CONFESIONES DE UN H4CK3R

Carlos usurpa dinero de tarjetas de crédito desde su computadora, y sus víctimas las escoge al tin marín de do pingüé. El cursor puede detenerse en la cuenta de crédito de cualquier salvadoreño, y en las narices de las autoridades, que están maniatadas por la ausencia de una ley que regule de manera específica las actividades de los hackers. La banca prefiere callar ante la fragilidad de sus sistemas de seguridad, que permiten que alguien como Carlos entre como si fuera su casa, tome lo que quiera y salga por la puerta silbando.

Fernando Romero Fotos de LA PRENSA/Tulio Galdámez

Fecha de actualización: 12/23/2007 Sus dedos delgados se mueven con rapidez mientras en sus ojos se reflejan, de abajo hacia arriba, nombres y números. Son cuatro series de cuatro números, similares a los grabados en altorrelieve en las tarjetas de crédito. También pasan números de claves personales, números de saldos actuales y números de límites de crédito. Números útiles, que le sirven para comprar artículos por internet. “Si se dan cuenta mis tatas de lo que hago, me van a fregar.” Ese pensamiento no lo deja tranquilo, pero no lo amilana. Mantiene clavada su mirada en el monitor y presiona cada tecla con precisión, atento de que en nadie de su familia se despierte la curiosidad por lo que hace. Pasan los minutos y se pone más nervioso, consciente de su travesura. Con cada compra aprobada, abre más sus ojos, sonríe, se ajusta su gorra y tose levemente. Está satisfecho. Hackeado. Este es el “link” del Ministerio de Trabajo, en Google, el 22 de octubre de 2007. Se lee “Hacked by Turok”. El ministerio informó que en ese mes su sitio web fue bloqueado al menos dos veces por ese hacker. En su pantalla hay tres ventanas activas. La primera, de internet, para navegar y acceder a los sitios de ventas en la red. La segunda, donde se le facilita el uso de un servidor proxy, que es un intermediario con el que transita en la web para no exponer su propio Internet Protocol (IP) o identificación. Es una especie de disfraz que lo hace parecer un usuario diferente que se encuentra en otro país del mundo. Y la tercera ventana, la más valiosa, que contiene una base de datos con toda la información crediticia y personal de la mayoría de la población salvadoreña. Con esa herramienta, que le sirve para alterar la identidad y la ubicación de su computadora, y con la información del banco de datos, puede comprar lo que quiera. No lo dudó aquella tarde junto a sus amigos en su casa. Compró más de 10 laptops por internet. Gastó en total $17,000, todo con dinero ajeno. Carlos estaba sobrado de razón al justificar su miedo. Si se daban cuenta sus tatas, lo iban a fregar. Si se daba cuenta la Policía, lo iban a detener. Entre sus amigos que lo acompañaban, uno de ellos le propuso ser destinatario de las computadoras portátiles a cambio de recibir su parte de la ganancia cuando las vendieran, a mitad del precio original. A él le pareció buena idea, porque no quería que sus padres lo descubrieran por ningún motivo, y además sabía que de esa manera, ofreciéndolas como gangas, las laptops se iban a vender mucho más rápido. “El dinero de esa gente me vale, de todos modos no es mi pisto”, se justificaba a sí mismo, con la certeza de que como fuera que vendiera las computadoras iba a tener buenos ingresos. Esa tarde, sin una autoridad que lo reprendiera ni moral que lo hiciera retroceder, el hacker violó a placer la seguridad informática del sistema financiero salvadoreño. De los usuarios, sin saberlo ellos, usó el dinero de sus créditos como le vino en gana. Pasaron días antes de que vendiera todas las laptops. “Esa fue la vez que más dinero gasté”, recuerda hoy, casi un año después. Corre octubre, es sábado, y Carlos ha abierto las puertas de su casa para una plática. Sobre las paredes amarillas no cuelgan diplomas ni títulos ni fotos familiares. Hay filas de libros en el suelo y calor. Sus padres están en casa con una pareja de amigos. Él se encuentra sentado, bebiendo una cerveza en su día de descanso —de su lugar de trabajo solo dice que es una empresa relacionada con la informática—. Usa una gorra azul, su preferida, cuya visera esconde a medias sus