El hacker más protegido del mundo

 

Como vengo diciendo últimamente escribir algunos artículos, me lleva a veces varios días. Este artículo me costó un poco, porque aunque hay información sobre Slavik, también hay un aura de ocultismo y de confusión, casi siempre por la intervención de los servicios de inteligencia occidentales, que se ven desbordados en varios momentos por las tropelías de este cibercriminal.

 

Cómo Evgeniy Bogachev, alias 'Slavik', saqueó bancos en todo el planeta, se burló del FBI durante una década y terminó convertido en el cibercriminal más buscado de la historia.

 

 

Durante casi una década, el FBI lo tuvo en su punto de mira. Sabía su rostro, su nombre real, dónde vivía y hasta qué hacía en su tiempo libre, y aun así no logró atraparlo. Evgeniy Mijáilovich Bogachev, conocido en la sombra como 'Slavik' o 'lucky12345', fue el cibercriminal más buscado del mundo y el único contra el que el Gobierno de Estados Unidos llegó a ofrecer una recompensa récord de tres millones de dólares. Fue, en todos los sentidos, el ciberdelincuente más protegido del mundo.

 

Un perfil casi imposible

 

Nacido el 28 de octubre de 1983, Bogachev se movía como un profesional de las tecnologías de la información. Su ficha en la lista de fugitivos del FBI describe a un hombre de cabello castaño (suele llevar la cabeza rapada), ojos marrones, unos 1,75 metros de estatura y 82 kilos. Su última residencia conocida: Anapa, una pequeña ciudad portuaria en el sur de Rusia, junto al mar Negro, donde también poseía propiedades en Krasnodar. En la red operaba bajo varios alias —Yevgeniy Bogachev, lucky12345, slavik, Pollingsoon—, pero para los investigadores estadounidenses su identidad nunca fue un misterio. El problema era otro: llegar hasta él.

 

Zeus: el troyano que lo hizo leyenda

 

Su creación más célebre es Zeus, un código malicioso nacido en 2006 (el pleistoceno del mundo online), cuando Bogachev tenía apenas 22 años. Durante años lo refinó y perfeccionó hasta dar con su versión definitiva: GameOver Zeus (GOZ), un troyano que el FBI comenzó a investigar en septiembre de 2011 y que se convirtió en el mayor dolor de cabeza de la agencia.

 

El mecanismo era quirúrgico. Cómplices de la red distribuían correos de spam y phishing con enlaces a páginas comprometidas; al abrirlas, la víctima instalaba sin saberlo un malware capaz de capturar números de cuenta bancaria, contraseñas y códigos de verificación. Bogachev, que actuaba como administrador principal del esquema, usaba esa información para vaciar las cuentas de sus víctimas. Según el FBI, GOZ infectó más de un millón de ordenadores en todo el mundo y provocó pérdidas superiores a los 100 millones de dólares; cerca de un cuarto de las máquinas infectadas estaban en Estados Unidos.

 

Y no solo robaba dinero: cada equipo capturado pasaba a formar parte de una botnet, una red oculta de máquinas esclavas que el grupo empleaba para otros delitos, como ataques de denegación de servicio distribuido (DDoS) orientados a extorsionar empresas. Entre sus víctimas más sonadas figuran un casino propiedad de una tribu indígena en el estado de Washington, al que le sustrajeron cerca de 277.000 dólares, y un banco de Florida, del que se llevaron 7 millones.

 

CryptoLocker: el secuestro virtual

 

A Zeus se sumaba un segundo negocio, más perverso aún: CryptoLocker, un virus que bloqueaba los archivos de la víctima y exigía un rescate —en torno a 700 dólares, pagado en Bitcoin— para devolverlos. A finales de 2013, más de 234.000 ordenadores estaban infectados en todo el mundo, de ellos más de 121.000 en Estados Unidos. Según El País, que tuvo acceso a expedientes judiciales, Bogachev recaudó 27 millones de dólares con este golpe en apenas dos meses.

