Tras el ciberataque que sufri\u00f3 Mercado Libre, la atenci\u00f3n de los expertos en seguridad inform\u00e1tica se pos\u00f3 en el grupo al que se le atribuye el golpe: \u201cLapsus$\u201d<\/strong>, una organizaci\u00f3n de ciberdelincuentes con mucha menos infraestructura <\/strong>que las grandes bandas internacionales, pero con tanto poder de fuego como para tener entre sus v\u00edctimas no solo a la empresa fundada por Marcos Galper\u00edn sino tambi\u00e9n a Samsung, Nvidia y Vodafone.<\/p>\n Sin embargo, a pesar de que muchos ven una clara conexi\u00f3n con Am\u00e9rica Latina <\/strong>entre sus objetivos, otros arriesgan que se trata de un equipo brit\u00e1nico<\/strong>, o hasta un \u201clobo solitario\u201d <\/strong>que filtra datos sensibles de empresas gigantes para mostrar su enorme capacidad de da\u00f1ar negocios.<\/p>\n Ahora bien, aunque es muy dif\u00edcil saber a ciencia cierta de d\u00f3nde son, ya que estas\u00a0bandas operan en la clandestinidad y suelen ser deliberadamente ambiguos en sus comunicados, Lapsus$ <\/strong>tiene algunas caracter\u00edsticas que la distinguen de otros grupos como Netwalker, REvil, Egregor o Everest<\/strong>, que permiten saber un poco m\u00e1s sobre ellos.<\/p>\n Estos grandes nombres de criminales tienen sus propios \u201cransomware\u201d, esto es, programas maliciosos -como virus- que encriptan la informaci\u00f3n del usuario, las empresas o incluso los Estados (como ocurri\u00f3 con Migraciones en Argentina en 2020). Sin embargo, Lapsus$ no tiene este nivel de sofisticaci\u00f3n<\/strong>. Y con muchos menos recursos puso contra las cuerdas a Mercado Libre, la empresa m\u00e1s relevante de la Argentina actual.<\/p>\n Y van por m\u00e1s.<\/p>\n Mercado Pago, tambi\u00e9n en la mira. Foto Maxi Failla\n<\/p>\n<\/figcaption><\/div>\n<\/div>\n La pregunta que todos se empezaron a hacer despu\u00e9s del comunicado oficial de Mercado Libre fue qui\u00e9n los hab\u00eda atacado<\/strong>. Pero a pesar de que el incidente de seguridad fue dado a conocer el lunes de la semana pasada, todo hab\u00eda comenzado la noche anterior: el domingo 6 de marzo ya hab\u00eda pistas.<\/p>\n Lapsus$ hab\u00eda publicado en su cuenta de Telegram -un chat similar a WhatsApp que permite formar canales p\u00fablicos- una encuesta en la que llamaban a votar por su pr\u00f3xima v\u00edctima. All\u00ed tienen\u00a0m\u00e1s de 30 mil seguidores.<\/strong><\/p>\n En la lista aparec\u00edan tres empresas: Vodafone <\/strong>(telecomunicaciones, Reino Unido), Impresa <\/strong>(Medios, Portugal), Mercado Libre<\/strong> y Mercado Pago (ecommerce, medios de pago, Argentina).En el historial del grupo, se puede ver que entre sus ataques pasados se encuentra, por ejemplo, Localiza, el servicio de alquiler de autos m\u00e1s grandes de Brasil. Y varios de sus posteos aparecen en portugu\u00e9s.<\/p>\n La encuesta de Lapsus con sus v\u00edctimas. Foto Telegram\n<\/p>\n<\/figcaption><\/div>\n<\/div>\n Sin embargo, lo que m\u00e1s llama la atenci\u00f3n es, en primer lugar, que no parezcan ser de Europa del este<\/strong>: los grupos de cibercriminales suelen tener sus bases operativas en pa\u00edses como Rusia y Ucrania.<\/p>\n \u201cLos pa\u00edses de Europa del Este, ex-URSS y algunos pa\u00edses asi\u00e1ticos siempre se han caracterizado por tener un alto nivel t\u00e9cnico en inform\u00e1tica<\/strong>. El monto de las ganancias potenciales, la falta de legislaci\u00f3n relacionada al cibercrimen y la extradici\u00f3n forman un c\u00f3ctel interesante que potencia la existencia de grupos delictivos relacionados al malware <\/em>[programa malicioso] y comisi\u00f3n de delitos relacionados\u201d, contextualiza Cristian Borghello, consultor y experto en seguridad inform\u00e1tica.