cejas pobladas; tiene una tos leve y lo acusa una mirada nerviosa que trata de delatar sus secretos, pero su boca ya se le adelantó. Tiene 25 años y es el menor de dos hermanos. Calcula que ya tiene más de una década de haberse iniciado en la computación, y cuenta que su primera diablura como hacker consistió en introducirse en las listas electrónicas de su colegio, a manera de juego, donde podía alterar las calificaciones. Incluso un día les elevó varias notas a una compañera que le gustaba y a sus amigos. Nadie lo descubrió, pero desde entonces supo que lo que hacía no estaba bien. Mientras pasaba el tiempo, y el colegio, y llegaba la universidad, se perfeccionó en el uso de GNU/Linux, de Unix, un sistema operativo equivalente al Mac OS, de Apple, o al Windows, de Microsoft, al que le dedicó muchas horas de aprendizaje, hasta que afinó su manejo y empezó a jugar con lo que sabía. Descubrió que Linux no tiene registro de los usuarios, y esa característica que sirve de camuflaje es la que lo vuelve atractivo para los hackers, como corroboran distintos expertos en informática. Con este sistema operativo, aprendió a diseñar programas, a evolucionar los existentes e incluso a crear virus. Sobre Linux, explica que se puede conseguir en internet y que su descarga es gratuita, pues la licencia es de libre acceso. Además, es compatible con computadoras de todas las marcas, y los usuarios pueden modificar las distribuciones y los programas a su antojo y compartirlos. Las distribuciones son como las versiones de Windows —95, 98, XP, Vista— y Apple —Mac OS y sus números—, con la diferencia de que en Linux los usuarios configuran el sistema operativo. Carlos completó su banco de datos cuando extrajo información del Registro Nacional de las Personas Naturales (RNPN). El Gobierno carece también de estricta seguridad en sus redes informáticas. Y tiene más características que son especificadas por Raúl Funes, experto en seguridad informática de Next Genesis, S. A., quien menciona la facilidad que da el sistema para crear herramientas de hackeo, además del acceso a los proxy, que ocultan a los hackers cuando rompen sistemas de seguridad y se infiltran en redes informáticas para robar bases de datos, introducir virus o, lo más infantil según Carlos, bloquear páginas web. Funes tiene más de 10 años dentro del área de seguridad informática —el mismo tiempo que cuenta Carlos como hacker— y también opera con Linux. En su oficina, escudado por dos computadoras y un monitor de vigilancia, piensa con detenimiento antes de responder si es posible que un hacker logre penetrar la red de seguridad de un banco, y robe su base de datos con los números de cuentas y los datos personales de todos sus usuarios. “Es factible —se le escucha tras varios segundos—, todo depende del grado de bien o mal configurados que estén los sitios.” Pero subraya que no solo de esa manera es posible obtener una base de datos, pues ahora cualquier empleado tiene acceso a la información de la institución en que trabaja, y nadie tiene a cargo un control minucioso sobre correos electrónicos o memorias USB dentro de las empresas, o incluso sobre las mismas carteras de clientes de los vendedores —en el caso de las tarjetas de crédito—, quienes se quedan con ellas aun después de abandonar los bancos. Carlos titubea al aclarar cómo obtuvo la base de datos de la institución emisora de tarjetas de crédito, si acaso fue mediante un amigo que trabajaba en esa empresa o si él mismo laboró ahí. Apenas asoma una sonrisa jactanciosa y vuelve a toser. Calla. Y solo después de un breve silencio hace su confesión, en tono serio y con voz muy baja, para evitar que lo escuchen sus padres: “Esa información me la robé luego de vulnerar el sistema informático del banco”. Y vuelve a cerrar sus labios. Sobre este asunto no mencionará una palabra más. Se excusa por un momento, y se levanta de su asiento para ir a despedir a sus padres, que le avisan que saldrán con sus amigos y que regresarán pronto; y ya de pie, antes de irse, apenas se le alcanza a percibir entre murmullos: “Ahora sí vamos a poder hablar mejor”. Ya ha pasado más de media hora desde que comenzó la conversación. La cerveza está a la mitad. Carlos