El FBI ha detenido en Pensilvania a Edward Dubrovsky, un ejecutivo canadiense que negociaba rescates con bandas de ransomware. La acusación, presentada ante el Distrito Este de Pensilvania y ya transferida al Distrito Este de Texas, le imputa conspiración para ‘amenazar con menoscabar la confidencialidad de información con intención de extorsionar dinero’ e ‘interferencia con el comercio mediante amenazas’. Es el tercer arresto vinculado a ShinyHunters en tres semanas.
Los registros judiciales sitúan la detención el 8 de octubre. Revelan también un detalle que dice mucho de lo verde que está el caso: el apellido aparece escrito de dos formas distintas, Dobrovsky y Dobrosky, y ninguna ficha recoge edad, profesión ni empleador. La querella principal sigue sellada por orden judicial. Cuando un expediente llega al tribunal con el nombre mal escrito y el sumario cerrado, lo que hay debajo es una investigación en plena ebullición.
Dubrovsky no es un desconocido en el sector. Según su perfil de LinkedIn, fue uno de los fundadores de Cypfer, firma canadiense de respuesta a incidentes, y ahora aparece vinculado a CyberSteward, otra compañía del mismo país que se anuncia como especialista en ‘interacción con actores de amenaza, ciberextorsión, negociaciones complejas y facilitación de acuerdos’. Krebs on Security sitúa la Cumbre de Riesgo Cibernético entre el 5 y el 7 de octubre en el hotel Loews de Filadelfia, con Cypfer como patrocinador principal. Un mes antes, el detenido había anunciado en LinkedIn que asistiría al evento con el equipo de CyberSteward.
También es autor de un libro sobre cómo responder a una extorsión digital, según SecurityWeek. Ahí está la paradoja del oficio: quien escribía el manual acaba imputado por el mismo delito que explicaba.
El director del FBI, Kash Patel, confirmó el arresto en una publicación del 9 de octubre: ‘Nuestros agentes sobre el terreno han detenido a otro presunto co-conspirador del grupo ShinyHunters’. Según SecurityWeek, el Buró presentó la operación como el último golpe de una serie de acciones ejecutadas en apenas unos días y aseguró que seguirá trabajando para desarticular la red que queda en pie.
Perseguir al negociador es perseguir el eslabón que convierte una brecha de datos en un ingreso recurrente.
El trasfondo importa. El mes anterior, ShinyHunters aseguró haber robado información de casi todos los empleados del FBI tras acceder al portal de empleo y a otros sistemas del Buró. La intrusión se produjo por el fallo de un contratista que no parcheó Oracle PeopleSoft, según la versión oficial. El grupo justificó el ataque como represalia por el informe que el propio FBI publicó a comienzos de año advirtiendo de su actividad.
Cuando el que negocia con el delincuente acaba imputado, el mercado entero cambia de reglas de la noche a la mañana.
La cifra que maneja el Buró sitúa la extorsión de ShinyHunters por encima de los 70 millones de dólares este año. Tres detenciones en tres semanas: Países Bajos el 15 de septiembre, Jordania el 28 y ahora Pensilvania. El arrestado en Jordania estaría cooperando con los investigadores, según las fuentes citadas por Krebs.
Qué se le imputa y por qué el expediente sigue bajo secreto
Los dos cargos recogidos en el resumen de la querella son técnicos y, a la vez, demoledores. El primero describe la mecánica clásica de la extorsión digital: alguien posee datos ajenos y amenaza con publicarlos si no cobra. El segundo, interferencia con el comercio mediante amenazas, es el gancho federal que convierte el asunto en delito de jurisdicción estadounidense aunque el detenido sea canadiense y los datos robados no fueran suyos.
Le adelanto que el detalle relevante está en lo que no se ve. Las autoridades no han explicado qué hizo presuntamente el detenido: nadie ha dicho si negociaba de buena fe con los atacantes, si cobraba por sus servicios o si, como sostiene la acusación, se sentaba en la mesa equivocada. Reuters no consiguió localizar ni al detenido ni a sus abogados. Los fiscales federales de Filadelfia tampoco respondieron a las preguntas sobre las discrepancias en el apellido. Hay un dato que apunta a algo mucho mayor: Krebs sostiene, citando fuentes, que directivos de otras firmas de negociación de rescates podrían acabar imputados.
