso de aprender. De hecho, al final de mis cursos regresan a sus trabajos y quieren abrir una unidad de cibercrímenes en su localidad.

-

¿Cuántas agencias de cibercrimen existen en Estados Unidos?
Alrededor de 100 unidades, que inicialmente fueron cerradas y luego retomaron fuerza.

-

¿Cómo se forma un ciberpolicía?
Sólo hay una Universidad que ofrece un curso: la University of New Haven, en Connecticut. Ahí tienen un programa exhaustivo, pero que no otorga la licenciatura, sólo certifica. No tengo noticias de que haya otro curso parecido en el mundo entero. En realidad, el ciberpolicía se hace en el campo y actualmente somos tan pocos, que podemos llamarnos por nuestro nombre de pila.

Inicia el día bien informado
Recibe todas las mañanas las noticias más importantes para empezar tu día.

-

¿Las empresas están prevenidas contra los cibercriminales?
Ojalá pudiera ofrecer una respuesta concreta, pero apenas empiezan a inquietarse por amenazas criminales.  Por ahora, están más preocupadas por el problema del año 2000, aunque el comercio electrónico será un detonador de la prevención de delitos o fraudes cibernéticos. Lo que deben considerar las empresas que están trabajando en el problema del milenio es que han abierto sus bases de datos, su código fuente, entre otros sistemas  que podrían ser robados, plagiados o alterados, y no han considerado este punto.

Ahora ve
Un paseo por la ‘ciudad líquida’ de Nueva York
No te pierdas
×