Operación «Power Off»: gran golpe contra los servicios de estrés DDoS
La Fiscalía General de Fráncfort del Meno y la Oficina Federal de Investigación Criminal (BKA) han asestado, junto con las fuerzas de seguridad de un total de 21 países, un golpe masivo contra plataformas DDoS ilegales. La operación «Power Off», apoyada por Europol, se ha dirigido específicamente contra los llamados servicios de estrés: plataformas web que permiten a los usuarios lanzar, mediante pago, ataques de sobrecarga contra sistemas ajenos.
Medidas clave y resultados de la operación
En el centro de la operación estuvo el desmantelamiento de infraestructuras informáticas criminales. Las autoridades participantes ejecutaron en todo el mundo más de 150 medidas contra infraestructuras incriminadas. Se incautaron más de 40 servidores relacionados con un acusado alemán. Este hombre habría operado dos de los servicios de estrés más importantes del mundo, denominados «Fluxstress» y «Netdowner».
A nivel internacional se llevaron a cabo 16 registros, entre otros en Polonia y Brasil. Las autoridades polacas detuvieron en el marco de sus investigaciones a dos presuntos administradores y a otro implicado. El sospechoso alemán, ciudadano de Alemania, se encuentra actualmente bajo custodia de las autoridades tailandesas. Sobre él pesa en Alemania una orden de detención por explotación profesional y en banda de una plataforma comercial delictiva en internet.
Medidas preventivas contra la ciberdelincuencia
Además de las medidas represivas, las autoridades alemanas están dando también amplios pasos preventivos. Contactarán con más de 50.000 usuarios de los servicios retirados de la red para advertirles de la punibilidad de sus actos. Asimismo, se desconectarán más de 50 plataformas de comunicación estrechamente vinculadas a estos servicios delictivos.
Las autoridades acompañan estas medidas con una película animada adaptada al público destinatario que deja claras las consecuencias penales de tales actividades. Esto resulta especialmente relevante, ya que para muchos jóvenes los servicios de estrés parecen a menudo un juego supuestamente inofensivo, sobre todo en el ámbito del gaming.
¿Qué son los servicios de estrés y por qué son peligrosos?
Funcionamiento y accesibilidad
Los servicios de estrés son plataformas web que permiten a sus clientes, previo pago, lanzar ataques de sobrecarga dirigidos (ataques de denegación de servicio distribuido, DDoS) contra sitios web y otros servicios basados en la red. Lo característico de estos servicios es que no requieren conocimientos técnicos profundos. Esto hace que los ataques DDoS queden al alcance de un amplio círculo de usuarios, lo que supone una amenaza de seguridad considerable.
En un ataque DDoS, los sistemas de la víctima se sobrecargan de forma deliberada hasta que sus contenidos dejan temporalmente de estar accesibles. La consecuencia: sitios web o servicios caen. Esto puede provocar daños económicos considerables en las empresas afectadas y, potencialmente, también fallos en infraestructuras críticas como los sistemas de energía, agua o comunicaciones.
Distintas motivaciones de los atacantes
Los motivos detrás de los ataques DDoS son diversos. Las autoridades distinguen varias categorías: el sabotaje económico y la obtención de beneficios financieros ocupan el primer lugar. Los ciberdelincuentes utilizan además los ataques DDoS para encubrir otros ciberataques o para obtener ventajas competitivas en el juego en línea.
Junto a ello existen motivos político-ideológicos. Los llamados grupos hacktivistas emplean ataques DDoS para generar presión social. Estos grupos dirigen sus ataques tanto contra presencias en internet de ámbito federal como europeo, especialmente en los sectores de seguridad, infraestructuras y finanzas.
Obtención de datos e investigación
En el transcurso de la operación, las fuerzas de seguridad participantes han obtenido indicios sobre más de tres millones de datos de usuarios con vínculos delictivos. Estos datos son de gran valor para nuevas investigaciones contra usuarios criminales de las plataformas. Permiten a las autoridades esclarecer numerosos casos individuales e identificar a otros sospechosos.