regresa pasado un minuto, toma la botella y sorbe un poco, y hace la invitación a acercarse a su monitor. Ya sentado frente a su computadora, se acomoda para proseguir con su historia. Dice que nunca le ha gustado usar créditos que tienen límites bajos y, en su particular escala de valores, se presenta como alguien ético por el hecho de no desvalijar a quienes tienen menos ahorros en sus cuentas. “Les quito solo a los que tienen de $5,000 para arriba”, justifica su concupiscencia enseguida, mientras da el último trago a lo que le queda de cerveza. Entre los que superan esa cantidad, tampoco es selectivo, pues los escoge al azar, según el devenir de sus caprichos, que no tienen restricción. Compra lo que se le place a la hora que sea, pero explica que se abstiene de comprar bienes suntuosos, como vehículos, por su temor a ser descubierto; por eso, dice, siempre procura mantener un perfil bajo, para pasar desapercibido. Aunque admite que ya ha pecado, como la noche cuando gastó $3,000 en apuestas en un casino en línea con el número de tarjeta de crédito de otra persona, o como cuando madrugó dentro de un sitio de pornografía en directo en el que la permanencia costaba $5 el minuto, y siempre con crédito ajeno. Recolección. A Carlos le llevó casi dos años compilar su banco de datos. Para ello tuvo que burlar la seguridad de instituciones privadas y de Gobierno. También intercambió información con otros hackers de su comunidad. Sus diversiones como hacker también incluyen bloquear correos electrónicos y sitios en la web, de cualquier naturaleza, e introducir virus en redes, además de las innumerables ocasiones en las que, apoyado en su base de datos, ha efectuado recargas de minutos para hacer llamadas desde $50 y más, desde su teléfono móvil, en una empresa de telefonía celular. Una vez recargó su crédito para llamadas por $150 en un solo día, hasta que en la telefónica notaron lo extraño de las operaciones. Después se le volvió más enredado el trámite, le solicitaban todo tipo de identificación, aunque no era problema para él porque tenía todos los datos de la persona que escogía para usar su crédito, pero de a poco los engorrosos requerimientos lo desalentaron. Pasó el tiempo y con él se disminuyó la periodicidad de las recargas. Ahora las adquiere solo cuando lo necesita. Siempre evita que se tengan registros de él más que los necesarios, como DUI y NIT, “pero jamás una tarjeta de crédito”, dice con ironía, y asegura que es hasta hoy que tiene un trabajo que debió, por requerimiento, abrir una cuenta bancaria. Es persistente por permanecer en las sombras del anonimato, tratando de estar al margen de los registros, “¡para no aparecer yo también en las bases de datos y no me puedan joder otros hackers!”, remata, y suelta una risa. Cuenta que ha sido contratado por varia gente, sin nombre ni apellido, para encontrar datos personales, y hasta ha vendido los números de las tarjetas de crédito a otros hackers dentro su comunidad informática, por los que ha llegado a cobrar hasta $500 por 15 números. El grupo al que pertenece Carlos lo integran, además de otros hackers, los llamados cashiers, que son troqueladores o clonadores de tarjetas de crédito, que cometen desfalcos en cajeros automáticos en todo el mundo. Él les vende los datos y ellos, con máquinas reproductoras de tarjetas de crédito, elaboran los clones, van a los cajeros y vacían las cuentas. Carlos habla ya con más soltura y describe su comunidad. Explica que los hackers se rigen bajo ciertas reglas, como no perjudicarse entre sí, o como que no pueden llamarse a sí mismos hackers, hasta que sus colegas les dan ese título, que varía según sus acciones. Cuestión de sombreros Y distingue así a los hackers de sombrero blanco (white hat), de conocimientos avanzados en informática, pero que no pretenden lucrarse. Son los mismos a los que Funes llama hackers éticos, que bloquean por moral, por salud mental o incluso por valores religiosos, páginas web de pornografía, o que desbloquean sitios hackeados y crean redes de seguridad informática para protegerse de los ataques de otros hackers. También los que trabajan dentro de empresas como Microsoft o Google, para su protección, y