 

¿Por qué era tan difícil atraparlo?

 

Porque se escondía en Rusia, un país con el que Estados Unidos no tiene tratado de extradición. El propio FBI admitió que mientras Bogachev siguiera dentro de sus fronteras estaba fuera de su alcance. Y allí vivía a cuerpo de rey: coleccionaba coches de lujo, navegaba por el mar Negro en su barco, visitaba Crimea, poseía dos chalets en Francia, mantenía una flota de vehículos repartidos por Europa para no tener que alquilar nada durante sus vacaciones y viajaba con alguno de los tres pasaportes rusos de los que disponía.

 

Casado y con una hija, su afición favorita eran los felinos: tenía un gato bengalí y su prenda preferida era un pijama estampado de leopardo. Los medios no tardaron en bautizarlo como el villano de James Bond de la ciberseguridad.

 

En diciembre de 2016, la administración de Barack Obama lo incluyó además en una lista de sanciones vinculada al ciberataque orquestado desde el Kremlin para interferir en la campaña electoral de Hillary Clinton: prohibición de viajar a Estados Unidos y congelación de sus cuentas. Medidas sin efecto práctico contra alguien que había hecho historia fuera de la ley.

 

Un informe de seguridad ucranio sostiene que Bogachev actuaba bajo la supervisión de una unidad especial de los servicios de inteligencia rusos, y que durante la invasión de Crimea parte de su botnet se utilizó para rastrear información en víctimas ucranianas. En el apogeo de su actividad, peinaba su red de ordenadores cautivos buscando material confidencial: correos de altos cargos de la policía turca, datos de inteligencia georgianos y documentos clasificados ucranios. Pirata, sí; pero también, según los analistas, algo más.

 

La cacería

 

El FBI investigaba el fraude de suplantación de cuentas bancarias online desde el verano de 2009. El 22 de agosto de 2012, un gran jurado federal de Nebraska lo procesó bajo el alias 'lucky12345'; el 19 de mayo de 2014, otro jurado, esta vez en el Distrito Oeste de Pensilvania, lo procesó por su nombre real; y el 30 de mayo de 2014 se emitió una querella que vinculaba definitivamente el alias con su identidad. Los cargos: conspiración para participar en actividades de racketeering, fraude bancario, fraude informático, fraude telemático, robo agravado de identidad y lavado de dinero.

 

La operación movió a oficiales de al menos diez países y fue descrita por el entonces director adjunto del FBI, Robert Anderson, como 'la operación más grande sobre cibercrimen en los últimos años'. Más de 300.000 ordenadores fueron liberados de GOZ y su red botnet fue desmantelada en 2014. Pero su creador siguió libre, sonriente y fuera de alcance. En febrero de 2015, el Departamento de Estado y el FBI anunciaron entonces la recompensa: tres millones de dólares, la cifra más alta jamás ofrecida por el Gobierno estadounidense contra un cibercriminal.

 

El final de la historia

 

No está claro si Bogachev ha sido o no detenido. En Julio de 2024, se publicó que había siddo detenido en Dubái, algo que no pudo ser confirmado. Se mantiene la lista de los más buscados en EEUU por el FBI. Se cree que sigue activo como cibercriminal, manteniendo redes de ciberdelincuentes en EEUU.

 

Conclusiones: Qué nos deja su historia?

 

Bogachev, explotaba errores usuales de los usuarios. Errores que vengo día a día anunciando como necesarios o indispensables.

 

El caso Bogachev sigue siendo un manual de lo que no hay que hacer y de lo que sí: autenticación multifactor obligatoria en banca online, desconfianza ante cualquier correo con enlaces externos, copias de seguridad externas y actualizaciones de segguridad de los equipos y sistemas al día.

 

Y una lección geopolítica que va más allá de la tecnología: mientras un cibercriminal opera desde un Estado que no coopera, la justicia más poderosa del mundo puede quedarse mirando. La tecnología cruza fronteras; la ley, todavía no.

 

Linkedin: Aquilino García