Acusan a militares chinos por un masivo robo de datos en EE.UU.
El hackeo fue en 2017 y afectó a 145 millones de estadounidenses y a Equifax, una agencia de informes de crédito.
El Departamento de Justicia acusó ayer formalmente a cuatro miembros de las Fuerzas Armadas de China por cargos de hackeo en 2017 contra la empresa Equifax, una de las agencias de informes de crédito más grandes del país, y robar secretos comerciales y datos personales de unos 145 millones de estadounidenses.
“Esta fue una intrusión deliberada y radical en la información privada del pueblo estadounidense”, dijo el secretario de Justicia William Barr. Los cargos subrayaron la búsqueda de China para obtener los datos personales de los estadounidenses, que Beijing puede usar para impulsar los avances en inteligencia artificial y espionaje, y su voluntad de ignorar un acuerdo de 2015 con Estados Unidos para abstenerse de actos de piratería y ataques cibernéticos, todo en un esfuerzo por expandir el poder económico y la influencia.
“La escala del robo fue impresionante”, comentó Barr. “Este fue uno de los mayores pirateos de la historia” del país en el que se robó “información personal sensible de casi la mitad de los ciudadanos estadounidenses”, agregó.
Los hackers robaron nombres, fechas de nacimiento y números de la Seguridad Social de millones de estadounidenses, datos que pueden usarse para acceder a información como historiales médicos y cuentas bancarias. “Este tipo de ataque a la industria estadounidense es parte de otras adquisiciones ilegales chinas de datos personales sensibles”, dijo Barr al anunciar los cargos ayer, citando el robo de registros de China en los últimos años de la Oficina de Administración de Personal del gobierno, los hoteles Marriott International y la compañía de seguros Anthem.
La acusación sugiere que el hackeo fue parte de una serie de robos importantes organizados por el Ejército Popular de Liberación y las agencias de inteligencia chinas. Barr dijo que China puede usar cachés de información personal para atacar mejor a los oficiales de inteligencia estadounidenses y otros funcionarios. La mayor de esas violaciones fue el robo en 2015 de aproximadamente 22 millones de archivos de autorización de seguridad de la oficina de personal del gobierno, que realiza un seguimiento de los empleados y contratistas federales.
Rápidamente se hizo evidente que esa información era de gran valor para el gobierno chino: los funcionarios estadounidenses con autorización de seguridad, incluidos algunos de los miembros más importantes del gobierno, tuvieron que revelar contactos extranjeros, relaciones que incluyen asuntos extramatrimoniales, su historial de salud e información sobre sus hijos y otros miembros de la familia.
La violación fue tan grave que la CIA tuvo que cancelar las asignaciones de oficiales encubiertos que planeaban ir a China. Entonces se puso peor. Los piratas informáticos en la base de datos de Anthem y en los hoteles Starwood, más tarde asumidos por Marriott, parecían estar orquestados por los mismos grupos chinos o relacionados. Los Estados Unidos evaluaron que China estaba construyendo una vasta base de datos de quién trabajaba con quién en los trabajos de seguridad nacional, a dónde viajaban y cuáles eran sus historiales de salud. La información robada de Equifax revelaría si alguno de esos funcionarios también está bajo estrés financiero y, por lo tanto, es susceptible de soborno o chantaje.
Los cargos contra miembros del Ejército chino fueron inusuales, dijo Barr. El Departamento de Justicia rara vez asegura las acusaciones contra miembros de militares o servicios de inteligencia extranjeros, en parte para evitar represalias contra las tropas y espías estadounidenses. Pero el secretario Barr dijo que ha hecho excepciones para los actores patrocinados por el Estado que piratearon en Estados Unidos redes para robar propiedad intelectual o interferir en elecciones.
“Así es como manejaremos las normas internacionales: acusando a las personas, no solo negociando tratados y adoptando convenciones”, dijo Megan Brown, líder de la práctica de cibernética y privacidad en la firma de abogados Wiley Rein. La acusación imputa a los militares chinos haber hackeado redes informáticas de la compañía, mantener el acceso no autorizado a ellas y robar información sensible sobre los estadounidenses. Meses antes del ataque, el gobierno advirtió a Equifax que su red contenía una vulnerabilidad, pero la compañía no la arregló, según documentos del gobierno.
Los acusados -Wu Zhiyong, Wang Qian, Xu Ke y Lui Le, todos miembros del Ejército Popular de Liberaciónexplotaron esa debilidad en mayo de 2017 para ingresar a la red y llevar a cabo varias semanas de vigilancia y robar las credenciales de inicio de sesión de los empleados de Equifax antes de revelar los secretos comerciales y los datos robados.
Enmascararon su actividad mediante el uso de comunicaciones cifradas y enrutando su tráfico de Internet a través de 34 servidores en casi 20 países, incluidos Suiza y Singapur, según los fiscales. En su mayor parte, lograron borrar sus huellas dentro de la red Equifax. Pero los investigadores finalmente rastrearon su actividad hasta dos servidores con sede en China que se conectaban directamente a Equifax.
En los meses posteriores a la piratería de Equifax, los investigadores de seguridad concluyeron que los delincuentes habían desviado la información durante unos meses después de obtener acceso a la red. Eso solo fue suficiente para forzar la renuncia del director ejecutivo de la compañía. Pero esa explicación parecía cada vez más sospechosa con el tiempo porque los datos de Equifax, como la información obtenida de la Oficina de Gestión de Personal, no aparecían en general en venta en la llamada “Internet oscura”, un área solo accesible para los entendidos y en donde la información obtenida ilícitamente a menudo se vende para su uso en el cibercrimen.
Los funcionarios de Justicia aún no han encontrado evidencia de que el gobierno chino haya utilizado los datos del pirateo de Equifax, dijo David Bowdich, subdirector del FBI, en la conferencia de prensa. ■