<\/p>\n Este grupo, en cambio, se sale de este patr\u00f3n: no hay posteos en cir\u00edlico ni referencias a Europa del Este. Por esta raz\u00f3n, y por sus blancos, las primeras hip\u00f3tesis giraron en torno a que podr\u00edan ser latinoamericanos.<\/p>\n V\u00ednculos con am\u00e9rica latina. Foto Pexels\n<\/p>\n<\/figcaption><\/div>\n<\/div>\n Hay tres teor\u00edas sobre el origen de Lapsus$: la conexi\u00f3n latinoamericana, la brit\u00e1nica y la del \u201clobo solitario\u201d.<\/strong><\/p>\n Sobre la primera: \u201cSe cree que Lapsus$ es un grupo con base en Am\u00e9rica Latina, que posiblemente opera desde Brasil<\/strong>, y que se ha cobrado algunas v\u00edctimas importantes en las \u00faltimas semanas. Pero la realidad es que no se sabe exactamente c\u00f3mo el grupo selecciona sus objetivos o penetra en sus redes, lo que s\u00ed se puede decir es que algunas de sus t\u00e1cticas son bastante extra\u00f1as, como secuestrar la cuenta de Twitter de una empresa para decir que el presidente portugu\u00e9s hab\u00eda sido acusado de asesinato<\/strong>\u201d, explica a Clar\u00edn <\/strong>Brett Callow, experto en seguridad inform\u00e1tica que trabaja en Emsisoft, una empresa dedicada a remover ransomware.<\/p>\n En realidad, la l\u00ednea latinoamericana tiene poco sustento<\/strong>, a pesar de los indicios: \u201cEs normal asumir que como hay empresas de Latinoam\u00e9rica involucradas en las fugas de informaci\u00f3n, como Claro, Embratel y Mercado Libre<\/strong>, se piense que el grupo es latino. Pero lo mismo aplica a empresas de Asia como Samsung, de Estados Unidos como Nvidia o de Europa como Vodafone (Reino Unido) e Impresa (Portugal). Algunos de los mensajes escritos en espa\u00f1ol, portugu\u00e9s o ingl\u00e9s solo indican que un miembro del grupo maneja el idioma correspondiente<\/strong>\u201d, advierte a Clar\u00edn Borghello.<\/p>\n La segunda hip\u00f3tesis es que se trata de un grupo brit\u00e1nico. \u201cInformes de diciembre y enero (antes de las filtraciones) sugieren que al menos uno de los miembros podr\u00eda ser ingl\u00e9s<\/strong>\u201d, agrega el especialista.<\/p>\n Pero esta idea est\u00e1 ligada a una tercera, que podr\u00eda ser la misma: se podr\u00eda tratar de una sola persona. \u201cTambi\u00e9n se insin\u00faa que el grupo no ser\u00eda tal sino una sola persona e incluso podr\u00eda ser menor de edad<\/strong>. Esto no va en detrimento de afirmar que lo que ha logrado el ‘grupo’\u00a0o una persona sea importante desde el punto de vista de las fugas de datos recientes, las posibles extorsiones y sus potenciales ganancias econ\u00f3micas\u201d, cuenta Borghello.<\/p>\n El mensaje de Lapsus para reclutar gente que les ceda credenciales de acceso. Foto Telegram\n<\/p>\n<\/figcaption><\/div>\n<\/div>\n Uno de los acuerdos de los expertos es que se trata de una banda con un bajo grado de sofisticaci\u00f3n<\/strong>. Por empezar, porque no tienen un ransomware<\/strong><\/em> desarrollado por sus propios programadores.\u00a0<\/p>\n As\u00ed, para robar informaci\u00f3n, Lapsus$ apuesta por otra t\u00e9cnica: reclutar \u201cinsiders\u201d, como se los conoce en el \u00e1mbito<\/strong>: empleados de las propias empresas que entregan su usuario y password <\/em>a los ciberdelincuentes, o informaci\u00f3n sensible, por sus propios medios.<\/p>\n Es decir, mientras que las grandes bandas operan instalando este tipo de programas que encriptan informaci\u00f3n, Lapsus$ apuesta por la ingenier\u00eda social<\/strong>: encontrar alg\u00fan empleado resentido, un \u201cactivo\u201d que, desde dentro de la empresa, entrega credenciales <\/strong>que ellos aprovechan para cometer sus actos il\u00edcitos. <\/p>\n Esta es, de hecho, la hip\u00f3tesis que se maneja en el caso de Mercado Libre.\u00a0<\/strong><\/p>\n \u201cP\u00fablicamente declararon estar en b\u00fasqueda de IABs, esto es, ‘Initial Access Brokers’. Es una pr\u00e1ctica mucho m\u00e1s com\u00fan de lo que parece: la persona que vende los accesos desde dentro de una compa\u00f1\u00eda o instituci\u00f3n.