Quant valen les dades de la teva targeta de crèdit al mercat negre?

Si saps on trobar-los, el número, la data de caducitat i el codi de verificació d’una targeta bancària aliena que disposi de 5.000 dòlars de crèdit es poden comprar per uns 120 dòlars; si et conformes amb obtenir 1.000 dòlars, el preu baixa a 80 dòlars, i si no exigeixes cap garantia de crèdit disponible, pots adquirir les dades de cada targeta per preus que oscil·len entre els 15 i els 30 dòlars segons el país d’emissió (les espanyoles es cotitzen a 25 dòlars), que pots voler escollir per cometre el teu frau en un lloc determinat. Un joc de credencials robades (usuari més contrasenya) per accedir a un servei de banca per internet costa 65 dòlars.

També s’ofereixen noms d’usuari i contrasenyes per accedir a serveis més prosaics: les d’un compte de Netflix amb un any d’abonament costen 25 dòlars, cinc vegades més que les d’una web de pornografia de pagament; les d’un passatger d’Uber tenen un preu de 15 dòlars, que pugen fins als 35 dòlars si les credencials permeten suplantar un conductor. Igualment, es poden comprar credencials de perfils en la majoria de plataformes digitals: les de Facebook costen 45 dòlars, més que les d’Instagram (40) i les de Twitter (25), però menys que les de Gmail (65).

Aquestes són només algunes de les tarifes mitjanes que el grup Privacy Affairs ha observat durant l’últim any en les principals botigues digitals del web fosc (dark web) que ofereixen dades personals de tercers, obtingudes mitjançant intrusions i extraccions massives en les plataformes corresponents. Es tracta d’un mercat molt dinàmic on, a banda d’altres mercaderies encara més qüestionables, es poden adquirir des de documents oficials d’identitat físics autèntics i falsificats fins a credencials d’accés a criptomoneders (les de Binance es venen per 260 dòlars, les de Bit.io en costen 400), passant per paquets de seguidors (10 dòlars per cada 1.000 a LinkedIn), retuits (20 dòlars) i "m’agrada" (5 dòlars a Instagram) en les principals xarxes socials.

Igualment, es poden contractar serveis d’infecció amb programari maliciós (des de 50 fins a més de 5.000 dòlars per cada miler d’instal·lacions segons l’abast geogràfic i el percentatge d’èxit), i atacs de denegació de servei (DDoS) que saturin la web de la víctima amb peticions falses, fent impossible que hi puguin accedir els visitants legítims: des de 10 dòlars per 50.000 peticions cada segon durant una hora fins a 850 dòlars per la mateixa intensitat durant tot un mes.

S’estima que al web fosc hi ha uns 9.000 venedors d’aquesta mena de productes i serveis digitals. Operen mitjançant plataformes agregadores, homòlogues d’AliExpress i Amazon Marketplace en aquest entorn. La més freqüentada, amb gairebé un terç dels venedors, solia ser White House Market, però va tancar sobtadament l’octubre passat, i el seu lloc sembla haver estat ocupat per ToRReZ i AlphaBay. Per esquivar les autoritats tant com sigui possible, les operacions estan sempre xifrades amb PGP i les transaccions es fan amb criptomonedes, darrerament més amb Monero que amb Bitcoin.

Gran competència

L’abundància de dades robades –només al desembre van sortir a la venda uns quatre milions i mig de targetes de crèdit fresques– i la competència entre venedors han portat aquest mercat clandestí a comportar-se com els tradicionals: sovint s’hi veuen promocions de màrqueting (ofertes de l’estil "si compres dues targetes clonades te n’emportes tres", cupons de descompte i espais on els compradors poden puntuar amb el seu grau de satisfacció. Tot i això, l’indicador definitiu és la caiguda dels preus en l’últim any: en alguns casos, a la meitat.

D’aquí que els ciberdelinqüents apuntin ara a mercats més lucratius, com el de les dades empresarials: llistes de clients, plans de negoci, documentació tècnica interna i altres informacions que un competidor pot aprofitar en benefici propi. En aquest cas, el que els ciberdelinqüents solen oferir són les credencials que el comprador necessita per infiltrar-se als sistemes de la víctima, obtingudes explotant-ne algun forat de seguretat no detectat, mitjançant atacs de phishing o enginyeria social adreçats als empleats. Segons la firma de ciberseguretat Kaspersky, aquest tipus de servei s’acostuma a cobrar en funció del volum de negoci de la víctima: la majoria de les vendes fraudulentes de credencials tenen preus per sota dels 5.000 dòlars, però hi ha constància de transaccions d’aquesta mena per més de 50.000 dòlars. Això sí, també se sap que en aquest segment de mercat és costum regatejar el preu.

En termes de rendibilitat per als ciberdelinqüents que trafiquen amb dades alienes, el delicte estrella és el ransomware, la modalitat de ciberatac que infecta l’ordinador de la víctima amb un programari maliciós que en segresta el contingut, xifrant-lo i exigint el pagament d’un rescat a canvi de la contrasenya per desxifrar-lo. És un fenomen recent: els primers casos detectats daten de l’any 2015, afectaven sobretot particulars i petites empreses i l’import mitjà del rescat era inferior als 300 euros. Tot i que el 2016 el grup Ransom32 va començar a llogar el seu sistema de cibersegrest de dades a tercers, i que el 2017 van ser molt comentats els atacs patrocinats per estats com Rússia (NotPetya) i Corea del Nord (WannaCry), els ciberatacs de ransomware es disparen a partir del 2019, que és quan els grans càrtels delictius mundials van adoptar i sofisticar la tecnologia per atacar víctimes més lucratives, com grans corporacions, organismes oficials, infraestructures de distribució i serveis públics com hospitals i universitats.

En aquests casos, els malfactors reclamen rescats milionaris, sempre en forma de criptomonedes. Gràcies a això, l’empresa Elementus, que rastreja aquest tipus de transaccions, ha pogut determinar que l’any 2020 va ser el primer en què el volum de rescats va superar els 1.000 milions de dòlars i que la suma total recaptada pels ciberdelinqüents entre 2015 i 2021 ronda els 2.600 milions, que han anat en gran part a mans de càrtels com els que hi ha al darrere dels ransomware Ryuk (384 milions), Conti (232 milions) i Egregor (199 milions). Tots ells ubicats a Rússia, el territori que concentra la quantitat més alta d’organitzacions cibercriminals, seguit a moltíssima distància per Ucraïna i l'Iran.