“Reconocimos que una interrupción técnica aislada no destruiría necesariamente a LockBit, por lo que nuestra infiltración y control adicionales, junto con las detenciones y sanciones en colaboración con nuestros socios internacionales, ha mejorado nuestro impacto sobre LockBit y ha creado una plataforma para más acciones policiales en el futuro”, declara Foster.
Cuando los miembros de LockBit iniciaban sesión en los sistemas de administración del grupo, recibían un mensaje personalizado en el que se les informaba de que las autoridades habían recopilado su nombre de usuario, los datos de su monedero de criptomonedas, sus chats internos y con víctimas, y sus direcciones IP. Como señalan los investigadores de la empresa de ciberseguridad Analyst1, estas “tácticas psicológicas” se dirigían a dos áreas: “la reputación de la marca y las relaciones interpersonales entre los actores.”
Más allá del desmantelamiento de LockBit
En abril, la Policía Metropolitana de Londres desmanteló LabHost, un servicio que permitía a los estafadores crear sitios web de phishing para engañar a los usuarios y hacerles entregar sus correos electrónicos y contraseñas. La policía envió a unos 800 usuarios de LabHost mensajes de vídeo personalizados en los que se detallaban “todos los datos que tenemos sobre ti”, incluidos los países en los que habían atacado a las víctimas, así como las direcciones IP que habían utilizado. “Te hemos estado vigilando cada vez que nos has visitado”, dice la voz en off del video.
“Estos mensajes no son solo para los que ya participan en el ecosistema delictivo, son mensajes para gente que quizá está a punto de decidirse a participar”, afirma Smith, de Secureworks. Dentro del extenso ecosistema de la ciberdelincuencia, no hay mucha confianza entre ladrones que pueden estafarse mutuamente millones de dólares, pero reforzar y amplificar las divisiones tiene el potencial de dificultar la organización de empresas delictivas.
Es difícil determinar el impacto de las operaciones psicológicas, pero los investigadores afirman que los delincuentes siempre están vigilando. De los 194 afiliados a LockBit, solo 69 han vuelto a la plataforma desde la acción de las fuerzas de seguridad en febrero, afirma la NCA. Los hackers leen las noticias y las investigaciones sobre ciberseguridad, y las comentan en foros de ciberdelincuentes en lengua rusa, dicen los investigadores. El foro XSS tiene un hilo llamado “Juicy arrests” que tiene más de 1,000 mensajes desde 2017, dice Victoria Kivilevich, directora de investigación de amenazas en la firma de seguridad KELA, que monitorea el lado más obscuro de lo cibercriminal.
Las opiniones sobre el derribo de LockBit estaban divididas entre los usuarios de XSS, dice Kivilevich. En un post de febrero, un ciberdelincuente se preguntaba por qué no se había nombrado o sancionado al líder del grupo. “Si tienen tanta información, deben tener al menos algo sobre él. O tal vez trabaja con ellos”, dice un post traducido. Otro instaba a la gente a no hacer memes ni bromear sobre la situación. “Comprende que en algún momento esto puede afectarte a ti también”, escribían.
Crear polarización parece buena idea
Kivilevich señala otros casos en los que los ciberdelincuentes de los foros se han desilusionado o disgustado porque las fuerzas de seguridad han puesto en el punto de mira a algunos miembros. Cuando los miembros de los grupos de ransomware Conti y Trickbot fueron sancionados en febrero de 2023, LockBitSupp preguntó dónde estaban las sanciones para el líder de Trickbot “Stern” y otro actor de alto perfil “Baddie”. Como otros 11 miembros de Conti y Trickbot fueron sancionados en septiembre de 2023, días después de que WIRED nombrara a uno de los integrantes, un ciberdelincuente se quejó de que algunos de los sancionados “nunca han tenido perfiles altos”, y añadió que hay un sentimiento de “injusticia”. “Qué sentido tenía añadir a malditos directivos que no decidían mucho en el negocio”.
Andréanne Bergeron, directora de investigación de la empresa de seguridad GoSecure, especializada en comportamiento delictivo e intervención policial, afirma que nombrar a unos delincuentes y no a otros puede tener dos consecuencias. Los que son nombrados pueden “sentir que es injusto ser castigados mientras otros quedan libres” y, como resultado, pueden acabar cooperando o colaborando con las fuerzas del orden.