los desarrolladores de programas. A Carlos no le llama la atención andar por ahí hackeando sitios web de pornografía u otros de carácter inmoral, aunque sí admite que hay algo que siempre le ha atraído del mundo blanco de los hackers, y es que él podría ganar mucho dinero, “legalmente”, si fuera contratado en las áreas de seguridad informática de las empresas. Pero él camina en otra tierra, menos conocida por la gente y donde los hackers se visten con sombrero negro: el mundo de los black hat, conocidos también como crackers, que son los que bloquean las web, descifran contraseñas de los correos electrónicos o los dispositivos de seguridad en los sistemas informáticos, y atacan las redes institucionales o a los usuarios particulares con virus; además, extraen de cualquier sitio —particular, empresarial o gubernamental— información confidencial o datos para su comercio o para su uso personal, que deriva en la comisión de delitos como estafas y hasta actos de terrorismo. Los black hat pueden llegar a ejecutar todas esas acciones sin dejar el mínimo rastro, gracias a la perfección de sus técnicas de hackeo. El mayor reto de Carlos en su vida ha sido no dejarse descubrir. Hasta este momento ha tenido éxito. Carlos hace deslizar por su monitor la base de datos, aunque en toda la conversación se ha resistido a decir a qué institución pertenece. La muestra orgulloso, sabe que el suyo no es un caso común de acceso a información, que no la encontró por ahí navegando a la deriva en la red. Incluso, el disco que contiene el banco de información lo tiene secretamente guardado, en un lugar que considera muy seguro, fuera de su casa, como una especie de coartada por si algún día lo descubren y llegan a tocar a su puerta. Acerca de ese momento, sabe que, lejano o no, es posible que se presente. Y ya han estado cerca de dar con él, como cuando la emisora de tarjetas de crédito percibió que alguien había burlado su red de seguridad, y comenzó una investigación para descubrir el origen de la infiltración. Funes llama a esta operación “investigación forense”, y consiste en revertir el proceso de hackeo, es decir, localizar el punto vulnerable por donde el hacker traspasó la barrera de seguridad y luego detallar el proceso que siguió para escabullirse sin ser detectado. Durante esos días, Carlos salía lo menos posible a la calle, incluso se le cruzó la idea de abandonar unos meses el país. Pasaba recluido en su casa, hasta donde le fuera posible sin levantar las sospechas de su familia, y se ahogaba en sus propios nervios mientras visualizaba en su mente a los policías esposándolo, a sus padres decepcionados y sus fotos en los medios. No llaman su atención estudios de Ingeniería en Computación. Como hacker, se jacta de que sus conocimientos en informática son mucho más avanzados. Dice que no teme tanto a un juicio como a que lo arresten. En ese instante, abandona las cuentas de crédito y despliega un archivo que muestra la Ley de Bancos y el Código Penal de El Salvador, y menciona algunos delitos de los que lo podrían acusar, como la estafa o el uso del nombre de otra persona. Lo hace para demostrar que está informado del alcance legal de sus actividades, y además consciente de que sus travesuras como hacker no son tan infantiles, porque lo convierten en un delincuente. De lo que no está consciente Carlos es de que la Fiscalía General de la República (FGR) no tomaría cartas en el asunto si se le llegara a presentar una denuncia sobre un caso como el suyo, como lo sostiene un abogado fiscal que pide la omisión de su nombre, y que asegura que no hay una ley salvadoreña que encierre y sancione la actividad del hackeo o que incluya el término “hacker”, por lo que la institución se vería incapaz, según él, por falta de instrumentos legales, de acusarlo. Esto se verificó mediante la Unidad de Receptoría de la Fiscalía, y se corroboró que nunca ha llegado una denuncia de este tipo al departamento, que es el encargado de recoger y distribuir los casos a todas las unidades fiscales. La postura del ministerio público, para el abogado Henry Campos, no es más que una señal de ignorancia de las leyes que sufre la institución, pues si bien Campos reafirma la