Cada acción digital siempre deja un rastro

Hace unos días vimos por casa «Shiny Flakes: El cibernarco adolescente» (ES), un documental de Netflix que narra la historia de Max Schmidt, este chaval alemán que, de la noche a la mañana, se transformó en uno de los mayores narcos del país… desde la habitación de casa de sus padres.

El documental en sí está dirigido a modo de narrador por el propio Schmidt, y es un verdadero ejercicio de fotografía y documentación. El que hayan reconstruido a tamaño real su habitación, unido al trabajo fotográfico que acompaña toda la obra, deja un gran sabor de boca.

La historia, por supuesto, todo lo contrario.

Por si no lo conoces, este chico facturó en los apenas dos años que tuvo su página web de venta de drogas abierta, una fortuna valorada en 4,1 millones de euros… que se sepa, ya sabes.

Un buen día, este asocial de manual descubrió la existencia de Silk Road, aquel gran marketplace de la droga que operó durante unos cuantos años en TOR hasta que las autoridades consiguieron cerrarlo, y meter en la cárcel a sus creadores (Ross Ulbricht y un par de chavales). Y dispuesto a seguir los pasos del gigante de las drogas online, montó una web con WordPress (no es coña) en el Internet accesible por cualquiera: Shiny Flakes.

La web estuvo funcionando desde 2013 hasta 2015, momento en el que las autoridades acabaron dando con el susodicho, y por tanto deteniendo toda la operación.

Como decía, en apenas un par de años la web se posicionó de cero como uno de los grandes portales de venta de estupefacientes a nivel mundial. Y toda la operativa la llevaba este adolescente encerrado en su casa:

• Compraba la droga en grandes cantidades, y la almacenaba en los armarios de la habitación (cuando lo detuvieron, en esa habitación había una tonelada de droga, que se dice pronto).
• Él mismo la cortaba y preparaba en diferentes envoltorios.
• Se la enviaba a los clientes utilizando el correo postal, previo pago vía Bitcoin.

Sobra decir, y en el documental queda patente en más de una ocasión, que estamos ante alguien con ínfulas de llamar la atención. Es más: el documental acaba avisando que este mismo año (2021), tras los cuatro años que ha pasado en la cárcel, y aún cumpliendo pena, vuelve a estar involucrado en otro supuesto negocio de venta de drogas en Leipzig, su ciudad natal.

Me encantó ver de primera mano, contado por este criminal, cómo se dio cuenta de que podía aplicar técnicas de marketing de negocios lícitos a una página de cibercrimen. Algo de lo cuál ya hemos hablado en más de una ocasión, y que recientemente, de hecho, también se está trasladando a industrias tan a priori poco relacionadas con el B2C como es la del ransomware y los ataques a empresas y organizaciones.

El caso es que entre todo lo mostrado en el documental, hay un apartado que narra cómo la web tenía un FAQ en el que explicaban, en inglés, las típicas dudas que podría tener un cliente. Ya sabes, cuánto tardará en llegar mi pedido, qué pasa si no me llega, etc etc etc.

Y entre ellas, había un apartado en el que hablaba de que toda transferencia se hacía sin dejar registro alguno. De hecho, la página no almacenaba emails ni ningún otro dato del cliente, al borrarse automáticamente cuando se procedía a la entrega del pedido.

¿El problema?

Pues que, por supuesto, era todo mentira.

Cuando detuvieron a Max, incautaron con él su ordenador (protegido, por cierto, por una contraseña escrita en un papel en su propio despacho…), y en él había una hoja de excel con los datos (nombre, apellidos, dirección, email, cartera de bitcoin, pedido, fechas…) de más de 14.000 clientes.

Mientras su juicio se celebraba, Max tuvo que participar en calidad de testigo en más de 4.000 litigios «gracias» a esa base de datos que el chaval había guardado de todos sus clientes, y que sirvió para cazar a muchísimos otros vendedores de droga.

En Internet TODO deja un registro

Todo esto para decirte lo que ya deberíamos todos saber: Que no hay magia en Internet. Que todo lo que hagamos, deja huella.

• Casos como el de Shiny Flakes se repiten día tras día. Hace unos años, sin ir más lejos, fue muy sonado el caso de Ashley Madison, una app de citas entre personas casadas que alardeaba de contar con un sistema totalmente privado. Por supuesto, faltó tiempo para que alguien consiguiera acceder a sus servidores, y descargarse una base de datos de millones de clientes (personas adúlteras, con sus nombres y apellidos, recordemos) de la app.
• Y hace escasos días, contaba en este artículo exclusivo para mecenas, cómo tras la caída del régimen democrático en Afganistán, los actuales regentes, los talibanes, han tenido ya acceso a la base de datos biométricos de todos los colaboradores occidentales, ya que el ejército de EEUU «se olvidó» en el país sus dispositivos de escaneo masivo.

Esto es, lamentablemente, el día a día de la red.

Un efecto secundario de delegar cada vez más nuestras interacciones en un espacio basado en 1s y 0s.

De ahí que negocios puramente digitales, como es el mío, estén blindados ante potenciales desfalcos.

Todo lo que factura mi empresa deja un rastro, quiera o no, y a diferencia de lo que puede facturar un negocio físico como puede ser un bar, que puede decir que ha ganado tanto… cuando ha sido mucho más.

Por todo ello, es importante recordar este punto cuando queramos hacer «maldades» en entornos digitales.

A los cibercriminales se les acaba pillando.

Más tarde, o más temprano. Según lo bien o mal que lo hayan hecho.

Pero se les acaba pillando siempre.

Por el simple motivo de que el anonimato llega hasta donde llega la capacidad de un tercero de contrastar diferentes bases de datos, o de la propia plataforma en tomar las mejores medidas de seguridad continuamente para ofrecerlo a sus usuarios.

Con el agravante de que, conforme pasa el tiempo, incluso los sistemas criptográficos, a priori la mejor herramienta para proteger nuestra privacidad, acaban siendo comprometidos por el avance tecnólogo y la capacidad de nuestros dispositivos de realizar cálculos complejos en menor tiempo.

Dejo por aquí el tráiler por si te abre el apetito :).