<\/strong> Esto se llama \u2018poner un pie en puerta\u2019 (initial foothold<\/em>)\u201d, explica a Clar\u00edn Mauro Eldritch, experto inform\u00e1tico que sigue de cerca la estructura de las bandas de ciberdelincuentes.<\/p>\n Marcos Galper\u00edn, fundador y CEO de Mercado Libre. Foto Clar\u00edn\n<\/p>\n<\/figcaption><\/div>\n<\/div>\n Otro punto poco claro es si piden dinero a cambio de sus actos. En el caso de Mercado Libre, esta informaci\u00f3n no trascendi\u00f3 y la empresa se mostr\u00f3 herm\u00e9tica a hacer comentarios. \u201cNo est\u00e1 confirmado que no se haya solicitado dinero e incluso si una de dichas empresas hubiera pagado es poco probable que alguien lo confirme. Justamente el gran mercado del ransomware se basa en la \u2018complicidad indirecta\u2019<\/strong> de la v\u00edctima para evitar la publicidad negativa y preservar su imagen y reputaci\u00f3n\u201d, analiza Borghello.<\/p>\n En este sentido, algunos apuestan a que Lapsus$ quiere vanagloriarse de su \u201cpoder asim\u00e9trico\u201d<\/strong>: demostrar c\u00f3mo con un elemento tan simple como un usuario y contrase\u00f1a cedido por un empleado puede generar una verdadera cat\u00e1strofe empresarial.<\/p>\n \u201cA Nvidia y Samsung les pidieron que hagan todos sus drivers <\/em>de c\u00f3digo abierto<\/strong> [es decir, que liberen patentes], a cambio de no filtrar toda la informaci\u00f3n. Se trata de mandar un mensaje. Para estos grupos, ni toda la plata del mundo se compara con lograr que un gigante tecnol\u00f3gico ponga a disposici\u00f3n toda su propiedad intelectual<\/strong>\u201d, explica a Clar\u00edn Eldritch.<\/p>\n De esta manera, con misterio y menos m\u00fasculo<\/strong> que otras grandes bandas, Lapsus$ logr\u00f3 convertirse en un verdadero dolor de cabeza para las empresas en la actualidad: \u201cEsta situaci\u00f3n movi\u00f3 mucho el avispero; las empresas afectadas no se van a detener hasta descubrir al grupo detr\u00e1s del ataque y as\u00ed como pas\u00f3 en el pasado con miembros de Anonymous (2011), Sabu\/LulzSec (2014) o Wannacry (2017)<\/strong>. Es probable que los autores terminen desapareciendo por miedo a ser descubiertos, vendidos por sus c\u00f3mplices o detenidos por la justicia\u201d, cierra Borghello.<\/p>\n Mientras tanto, la cuenta regresiva de la encuesta, en la que Mercado Libre se salv\u00f3 de quedar expuesta<\/strong> (aunque no vulnerada), termin\u00f3 el domingo de la semana pasada con Vodafone como ganadora.<\/p>\n O, mejor dicho, perdedora<\/strong>.<\/p>\n \u00abVodafone ganadora\u00bb, el mensaje final de la encuesta que postearon para preguntar a qui\u00e9n filtrar. Foto Telegram\n<\/p>\n<\/figcaption><\/div>\n<\/div>\nLa encuesta de Lapsus$ que desat\u00f3 el caos<\/h2>\n
![\"Mercado](\"https:\/\/www.clarin.com\/img\/2019\/10\/24\/mercado-pago-tambien-en-la___UXc5H4rk_720x0__1.jpg\")
\n<\/source><\/picture>![\"La](\"https:\/\/www.clarin.com\/img\/2022\/03\/15\/la-encuesta-de-lapsus-con___KWbhZ5mgi_720x0__1.jpg\")
\n<\/source><\/picture>Qui\u00e9n es Lapsus$: las tres hip\u00f3tesis<\/h2>\n
![\"V\u00ednculos](\"https:\/\/www.clarin.com\/img\/2022\/03\/02\/vinculos-con-america-latina-foto___jQ7suGfz3_720x0__1.jpg\")
\n<\/source><\/picture>C\u00f3mo ataca Lapsus$ y c\u00f3mo reclutan empleados rebeldes<\/h2>\n
![\"El](\"https:\/\/www.clarin.com\/img\/2022\/03\/15\/el-mensaje-de-lapsus-para___OacHcfrSP_720x0__1.jpg\")
\n<\/source><\/picture>![\"Marcos](\"https:\/\/www.clarin.com\/img\/2020\/08\/05\/marcos-galperin-fundador-y-ceo___BhqamnaJh_720x0__1.jpg\")
\n<\/source><\/picture>![\""Vodafone](\"https:\/\/www.clarin.com\/img\/2022\/03\/15\/vodafone-ganadora-el-mensaje-final___nJj5SJNXO_720x0__1.jpg\")
\n<\/source><\/picture>