La economía del 'hire a hacker': sobre todo estafas, algunas condenas y compradores desesperados
Busca a alguien que hackee una cuenta de correo y los resultados parecen una industria en funcionamiento: páginas pulidas, agentes de chat en vivo, testimonios de cinco estrellas y tablas de precios para Gmail, Facebook, Instagram y WhatsApp. Las pruebas académicas y el periodismo de investigación cuentan otra historia. La mayoría de estos vendedores cobran el pago y no hacen nada, unos pocos entregan exactamente lo que prometen, y los compradores -personas que intentan leer la bandeja de entrada de su pareja, recuperar una cuenta perdida o cambiar una nota- no tienen forma de distinguirlos antes de que el dinero cambie de manos.
Qué ocurre cuando realmente pagas
La imagen más clara viene de investigadores que se hicieron pasar por clientes. Un estudio de 2019 de Mirian y colegas contactó con 27 servicios de hack-for-hire haciéndose pasar por compradores y descubrió que solo 5 intentaron el trabajo, 3 entregaron credenciales funcionales y 3 eran estafas puras: pago realizado, vendedor desaparecido. Los precios medios rondaban entre 100 y 500 dólares. El precio ofrecido por una cuenta de Gmail subió de unos 123 a 384 dólares en dos años, y las cuentas con autenticación de dos factores se cotizaban al doble: unos 307 frente a 690 dólares. Un truco recurrente en el estudio: el vendedor muestra al comprador un hash cifrado como "prueba" de acceso y luego exige una tarifa adicional para "descifrarlo". El hash es falso, y el acceso también. El volumen es modesto. A lo largo de unos siete meses del estudio, los vendedores tocaron 372 cuentas únicas: unas 13 por semana en toda la población probada. No es una operación industrial; es una salva de fraudes pequeños dirigidos a personas que, por definición, es fácil callar por vergüenza. La escala de precios y el reembolso que nunca llega
La escala minorista es consistente entre vendedores: cuentas de correo por unos pocos cientos de dólares, redes sociales algo más, objetivos "difíciles" con dos factores cerca de la cima y un menú de extras que solo crece -tasas de operadora, tarifas de descifrado, una "tarifa de desbloqueo final"-. El pago es por adelantado, normalmente en cripto o tarjetas de regalo. Cada cargo adicional es lo bastante pequeño para parecer más barato que abandonar el dinero ya gastado: la clásica estructura de fraude anticipado. No hay mecanismo de reembolso porque no hay canal de reclamación: un comprador que se queja está admitiendo que intentó encargar un delito grave. Lo que pierden los compradores va más allá de la tarifa. Entregan al vendedor el correo o el número de teléfono del objetivo, además de sus propios datos de contacto y rastro de pago, creando un registro de que querían vigilar a alguien o entrar en sus cuentas. Ese registro puede revenderse, reaparecer en una filtración posterior o usarse para un chantaje directo: un comprador chantajeable dos veces. Y en muchas jurisdicciones encargar el acceso no autorizado a una cuenta es en sí un delito, así que el "cliente" asume una exposición legal que el vendedor anónimo jamás tendrá. El extremo profesional del mercado
Los operadores reales de hack-for-hire existen, pero no venden accesos a Gmail por 384 dólares desde una página de ventas. Una investigación encubierta del Bureau of Investigative Journalism en 2022 encontró operadores indios que cobraban a clientes corporativos, contactados a través de detectives privados y bufetes, entre 3.000 y 20.000 dólares por cuenta de correo, y cita investigaciones de Citizen Lab que vinculan a la empresa BellTroX con más de 10.000 cuentas comprometidas. El trabajo es sobre todo phishing; uno de los operadores dijo a los reporteros: "La mayoría de las veces, el objetivo nos da su propia contraseña." Pese a esa escala, la investigación no identificó procesamientos en India, donde el delito se castiga con hasta tres años de prisión. La capa de foros por encima se parece más a un mercado real. La cobertura de KrebsOnSecurity en 2015 del foro Enigma describía miembros verificados que publicaban ofertas por datos o acceso a bancos mencionados por su nombre, depósitos no reembolsables en Bitcoin y actividad comercial obligatoria: estructuras de confianza copiadas de los mercados legítimos, construidas porque estos vendedores sí entregan y necesitan clientes recurrentes. El análisis de 2022 de Kaspersky sobre foros de brokers de acceso muestra el mismo profesionalismo: de 117 ofertas con precio para acceder a redes corporativas, cerca del 43 por ciento se quedó por debajo de 1.000 dólares, el acceso a grandes empresas costaba normalmente entre 2.000 y 4.000 dólares, y alrededor de tres cuartas partes de los lotes eran puntos de entrada RDP o VPN más RDP. Así es un mercado hack-for-hire que funciona: sin web brillante, sin testimonios y sin interés por los clientes minoristas. Hay condenas, pero rara vez en el ámbito minorista
Cuando se captura a operadores reales, los casos dan que pensar. En mayo de 2018 el Departamento de Justicia de EE. UU. anunció que un hacker-for-hire internacional que conspiró con y ayudó a oficiales del FSB ruso había sido condenado a 60 meses de prisión. Las condenas provienen del nivel profesional -trabajo vinculado a Estados, brokers, espionaje corporativo-, mientras que las páginas minoristas que dominan los resultados de búsqueda producen informes de estafa, no acusaciones. Dinámica de listas de estafas con nuevo disfraz
Leído como mercado, la escena hack-for-hire minorista funciona con las mismas mecánicas que hacen peligrosas las listas de vendedores falsas en los mercados de la darknet: señales de confianza fabricadas, resultados garantizados, pago por adelantado y ninguna historia verificable detrás. La segunda fase también es conocida: los "hackers de recuperación" que ofrecen recuperar cripto robada y revictimizan a quienes acaban de perder dinero, igual que las falsas empresas de recuperación siguen a las estafas de salida de los mercados. Las señales son estructurales: pago por adelantado, acceso garantizado, sin vía de reclamación. Quien evalúa a cualquier vendedor -un mercado, un agregador de listados o un sitio de "hackers verificados"- se hace en realidad una pregunta: ¿este mercado tiene una capa de confianza funcional o solo un disfraz? El mismo razonamiento que separa la lista de estafas real de un mercado de una fabricada se aplica aquí, y lo desarrolla nuestra guía sobre listas de estafas y en quién confiar.
