La lucha contra el cibercrimen ha dado un paso importante con la reciente detención en España del presunto líder de una red internacional de ransomware, responsable de la creación y distribución de algunos de los programas maliciosos más dañinos del mundo. La operación, coordinada a nivel global y liderada por la Guardia Civil española y de la que ha informado el Ministerio del Interior, ha puesto fin a una organización que generaba ingresos anuales cercanos a los 34 millones de dólares a través de actividades ilícitas en internet.
El arresto se llevó a cabo en la localidad de Estepona, en la provincia de Málaga, donde fue detenido un hombre de 38 años, acusado de ser el creador y administrador de «Ransom Cartel», una de las redes de ransomware más peligrosas y lucrativas del mundo. Además, se le atribuye la creación de otros malware importantes, como CryptXXX y Cryptowall, que han causado estragos a empresas de todo tipo durante años.
Los vínculos del detenido con el cibercrimen se remontan al menos a 2013, cuando comenzó a ganar popularidad en foros clandestinos bajo alias como «J.P. Morgan», «xxx» y «lansky». A lo largo de los años, su influencia en el submundo del cibercrimen fue en aumento, consolidando su posición como un actor clave en la distribución de ransomware y otras formas de malware.
Una operación internacional coordinada
La detención fue el resultado de la operación internacional «Seacatch-Weighhouse», liderada por la Guardia Civil en estrecha colaboración con una serie de agencias internacionales. Entre ellas se encuentran la National Crime Agency (NCA) del Reino Unido, el Servicio Secreto y el FBI de Estados Unidos, el Servicio de Seguridad de Ucrania, la Policía Judiciaria de Portugal y la Oficina Central contra el Cibercrimen de Polonia.
Durante la operación, se realizaron detenciones y registros en varios países, incluyendo España, Ucrania, Portugal y Alemania, lo que permitió obtener información clave sobre la estructura y el funcionamiento de la organización criminal. Además, el Reino Unido trabajó conjuntamente con la policía de Singapur para localizar la infraestructura utilizada por Ransom Cartel, destacando la envergadura global de la investigación.
El modus operandi de la red: ransomware y malvertising
La red criminal dirigida por el detenido se caracterizaba por su capacidad para explotar vulnerabilidades en sistemas informáticos a través de dos métodos principales: el ransomware y el malvertising (publicidad maliciosa). El ransomware, como Ransom Cartel, CryptXXX y Cryptowall, secuestra los archivos de las víctimas, exigiendo un rescate en criptomonedas para su liberación. Este tipo de ataque ha causado graves daños a empresas, instituciones y usuarios individuales en todo el mundo.
Uno de los malwares más lucrativos de la red fue Reveton, un ransomware que bloqueaba el ordenador de la víctima y mostraba una notificación falsa que aparentaba ser de un cuerpo policial, exigiendo el pago de una multa para desbloquear el equipo. Este tipo de ataque jugaba con el miedo de las víctimas, haciéndolas creer que habían cometido una infracción legal, lo que aumentaba las probabilidades de que pagaran el rescate.
Además, el detenido fue acusado de la difusión de Angler Exploit Kit, una herramienta utilizada para infectar dispositivos a través de la instalación de malware o la redirección a páginas fraudulentas. Este exploit kit fue responsable de millones de estafas y es un ejemplo de cómo los cibercriminales utilizan técnicas sofisticadas para propagar sus ataques.
El modelo de «ransomware como servicio»
Una de las razones del éxito de esta red criminal fue su pionera adopción del modelo de «ransomware como servicio». Este enfoque permitió a la organización expandirse rápidamente al ofrecer sus herramientas de ransomware a otros ciberdelincuentes sin conocimientos técnicos avanzados. A través de este modelo, cualquiera podía acceder al software malicioso a cambio de una tarifa o un porcentaje de los rescates obtenidos, lo que facilitó el crecimiento del cibercrimen a escala global.
Este modelo empresarial delictivo democratizó el acceso al ransomware, permitiendo que ciberdelincuentes menos experimentados participaran en actividades altamente lucrativas sin necesidad de tener habilidades técnicas avanzadas. La organización criminal proporcionaba el software y el soporte técnico, mientras que los «afiliados» ejecutaban los ataques, compartiendo las ganancias con los creadores del ransomware.