aclaración de la Fiscalía de que no existe una terminología del hacker ni su actividad está incluida en el Código Penal, los delitos que se cometen mediante el hackeo sí están sancionados por la ley salvadoreña, algo que hasta Carlos sabe muy bien. Esto también lleva al abogado a determinar la posibilidad de que lo que podría existir es una falta de voluntad o incapacidad de gestión para darles cobertura a estos casos, que incluso son sometidos a criterios de eliminación, según Campos, debido a la sobrecarga de trabajo fiscal: “La misma Fiscalía dijo que necesitaba presupuesto para contratar a personal, porque por cada fiscal había alrededor de 200 casos en espera de ser atendidos”. Pero igual, Carlos le sigue temiendo a la ley: “Si me agarran, ya detenido, ven qué se inventan para joderme”. Además, conoce casos de hackers en Estados Unidos y Europa en los que estos son juzgados y condenados a pagar con cárcel sus acciones, pues dentro de esas leyes extranjeras sí se definen los delitos que son producto exclusivamente del hackeo. Y así lo confirma Manuel Chacón, representante de Business Software Alliance (BSA) en El Salvador, quien agrega que en estos países (Estados Unidos y los de la Unión Europea) se hace efectiva la jurisprudencia, es decir, que aunque no esté regulada una ley que castigue la actividad de los hackers, sí existe un conjunto de sentencias por delitos similares que les sirven como precedente a los tribunales para poder sancionar esas acciones. Chacón lamenta la falta de voluntad judicial en El Salvador para atender estos delitos informáticos, aunque acepta que como BSA nunca han tomado la iniciativa de denunciar este tipo de casos en el país, ya que le atribuye al Estado tanto la prevención como la ejecución de las medidas sancionadoras: “No podemos hacer nada porque es decisión soberana y responsabilidad del Gobierno de cada país la creación de leyes para que pueda haber denuncias y haya castigo para quienes hacen esto”. Para continuar jugando a que no lo pillen, Carlos siempre apuesta su invisibilidad a la seguridad que le ofrece el uso del servidor proxy de web, que lo hace parecer un usuario navegando en otro país. Han pasado tres horas y una cerveza más. Los padres de Carlos se han retrasado un poco, aunque sí acaba de llegar un primo. La plática se ha extendido, y curiosamente se nota cierta satisfacción en su rostro; ahora ya no exuda tensión, parece estar liviano, luego de poner en el escaparate su doble vida. Mientras echa un vistazo a su reloj, brota una de las últimas preguntas, que no responde hasta luego de un momento, y con desdén contesta que no lo sabe y que, además, le interesa muy poco: ¿Y los afectados? En El Salvador aún no prolifera el iPhone, pero ya hay telefónicas ofreciendo activarlo e insertarle sus chips, sin revisar si se encuentra hackeado. La Fiscalía niega tener casos de estafas por hackers, y eso lleva a preguntarse dónde están las denuncias de los perjudicados. Y si hay uno o más Carlos en El Salvador que siguen comprando por internet con créditos de otras personas, por qué no hay nadie reclamando que en sus estados de cuenta aparecen gastos que jamás hizo. El hilo se enmaraña, y resulta difícil alinear el robo de la base de datos, las compras en la red, el cargo registrado por la emisora de tarjetas de crédito, el cobro correspondiente y la denuncia del tarjetahabiente; y es en ese último elemento donde se delinea el curvilíneo signo de interrogación, porque precisamente denuncias es lo que no hay. Los archivos del Centro para la Defensa del Consumidor con denuncias del año anterior a la fecha no descubren nada —como lo señala Mauricio Boulogne, del área de comunicaciones—, no aparecen casos que describan cargos a cuentas por compras que nunca fueron hechas por los dueños de las tarjetas. Como si la gente pagara ciegamente lo que se les cobra en los estados de cuenta. Esta institución tiene denuncias de estafas que incluyen tarjetas de crédito, pero son casos de robo de las mismas, o por los secuestros express, o por el phishing, que es la elaboración de una réplica del sitio web del banco, donde se recogen los datos de los usuarios que visitan la página usurpadora, sus números