Por Canuto  

Un exingeniero recibió 32 meses de prisión tras declararse culpable de atacar la red de su empleador y exigir un rescate pagadero en Bitcoin. La investigación vinculó el sabotaje a una máquina virtual no autorizada y a una computadora portátil corporativa.
***

  • Daniel Rhyne, de 59 años y residente en Kansas City, Missouri, fue sentenciado en Nueva Jersey después de declararse culpable de delitos relacionados con extorsión y daño informático.
  • El correo de rescate exigía 20 BTC, valorados en unos USD $750.000 en ese momento, y amenazaba con apagar servidores si la empresa no pagaba.
  • El FBI vinculó la máquina virtual no autorizada con Rhyne mediante registros de actividad, accesos al edificio y datos de su portátil corporativa.

Exingeniero condenado a 32 meses por extorsionar a su empleador con Bitcoin

La sentencia por el ataque interno

Daniel Rhyne, un exingeniero de infraestructura de 59 años y residente en Kansas City, Missouri, recibió una condena de 32 meses de prisión por atacar la red informática de su antiguo empleador y exigir un pago en Bitcoin. El juez federal Michael A. Shipp dictó la sentencia el 28 de septiembre en Trenton, Nueva Jersey, luego de que Rhyne se declarara culpable el 1 de abril de 2026 de dos delitos relacionados con extorsión y daño intencional a una computadora protegida.

La fiscalía federal anunció la condena. La empresa afectada fue identificada por NJ.com como Messer North America. La denuncia señaló que la compañía tenía su sede en el condado de Somerset, Nueva Jersey.

La extorsión combinó una amenaza de sabotaje con una exigencia de pago en criptoactivos: el correo enviado a los empleados exigía 20 BTC, valorados en unos USD $750.000 en ese momento, según la denuncia. El mensaje fijó como fecha límite el 2 de diciembre de 2023.

Rhyne ocupaba el cargo de ingeniero principal de infraestructura y, de acuerdo con la denuncia penal del FBI, era el experto de la compañía en alojamiento de máquinas virtuales. Ese conocimiento es central para entender la investigación: los rastros técnicos apuntaron a un entorno virtual creado dentro de la propia red corporativa, no a una intrusión que los investigadores atribuyeran a un actor externo.

Una máquina virtual dentro de la red

El 25 de noviembre de 2023, alrededor de las 4 p. m., los administradores de red comenzaron a recibir avisos de restablecimiento de contraseñas para cientos de cuentas. Poco después descubrieron que las demás cuentas de administrador de dominio habían sido eliminadas, una señal que, según la denuncia, precedió a un correo titulado “Su red ha sido penetrada”.

El mensaje afirmaba que el personal de tecnología había perdido el acceso y que las copias de seguridad habían sido eliminadas, aunque esas afirmaciones formaban parte de la exigencia del extorsionador y no deben confundirse con hallazgos independientes descritos en el caso. También amenazaba con apagar 40 servidores al día durante diez días si la empresa no pagaba antes del 2 de diciembre.

Los investigadores rastrearon la actividad hasta una máquina virtual no autorizada que alguien había creado en la red el 9 de noviembre. La contraseña configurada allí, “TheFr0zenCrew!”, también apareció en la cuenta de administrador, en 301 cuentas de usuario y en la cuenta de correo desde la que se envió la exigencia, según la denuncia.

La mañana del ataque, una sesión de escritorio remoto iniciada desde esa máquina programó acciones para eliminar 13 cuentas de administrador y cambiar contraseñas que afectaban a 254 servidores y 3.284 estaciones de trabajo. La misma sesión dejó tareas preparadas para apagar decenas de servidores a partir del 3 de diciembre, lo que daba a la amenaza un componente operativo además del mensaje de rescate.

Los rastros que llevaron a Rhyne

El FBI relacionó la máquina virtual con Rhyne mediante actividad registrada en su computadora portátil corporativa, de acuerdo con la denuncia penal. Los investigadores observaron que la navegación en el portátil se detenía cada vez que había actividad de navegación en la máquina oculta, un patrón que contribuyó a conectar ambos equipos.

Los registros de acceso al edificio también mostraron que Rhyne ingresaba a la sede minutos antes de que su cuenta iniciara sesión, según el documento judicial. El día del ataque, la portátil se conectó a la red desde una dirección IP asignada a su domicilio en el condado de Warren, Nueva Jersey, poco antes de la sesión que configuró las tareas programadas.

La denuncia añadió búsquedas realizadas días antes del ataque, entre ellas consultas sobre cómo borrar todos los registros de Windows desde la línea de comandos y cómo apagar una computadora de forma remota mediante comandos. Esos datos, junto con las contraseñas repetidas y los registros de conexión, integraron el cuadro de evidencia que los investigadores presentaron para atribuir el plan al antiguo empleado.

La acusación también incluyó fraude electrónico, pero ese cargo no aparece entre los dos delitos a los que Rhyne se declaró culpable. La denuncia indicaba que enfrentaba un máximo de cinco años por extorsión y diez por daño a una computadora protegida; esas penas máximas eran los límites legales señalados para los cargos, no la condena que finalmente recibió.

Bitcoin como medio de pago y amenaza

En este caso, Bitcoin aparece como el medio solicitado para cobrar el rescate, mientras la amenaza dependía de acciones dentro de la infraestructura informática de la empresa. El relato judicial atribuye al atacante el uso de cuentas, contraseñas y tareas programadas para bloquear accesos y preparar apagados, y no describe una vulneración de la red de Bitcoin.

La diferencia importa para comprender el alcance de la noticia: el criptoactivo figura en la exigencia económica, pero el incidente descrito se desarrolló en sistemas corporativos bajo control de la compañía. La suma de 20 BTC fue estimada en unos USD $750.000 al momento del ataque, según la denuncia.

El caso también muestra por qué una amenaza interna puede plantear dificultades distintas a las de un ataque atribuido desde el exterior: quien conoce la infraestructura puede aprovechar permisos, herramientas y procesos ya disponibles en su entorno laboral. Aquí, la posición de Rhyne como ingeniero principal y su experiencia con máquinas virtuales dieron relevancia investigativa a los registros de acceso y a la actividad observada en los equipos.

La sentencia impuso a Rhyne 32 meses de prisión. La información disponible no confirma si la empresa pagó el rescate ni detalla pérdidas económicas definitivas. Lo establecido en la denuncia y la declaración de culpabilidad permite reconstruir la amenaza, las tareas programadas y los indicios usados para vincular a Rhyne, sin convertir en hechos probados todas las afirmaciones que el correo dirigió a los empleados.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados