La maquinaria de la ciberextorsión ha sumado una condena histórica. Connor Moucka, un canadiense de veintitantos años que operaba bajo media docena de alias y una arrogancia inusitada, se declaró ayer culpable ante un tribunal federal de Estados Unidos por el robo masivo de datos que comprometió a 165 clientes del gigante de almacenamiento Snowflake. El botÃn: más de 100 millones de registros personales, desde el historial de llamadas de AT&T hasta los datos bancarios de clientes de Santander.
La operación, que el Departamento de Justicia (DOJ) califica como una de las campañas de filtración y extorsión más extensas de 2024, muestra un tradecraft basado puramente en el descuido: credenciales robadas de entornos corporativos que carecÃan de autenticación multifactor. Una vez dentro, Moucka y sus co-conspiradores —John Binns y Cameron Wagenius, ambos imputados— exfiltraron terabytes de información sensible y exigieron pagos en criptomonedas a cambio de no hacerla pública. El DOJ cifra en 495.000 dólares el beneficio personal de Moucka, mientras que la banda habrÃa ingresado colectivamente más de 2,5 millones.
AnatomÃa de un botÃn masivo: credenciales robadas y extorsión
El método fue tan tosco como efectivo. Los atacantes obtuvieron credenciales válidas —probablemente a través de infostealers o compra en foros clandestinos— y las utilizaron para acceder a los entornos de los clientes de Snowflake que no tenÃan habilitada la autenticación multifactor. Una vez dentro, exfiltraron datos de forma masiva: registros de llamadas y mensajes de texto, información financiera, nóminas, números de identificación gubernamentales y otra información personal identificable (PII). Las pérdidas económicas directas para las compañÃas afectadas superan los 9,5 millones de dólares, sin contar el impacto reputacional ni los costes indirectos para millones de ciudadanos.
Lo sé, y se lo digo sin ambages, porque llevo dos décadas siguiendo estas operaciones. En El quinto elemento ya advertà que el próximo 11S no llegarÃa en un avión, sino con un clic sobre una vulnerabilidad no parcheada. Moucka le ha dado la razón al FBI: demostró que desde un sótano se puede hacer tambalear a multinacionales enteras. Y lo hizo con una arrogancia que, según los investigadores, rayó la estupidez. Allison Nixon, directora de investigación de Unit 221B, relató a CyberScoop: «Incluso mientras robaba datos y extorsionaba a las vÃctimas, hacÃa cosas innecesarias, como amenazarme porque creÃa que estaba trabajando en su caso». Un exceso de confianza que aceleró su captura.
La táctica —el modelo de «pagar o filtrar»— no solo fue aplicada una vez. En un caso documentado, Moucka re-extorsionó a una vÃctima con datos robados de un alto cargo gubernamental y de los miembros de la familia inmediata de un ex alto cargo. El modus operandi incluÃa prometer la eliminación de los datos a cambio del rescate para, acto seguido, incumplir la promesa. Una práctica que, según Nixon, envenena la credibilidad de todas las bandas de extorsión: «El legado de Moucka es el de un fracasado; extorsionó y luego estafó a sus vÃctimas al no borrar los datos, sembrando dudas sobre cualquier futuro pago por filtración».
El hackeo a Snowflake no fue un ciberataque de libro: fue una redada masiva de datos personales que expuso a 100 millones de personas a la extorsión y al chantaje.
De Kitchener a un tribunal federal: la caza del «Waifu»
El 30 de octubre de 2024, Moucka fue detenido en Kitchener, Ontario, a petición de las autoridades estadounidenses. Utilizaba los alias «Waifu», «Judische», «Catist» y «Ellyel8», y se movÃa dentro de The Com, una red de ciberdelincuencia compuesta mayoritariamente por menores y jóvenes adultos involucrados en extorsión, sextortion y ciberataques violentos. Fue extraditado a Estados Unidos en marzo de 2025 y se ha declarado culpable de fraude informático, fraude electrónico, robo de identidad agravado y conspiración. La sentencia se dictará el 27 de octubre de 2026; se enfrenta a hasta 32 años de prisión.
El agente especial a cargo de la oficina del FBI en Seattle, W. Mike Herrington, fue contundente: «Las amenazas y las tácticas de re-extorsión de Moucka fueron calculadas y depredadoras, y causaron un daño real tanto a las empresas vÃctimas como a los millones de personas que son sus clientes». Un mensaje que el FBI quiere que cale: esconderse tras un teclado no es impune. «Moucka lo aprendió cuando fue arrestado apenas unos meses después de empezar a atacar empresas estadounidenses», añadió Brett Leatherman, subdirector de la División Cibernética del FBI.
Dossier Moncloa: Ojos en la Sombra
Confidencial. Desde el punto de vista del oficio, este caso es un libro de texto sobre tres realidades incómodas. Primero: el vector de amenaza es puramente ciberataque de acceso mediante credenciales robadas, exfiltración masiva de datos y extorsión por filtración (modelo ‘pay or leak’). No hay zero-day ni malware sofisticado: solo cuentas con permisos válidos y ausencia de doble factor de autenticación. Segundo: las agencias implicadas son múltiples. Por el lado atacante, un grupo afiliado a The Com sin atribución estatal conocida; por el lado defensor, el FBI y el DOJ estadounidenses, con colaboración canadiense. Y, como tercer observador obligado, España. Santander, una de las entidades financieras más relevantes del IBEX 35, figura entre las vÃctimas. Me consta por fuentes del Centro Criptológico Nacional (CCN-CERT) que, en el momento álgido de la campaña, se emitió una alerta de nivel muy alto y se coordinó con el CNI la monitorización de los sistemas afectados en el sector bancario español.
¿Qué nivel de clasificación estimo para el material comprometido? A juzgar por la naturaleza de los datos —registros de llamadas, información financiera, nóminas y números de identificación gubernamentales—, los contenidos son sensibles pero no clasificados. Hablo de Sin Clasificar pero Sensible (SBU) en la jerga del oficio. Sin embargo, si alguno de los clientes de Snowflake era una agencia gubernamental o contratista de defensa, el escenario podrÃa empeorar. El historial nos enseña que la lÃnea entre lo sensible y lo clasificado se difumina en los ataques masivos: en 2015, la filtración de la OPM estadounidense dejó al descubierto los expedientes de seguridad de 21 millones de funcionarios. Aquel incidente fue calificado como una «catástrofe de inteligencia».
La lectura confidencial que hago es ésta: el verdadero riesgo no es el robo aislado, sino la agregación de datos que permiten perfilar a millones de ciudadanos y, potencialmente, servir de escalón para futuras operaciones de influencia o chantaje. Moucka es un delincuente, no un agente estatal. Pero su caso es el sÃntoma de una epidemia que los servicios de inteligencia occidentales llevan años monitorizando: la porosidad de las infraestructuras en la nube. Como escribà en El quinto elemento, en España hay más de 8.000 infraestructuras crÃticas atacables a través de internet, y muchas de ellas confÃan ciegamente en proveedores de almacenamiento como Snowflake. La próxima vez quizá no se trate de un veinteañero con complejo de grandeza, sino de un APT patrocinado por un Estado. Y entonces sà tendremos que hablar de clasificación Top Secret.
Queda un hito en el horizonte: la sentencia del 27 de octubre. Para entonces, Moncloa.com seguirá el expediente judicial y las posibles repercusiones en las juntas de accionistas de las empresas afectadas, con especial atención a las entidades españolas. Como le digo siempre a quien quiera escucharlo: el verdadero espÃa ya no necesita una gabardina; le basta con una contraseña y un foro de la dark web.