de cuentas y contraseñas para estafarlos. Cuando se aborda el tema del phishing, Carlos suelta una mueca burlona, y dibuja un gesto de descalificación. Los que hacen phishing no son hackers. “Son ladrones choleros”, lanza su dictamen con desprecio, y es porque son fáciles de descubrir y porque además no tienen un conocimiento elevado de la informática, como él, dice en tono de broma. Se pavonea. Pero sigue sin saber responder quién paga por sus caprichos. Los usuarios hablan En un sondeo realizado entre personas con tarjetas de crédito con límites altos, todos negaron haber sido víctimas alguna vez de cobros indebidos. Pero sí afirmaron que las instituciones emisoras de sus tarjetas se han comunicado con ellos para informarles que, “por razones de seguridad”, los números de sus cuentas serán modificados, y dijeron que enseguida les otorgaron uno nuevo, y que luego recibieron por correo a domicilio sus nuevas tarjetas. También comentaron que ya los han llamado para preguntarles si han hecho compras fuera de El Salvador con sus tarjetas, cuando ni siquiera han salido del país. Estos relatos validan la versión de Pamela, quien trabaja en el área de seguridad informática bancaria y a cambio de su declaración pide el anonimato. Ella se suma a la afirmación de Funes acerca de la factibilidad de que un hacker pueda violar redes de seguridad. En El Salvador aún no prolifera el iPhone, pero ya hay telefónicas ofreciendo activarlo e insertarle sus chips, sin revisar si se encuentra hackeado. Pamela asegura que ya ha habido casos de fuga de información, e incluso robos de bases de datos de clientes no solo de tarjetas de crédito, sino también de cuentas bancarias, y cree que los bancos nunca van a hacer públicos estos casos, que califica de “penosos”. Y añade lo que significaría para ellos un escándalo mediático por denuncias por cobros indebidos y además exorbitantes. Para ella cabe la posibilidad de que las mismas emisoras de tarjetas de crédito absorben los golpes de los hackers, por miedo a la vergüenza pública de verse en la obligación de desnudar su débil seguridad informática: “¿Qué les conviene más a los bancos: perder $5,000 o $20,000 cada cierto tiempo porque los hackearon o perder toda su cartera de clientes por su mala seguridad?”. Se solicitó hablar con Néstor Landaverde, presidente del comité de seguridad de la Asociación Bancaria Salvadoreña (ABANSA), para que definiera la posición de las emisoras de tarjetas de crédito, pero nunca hubo una respuesta. Incluso el departamento de comunicaciones de ABANSA pidió la formulación de un cuestionario, que se aseguró sería completado por Landaverde; sin embargo, esa contestación nunca llegó. Por encargo. El año pasado compró a un amigo en Estados Unidos un boleto para un juego de fútbol con el crédito de otra persona. Abajo, información de clientes de bancos de EUA que le envió otro hacker. A costa de la pasividad de una Fiscalía sobrecargada de trabajo, el desinterés por el fenómeno de los hackers —indiscutibles protagonistas de la era multimedia— y la vulnerable seguridad informática de las instituciones privadas y estatales salvadoreñas, Carlos y sus amigos pueden continuar divirtiéndose, comprando lo que quieran por internet y hackeando los sitios que se les antoje. En su casa, ya en la oscurana del inicio de la noche, el hacker da por finalizada la plática. Pero antes de retirarse se le hace una última pregunta: ¿Cuándo vas a detenerte? Piensa unos segundos mientras su mirada se va inclinando hacia el suelo, tratando de ver su titubeante pie derecho; y al fin habla, lento: “Por el momento, pienso seguir. Pero en verdad ya he pensado en detenerme, porque sé que es posible que ya me estén siguiendo la pista, y si llego a cometer una regada, puede ser que den de un solo conmigo”. Se despide, cortés; camina hacia la puerta principal y abre la puerta. Ahí asoma su cabeza y hace un paneo de su pasaje de izquierda a derecha; apenas sale por un momento, luego se vuelve a meter y se queda con medio cuerpo afuera. Se ajusta su gorra y se despide una última vez antes de cerrar la puerta y regresar con su primo. Tiene miedo.

MAS INFO EN: http://www.laprensagrafica.com/enfoques/922652.asp