La policía de Chipre ha trabajado codo con codo con el Buró Federal de Investigaciones (FBI, por su sigla en inglés) para proceder al decomiso de los servidores que alojaban SSNDOB, un gigantesco mercado de datos ilegales. Estos son los nombres de algunos de los dominios paralizados: sndob.vip, ssnob.club y blackjob.biz. La noticia, que ha pasado desapercibida en numerosos medios europeos, no así en los rusos ni en los griegos, fue comunicada el pasado jueves por el director del Departamento de Lucha contra la Ciberdelincuencia, Andreas Anastasiadis.
"El FBI investiga el robo y publicación de datos personales… Los datos de 24 millones de ciudadanos de EEUU fueron robados y puestos a la venta", dijo Anastasiadis a la agencia de noticias chipriota CNA.
Durante el registro que fue llevado a cabo, los agentes confiscaron los servidores. Su administrador, un ciudadano residente en Chipre, cooperó con la policía. Los sospechosos actualmente se encuentran fuera del país, ha manifestado Anastasiadis.
La Fiscalía de EEUU comunicó que fueron puestos a la venta los datos personales de unos 24 millones de personas en EEUU, lo que aportó ingresos por más de 19 millones de dólares. Se trata de un hipermercado a escala multinacional de datos ilegales fuera de lo común.
El memorable caso del hacker adolescente chipriota que acabó bien para el gobierno americano
No es la primera vez que Estados Unidos es víctima de ciberataques que guardan relación con Chipre. En el 2021, fue noticia el caso de Joshua Polloso Epifaniou, un hacker chipriota adolescente que pidió clemencia por extorsionar a los operadores de sitios web con datos de usuario robados, tras declararse culpable.
Epifaniou fue el primer ciudadano chipriota en ser extraditado de Chipre a los Estados Unidos. “Epifaniou pirateó sitios web con sede en EE. UU. y amenazó con divulgar la información personal robada perteneciente a los usuarios, a menos que los sitios web le pagaran grandes rescates”, manifestó en enero de 2021 el fiscal federal Bobby L. Christine. “Su arresto, extradición y condena demuestran nuestra determinación de llevar ante la justicia a cualquier pirata informático, sin importar dónde resida”, añadió.
Epifanou actuó entre octubre de 2014 y noviembre de 2016. No trabajaba solo. Seleccionaba cuidadosamente los objetivos de su plan de extorsión. Robaba información de identificación personal de las bases de datos de usuarios y clientes en los sitios web de las víctimas. En ocasiones explotaba directamente una vulnerabilidad de seguridad en los sitios web o conseguía parte de los datos gracia a uno colega. Con la información personal completa ya en la mano, utilizaba servidores proxy ubicados en países extranjeros para iniciar sesión en cuentas de correo electrónico en línea y enviar mensajes a los sitios web de las víctimas amenazando con filtrar los datos confidenciales a menos que se pagara un rescate en criptomoneda.
Estas fueron algunas de sus víctimas:
- Un sitio web de noticias deportivas en línea propiedad de Turner Broadcasting System Inc. en Atlanta, Georgia;
- Un editor de juegos en línea gratuito con sede en Irvine, California;
- Una empresa de hardware con sede en Nueva York, Nueva York;
- Un sitio web de empleo en línea con sede en Innsbrook, Virginia;
- Un sitio web de informes de consumidores con sede en Phoenix, Arizona.
Antes de declararse culpable, Epifaniou pagó casi 600,000 dólares para restituir lo robado a las víctimas, y acordó la cesión de 389,113 dólares adicionales y casi 70,000 más en euros al Gobierno, en su acuerdo de declaración de culpabilidad.