Esta amplia recopilación de datos pone de manifiesto la magnitud del problema: millones de personas utilizan o han utilizado servicios de estrés. Muchos de estos usuarios posiblemente no sean conscientes de las consecuencias penales.
Contexto: ¿por qué es significativa esta operación?
Los servicios de estrés como puerta de entrada a la ciberdelincuencia
Según la valoración de la Oficina Central de Lucha contra la Delincuencia en Internet (ZIT), los servicios de estrés constituyen uno de los «delitos de iniciación» más frecuentes, especialmente entre los jóvenes. Estos servicios funcionan como puerta de entrada a la llamada underground economy para ciberdelincuentes inexpertos. Muchos usuarios empiezan realizando ataques DDoS por motivos aparentemente inofensivos (como obtener ventajas en el gaming) y pueden después derivar hacia actividades más delictivas.
Una estrategia a largo plazo desde 2018
La operación «Power Off» no es una medida aislada, sino que se desarrolla desde 2018 como estrategia planteada a largo plazo. Cuenta con el apoyo de Europol y del Centro Europeo de Ciberdelincuencia (EC3). A lo largo de estos años ya se ha podido identificar y retirar de la red una gran cantidad de plataformas de servicios para ataques DDoS. La operación actual supone un nuevo «sprint» en esta lucha continuada.
La cooperación internacional es esencial
La participación de autoridades de 21 países muestra que la ciberdelincuencia no conoce fronteras nacionales y que solo puede combatirse eficazmente mediante la cooperación transfronteriza. Un autor está en Tailandia, los servidores están distribuidos por todo el mundo, los usuarios repartidos globalmente: sin coordinación internacional, una intervención exitosa sería imposible.
Consecuencias penales y efecto disuasorio
Carsten Meywirth, director de la Oficina Federal de Investigación Criminal y responsable del departamento de Cibercrimen, subraya: «Explotar y utilizar servicios de estrés es punible y acarrea consecuencias palpables». Se trata de un mensaje claro para los posibles usuarios, especialmente para los jóvenes que quizá subestiman las implicaciones legales de sus actos.
La combinación de medidas represivas (desconexión de servicios, detenciones, incautación de servidores) y preventivas (contacto con 50.000 usuarios, cierre de plataformas de comunicación, películas divulgativas) busca lograr un efecto disuasorio en varios niveles.
Relevancia para empresas e infraestructuras críticas
Para los operadores de sitios web, servicios en línea e infraestructuras críticas, esta operación tiene gran importancia. Pone de relieve la amenaza persistente de los ataques DDoS y muestra al mismo tiempo que las fuerzas de seguridad actúan de forma activa contra la infraestructura de tales ataques.
El hecho de que potencialmente millones de personas tuvieran acceso a servicios de estrés significa también que toda empresa debe contar con la posibilidad de sufrir ataques DDoS. Una infraestructura de seguridad adecuada y medidas de protección frente a DDoS no son, por tanto, opcionales, sino necesarias. Esto vale en especial para las empresas con presencia en internet y para los operadores de infraestructuras críticas.
Perspectivas: el futuro de la lucha contra el cibercrimen
La BKA señala que también en el futuro apostará por una estrecha colaboración con socios internacionales. La operación «Power Off» es un ejemplo de un enfoque sistemático y planteado a largo plazo, no como una acción puntual, sino como un proceso continuo.
Los datos obtenidos sobre tres millones de usuarios indican que seguirán nuevas investigaciones. Las autoridades disponen ahora de los medios para identificar a usuarios concretos y actuar contra ellos. Esto conducirá probablemente a una oleada de procedimientos penales contra usuarios de servicios de estrés, especialmente en Alemania y en los 21 países participantes.
Para los posibles autores el mensaje es claro: «El brazo de la ley también alcanza al mundo virtual y saca cada vez a más responsables del amparo del supuesto anonimato». La ciberdelincuencia ya no es una actividad anónima, y no compensa.
