Cuatro años para un codificador de Conti — y cerca de 350 000 usuarios de criptomonedas en la mira: Así se ve el panorama de amenazas digitales

La justicia alcanza — pero toma tiempo

Hay algo casi catártico en ver a un sistema judicial realmente entregar resultados. El ucraniano de 44 años Oleksii Oleksiyovych Lytvynenko fue arrestado en Irlanda en 2023, extraditado a Estados Unidos a finales de 2025, se declaró culpable en junio de 2026 y finalmente fue condenado a cuatro años de prisión — por su rol como codificador en el infame grupo Conti.

Conti no era un grupo de criminales cualquiera. Se estima que el grupo extorsionó rescates de al menos 150 millones de dólares de víctimas en más de 30 países, incluyendo hospitales, municipios e infraestructura crítica. Su método era la doble extorsión: encriptar los datos de la víctima y amenazar con filtrarlos si el pago no se realizaba. Efectivo. Brutal. Y durante varios años prácticamente imparable.

El rol específico de Lytvynenko era desarrollar un programa de inyección de código malicioso — una especie de herramienta para desplegar los ataques. Que además datos robados de víctimas fueran encontrados en su poder sugiere una participación más profunda. Enfrentaba 20 años. Recibió cuatro. La sentencia es parte de un patrón más amplio en el que las autoridades estadounidenses recientemente han condenado sistemáticamente a miembros destacados de diversos grupos de extorsión.

Como profesional de desarrollo empresarial, veo esto como una prueba clara de que la colaboración judicial internacional está madurando. Toma años — a veces una década — pero los engranajes de la máquina de justicia comienzan a funcionar. Es un progreso que vale la pena destacar.

Cuando una plataforma de terceros se convierte en la puerta trasera

Pero mientras el sistema judicial trabaja retrospectivamente, nuevos ataques están ocurriendo ahora. Y lo más preocupante del caso Trezor no es el ataque en sí — es lo fácil que fue posible llevarlo a cabo.

La plataforma de marketing Brevo sufrió una brecha con un diseño casi elegantemente aterrador. El atacante creó su propia cuenta en Brevo, activó la función de inicio de sesión único de la plataforma e invitó a usuarios legítimos de Brevo a su configuración. Al usar su propio servicio de identidad, el atacante pudo luego iniciar sesión como estos usuarios — y obtuvo así acceso a todas las organizaciones a las que estas cuentas tenían acceso.

Resultado: 347 000 usuarios de Trezor recibieron correos de phishing bien formateados con la línea de asunto "Critical Security Alert: STM32 Entropy Vulnerability" — una alarma de sonoridad técnica diseñada para crear pánico y hacer que los destinatarios actúen rápida e irreflexivamente. El enlace conducía a un sitio web falso donde se pedía a los usuarios ingresar su copia de seguridad de la billetera. Quien lo hizo corre el riesgo de perder todos sus activos en criptomonedas.

Los equipos de seguridad actuaron rápidamente — el sitio web malicioso fue cerrado 20 minutos después de ser identificado. Pero el daño ya estaba hecho para los usuarios que alcanzaron a hacer clic.

El patrón común: la cadena nunca es más fuerte que su eslabón más débil

¿Qué tienen en común un codificador ucraniano condenado en Estados Unidos con una brecha en una plataforma de marketing francesa que afectó a ahorradotes en criptomonedas en todo el mundo? Más de lo que se podría pensar.

En ambos casos se trata de vulnerabilidades indirectas — las víctimas no son el objetivo principal, sino que se alcanzan a través de un intermediario. Las víctimas de Conti se alcanzaban a través de código malicioso instalado en infraestructura en la que confiaban. Los usuarios de Trezor se alcanzaban a través de una plataforma de marketing que su proveedor de billetera utilizaba para comunicarse con ellos.

Para los ahorradotes en criptomonedas, la lección es cristalina: tu billetera puede ser técnicamente segura, pero si no eres igualmente cuidadoso con qué correos actúas y de dónde provienen, esa seguridad no tiene sentido. Nunca ingreses tu copia de seguridad basado en un correo — sin importar cuán oficial se vea.

Para las empresas el mensaje es otro: los riesgos de terceros son riesgos de primera parte. Cada plataforma que contratas para marketing, comunicación con clientes o sistemas empresariales es una ruta potencial de ataque contra tus clientes. No es suficiente que tu propio código sea seguro si el sistema de inicio de sesión de Brevo tiene un defecto de diseño fundamental.