El negociador, esa figura gris que profesionalizó la extorsión
Le pongo en contexto, porque el oficio tiene su historia. Durante años, las víctimas negociaban a ciegas, muchas veces con la policía mirando desde la barrera. Después llegaron las firmas especializadas: equipos de respuesta que hablaban el idioma de los atacantes, gestionaban criptomonedas y cerraban acuerdos de confidencialidad con la víctima. Un negocio floreciente. Un negocio, también, situado en la frontera exacta entre la gestión de crisis y la complicidad.
La línea roja siempre fue difusa. El negociador que persuade a una banda para que baje el rescate y entregue las llaves de descifrado, ¿media o participa? Y si cobra un porcentaje del rescate, ¿dónde queda su incentivo para que no se pague? La frontera entre intermediario y co-conspirador es la única pregunta que importa aquí. El FBI parece haber decidido que, en algunos casos, ya la tiene respondida.
Detectar al intermediario no exige SIGINT sofisticado. Exige HUMINT clásico: seguimiento, escuchas, control de pagos con criptomonedas, y, sobre todo, un testigo que hable. El detenido en Jordania cooperando con los investigadores encaja en ese patrón como un guante.
Dossier Moncloa: Ojos en la Sombra
El vector es la extorsión digital con datos robados, y el objetivo táctico es el intermediario humano. En el lado atacante, ShinyHunters opera sin atribución estatal confirmada: ni el FBI ni ninguna otra agencia han vinculado públicamente al grupo con un servicio de inteligencia, y conviene recordarlo antes de dejarse llevar por las teorías de siempre. En el lado defensor, el Buró lidera la investigación desde su División Cibernética, con apoyo de Países Bajos y Jordania. Como terceros interesados figuran las firmas privadas de negociación y, en la distancia, los servicios europeos que llevan años peleando con el mismo problema sin estrategia común.
Estimo que el material comprometido en la brecha del FBI se mueve en un nivel confidencial. No es Top Secret: son datos de empleados, identificaciones y referencias laborales. Pero en manos de un extorsionador se convierte en munición de contrainteligencia, porque permite construir perfiles, localizar a personal con acceso y diseñar campañas de spear-phishing contra objetivos concretos. Es lo que ocurrió en 2015 con la filtración del Office of Personnel Management, cuando Pekín se hizo con los expedientes de más de veinte millones de empleados federales, incluidos miles con autorizaciones de seguridad en vigor. Entonces se discutió si aquello era espionaje o robo. Era las dos cosas.
Permítame la cautela: el punto débil de mi propia lectura está en la atribución individual. Sin la querella completa, es imposible saber si Dubrovsky negociaba con las bandas, cobraba de ellas o simplemente pisó un terreno que la ley no había delimitado hasta ahora. La presunción de inocencia no es un formalismo: es el único blindaje frente a un relato que el FBI tiene todo el interés en escribir a su manera.
Conexión España. El CCN-CERT lleva años desaconsejando el pago y empujando a las víctimas hacia la denuncia, pero quien negocia de verdad en los incidentes graves suele ser una aseguradora o una consultora privada. No hay registro público de negociadores españoles imputados, y conviene decirlo sin adornos. Lo que sí existe es una industria opaca, con decenas de intermediarios operando en la frontera entre la gestión del incidente y el contacto directo con el delincuente. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic. No dije que, entre el clic y el rescate, se sentaría alguien a negociar.
El calendario procesal marcará el ritmo del caso. El expediente se ha trasladado al Distrito Este de Texas, donde según Krebs se concentra la investigación del FBI sobre ShinyHunters, y está previsto que en las próximas semanas se desclasen partes de la querella o se presenten nuevas imputaciones. Ahí se verá si esto es un caso aislado o el primer movimiento de una limpieza a fondo del sector.
Lo veo así: el FBI no está cazando hackers. Está cerrando la puerta de atrás del negocio.
