Així funcionen les màfies d’internet

Un món amb més de 3.000 milions d’internautes i desenes de milions de dispositius connectats ofereix enormes possibilitats de difusió del coneixement, però la digitalització de l’economia i el comerç -només el 2012 es van fer a Europa 40.000 milions de pagaments amb targeta- també amplien el camp d’intervenció als delinqüents. El Centre Europeu de Ciberdelinqüència (EC3) de l’Europol, l’organisme que agrupa les policies dels estats membres de la Unió Europea, publica l’informe iOCTA (Internet Organised Crime Threat Assessment), un panorama inquietant de l’agilitat amb què el crim organitzat ha adoptat la tecnologia digital per portar a terme les seves activitats il·legals.

Delictes en pagament per ús

En el món dels negocis legítims -o visibles, si més no- l’adopció de les tecnologies del núvol ha donat lloc a l’anomenat SaaS ( software as a service, és a dir, programari com a servei), en el qual les empreses contracten recursos remots a proveïdors externs i paguen per l’ús que en fan, en comptes d’adquirir equipament i llicències per a consum intern i exclusiu. Són els serveis que ofereixen Amazon, Microsoft, IBM, Google, HP, Salesforce, Rackspace i moltes altres. En el món de la delinqüència digital, que també és un negoci i, per tant, busca la màxima eficiència per optimitzar el benefici, està passant exactament el mateix. L’EC3 adopta fins i tot la terminologia: parla del CaaS ( crime as a service, els delictes com a servei) i en detalla les diverses modalitats.

IaaS (infraestructura com a servei). Hi ha proveïdors d’allotjament de dades i aplicacions especialitzats a mantenir-les fora de l’abast de la policia. Ofereixen la potència de procés i connectivitat que calen per portar a terme els atacs de saturació (DDoS) que tomben servidors d’empreses i institucions, a l’estil del que va fer caure les webs de la Generalitat els dies previs a la consulta del 9-N. Aquí també s’hi inclouen les botnets, xarxes d’ordinadors zombis, segrestats mitjançant la inserció de programari maliciós en espera de ser utilitzats. Qui contracta un servei d’IaaS paga en funció de la intensitat de l’atac.

DaaS (dades com a servei). Per perpetrar les seves malifetes, els ciberdelinqüents necessiten dades com números de targeta de crèdit, comptes bancaris, domicilis físics, números de telèfon, adreces de correu electrònic, dates de naixement o credencials d’accés a bústies i xarxes socials. És habitual que qui disposa d’aquestes informacions, aconseguides per vies il·lícites, no les vengui sinó que les llogui per al seu ús puntual, amb possibilitat de segmentació com qualsevol base de dades de màrqueting.

PPI (pagament per instal·lació).Probablement el mètode més popular per distribuir programari maliciós, que en més del 80% dels casos s’instal·la des de pàgines i aplicacions mòbils enganyoses. El proveïdor cobra per la quantitat de descàrregues efectuades, igual que en el món del contingut digital.

HaaS ( hackeig com a servei). Els especialistes en intrusions electròniques lloguen les seves habilitats al millor postor, de manera que ja no cal tenir coneixements tècnics específics per suplantar algú i aconseguir, per exemple, les dades empresarials o personals a les quals té accés. Només cal saber on trobar algú que tingui aquestes habilitats.

MaaS (programari maliciós com a servei).De la mateixa manera, no cal ser programador per disposar d’aplicacions que interceptin comunicacions, recopilin massivament dades o segrestin equips sense que els seus propietaris en siguin conscients. A la xarxa es pot llogar programari d’aquest tipus en règim de pagament per ús, igual que ho fem amb un paquet d’ofimàtica o un servei de comptabilitat. Una categoria popular és el ransomware, els programes que s’instal·len al teu ordinador i t’amenacen d’esborrar-ne el contingut si no pagues un rescat per desactivar-los. En règim de MaaS, el proveïdor cobra una comissió de cada cobrament i es pot encarregar també de gestionar-lo i blanquejar-lo.

TaaS (traducció com a servei).El caràcter global de la xarxa fa que sovint els atacs als usuaris o empreses d’un país procedeixin d’un altre. L’engany resulta més fàcil si es fa en l’idioma de la víctima. Per això es poden contractar serveis de traducció que adapten el material (missatges de correu, pàgines web, scripts de confirmació) en funció de l’objectiu. Així, un delinqüent rus pot enviar-vos un formulari idèntic al del vostre banc habitual. Es veu, però, que els clàssics estafadors nigerians encara no han descobert que existeix el TaaS.

MLaaS (blanqueig de diners com a servei). El rastre dels diners obtinguts amb les activitats delictives s’esborra mitjançant una combinació de procediments digitals, com les transferències interbancàries, i físics, en forma de xarxes de mules d’efectiu. S’obren comptes bancaris legals amb documentació falsa, es transfereixen diners per serveis de remeses, com Moneygram i Western Union, i es participa en jocs d’apostes en línia. L’objectiu és transformar els ingressos en efectiu disponible o ingressat en un compte, tot i que segons l’Europol l’aparició de bitcoins i altres divises virtuals ha obert una nova via de blanqueig.

El costat fosc de la xarxa

Segons l’EC3, els venedors d’aquesta mena de serveis tenen estructures jeràrquiques definides i xarxes comercials estables. Tradicionalment es trobaven amb els compradors en fòrums de la deep web, pàgines web amagades dels cercadors públics, on es pot trobar des de drogues fins a mercaderia robada, passant per armes, documentació falsificada, pornografia infantil i tràfic de persones. Aquests mercadillos acostumen a ser globals, però també n’hi ha de segmentats per idiomes: un dels fòrums en rus sobre targetes bancàries té 13.000 membres i 4.000 visitants diaris. Últimament, però, els ciberdelinqüents estan fent ús de tecnologies com el xifrat de contingut i les xarxes anònimes ( darknets ) com TOR, Freenet o l’Invisible Internet Project (I2P), nascudes per preservar la llibertat d’expressió i la privacitat, però també ideals per canalitzar activitats delictives. Aquest és precisament un dels aspectes que l’Europol considera més difícil de la seva missió de perseguir els malfactors, juntament amb la disparitat entre les diverses jurisdiccions competents.