Condenan a prisión a un ingeniero que saboteó a su empresa a cambio de un rescate en bitcoins

Daniel Rhyne, de 59 años, de Kansas City (Misuri), fue condenado el 28 de septiembre en un tribunal federal de Trenton tras haberse declarado previamente culpable de extorsión con amenaza de dañar un ordenador protegido y de dañar intencionadamente un ordenador protegido, según la Fiscalía de los Estados Unidos para el Distrito de Nueva Jersey.

Rhyne trabajaba como ingeniero de infraestructura básica para la empresa industrial no identificada, lo que le otorgaba privilegios administrativos sobre sus sistemas informáticos. Una denuncia penal del FBI presentada en 2024 describe un esfuerzo metódico por aprovechar ese acceso. Los investigadores afirmaron que Rhyne creó una máquina virtual oculta en la red de la empresa —protegida por la contraseña «TheFr0zenCrew!»— y la utilizó para acceder de forma remota a una cuenta de administrador.

Según los fiscales, el 25 de noviembre de 2023, Rhyne programó una serie de tareas automatizadas diseñadas para ejecutarse más tarde ese mismo día. Los comandos eliminarían 13 cuentas de administrador de dominio, cambiarían las contraseñas de 301 cuentas de usuario, modificarían las contraseñas de administrador local que afectaban a 254 servidores y cambiarían las credenciales vinculadas a más de 3 200 estaciones de trabajo de empleados.

Otras tareas programadas apagarían los servidores y los ordenadores de la empresa. Los investigadores afirmaron que el conjunto de estas acciones tenía como objetivo impedir que la empresa accediera a sus propios sistemas y datos.

Las pruebas apuntaban a una amenaza interna

La denuncia detallaba indicios de preparación. Días antes del ataque, las búsquedas realizadas desde la máquina virtual oculta incluían consultas como «cómo cambiar contraseñas de administrador desde una línea de comandos», «cómo eliminar una cuenta de dominio» y «cómo apagar un ordenador de forma remota». Según los investigadores, se encontraron búsquedas similares en el portátil de empresa de Rhyne.

Hacia las 16:00 horas del 25 de noviembre, los administradores de red descubrieron que sus cuentas habían sido eliminadas. Aproximadamente 44 minutos después, los empleados recibieron un correo electrónico de extorsión en el que se afirmaba que todas las cuentas de los administradores de TI habían sido eliminadas y que se habían borrado las copias de seguridad. El remitente amenazó con apagar 40 servidores más cada día durante 10 días a menos que la empresa pagara aproximadamente 20 bitcoins antes del 2 de diciembre —que entonces valían unos 750 000 dólares y que actualmente tienen un valor cercano a 1,67 millones de dólares—.

Los investigadores acabaron relacionando la máquina virtual oculta con la cuenta de Rhyne y el ordenador portátil de la empresa. También descubrieron que la contraseña que protegía la dirección de correo electrónico utilizada para la extorsión era «TheFr0zenCrew!», la misma contraseña utilizada para la máquina virtual oculta.