El ataque desde dentro: el exempleado que bloqueó a los administradores, borró respaldos y exigió un rescate en bitcoin

Un extrabajador responsable de la infraestructura central de una compañía industrial con sede en el condado de Somerset, Nueva Jersey, admitió su culpabilidad tras un plan de extorsión que terminó por bloquear el acceso de los administradores de Windows a cientos de equipos de la empresa. Según los documentos judiciales publicados por la Fiscalía, el acusado, identificado como Daniel Rhyne, actuó desde su cuenta administrativa y programó una serie de tareas que alteraron masivamente credenciales y cuentas en la red corporativa entre principios y finales de noviembre de 2023. Puede consultarse la información oficial en los documentos del tribunal y en la nota de la Fiscalía del Distrito de Nueva Jersey sobre su declaración de culpabilidad: comunicado del DOJ.

La maniobra no fue un simple cambio de contraseñas: los registros forenses muestran que Rhyne programó tareas en el controlador de dominio para eliminar cuentas de administradores de dominio y para forzar el restablecimiento de credenciales en cientos de cuentas de usuario y administradores, reemplazándolas por una clave identificada en la investigación. Además, manipuló cuentas de administrador local cuya alteración afectó a miles de estaciones de trabajo y a 254 servidores, y dejó programadas órdenes de apagado aleatorio para equipos en días posteriores. Todo esto fue seguido por un correo remitido por el propio Rhyne a varios colegas el 25 de noviembre, en el que afirmó que los administradores habían sido bloqueados y que las copias de seguridad habían sido borradas, exigiendo un rescate en bitcoin a cambio de detener los apagones previstos.

En la investigación se detectaron búsquedas realizadas desde dispositivos y máquinas virtuales ocultas relacionadas con cómo borrar registros de Windows, cambiar contraseñas de dominio desde la línea de comandos y eliminar cuentas de dominio. Esas huellas digitales en los sistemas y la cronología de acciones fueron determinantes para los investigadores al reconstruir el ataque interno. Tras su arresto en agosto, Rhyne se declaró culpable de cargos federales que, de llegar a sentencia completa, conllevan penas de hasta 15 años de prisión, según la Fiscalía.

Este caso subraya una lección que se repite en incidentes similares: el mayor riesgo no siempre es un actor externo sofisticado, sino alguien con privilegios y conocimiento de la red. Cuando quien administra la infraestructura usa su acceso para causar daño intencionado, las defensas tradicionales pueden resultar insuficientes. Herramientas y prácticas como la segregación de funciones, el control estricto de cuentas privilegiadas, la rotación automática y única de contraseñas locales, y la provisión de estaciones de trabajo dedicadas para tareas administrativas son medidas que reducen la superficie de ataque de insiders. Microsoft, por ejemplo, ofrece soluciones para gestionar contraseñas locales de administradores como LAPS, y documentación sobre prácticas de seguridad para Active Directory que pueden ayudar a empresas a endurecer sus entornos: Microsoft LAPS y guías de seguridad de Active Directory en la documentación de Microsoft.

La prevención también pasa por contar con estrategias de respaldo que resistan la eliminación deliberada, así como monitoreo continuo y detección de anomalías en acciones administrativas. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) publica recomendaciones y hojas de ruta sobre cómo afrontar el ransomware y el riesgo de amenazas internas, que resultan útiles para organizaciones de todo tamaño: guía y recursos de CISA sobre ransomware. Implementar multifactor para accesos administrativos, separar cuentas de uso diario de cuentas privilegiadas y aplicar el principio de menor privilegio son pasos básicos pero efectivos para limitar el daño potencial.

Más allá de los controles técnicos, este episodio sirve como recordatorio de la importancia de políticas claras sobre acceso remoto y revisiones periódicas de privilegios. Un empleado con conocimientos de la red y acceso permanente puede convertir esa experiencia en una arma si no existen barreras de detección y contención adecuadas. Las investigaciones forenses que revelaron búsquedas concretas y el uso de máquinas virtuales encubiertas demuestran que, en muchas ocasiones, el rastro digital existe y puede conducir a responsabilidades penales cuando hay mala fe.

Casos como este no son únicos: en meses recientes han salido a la luz otros incidentes donde trabajadores o subcontratistas han intentado sacar provecho económico de datos o accesos privilegiados. La acumulación de estos sucesos ha impulsado a las organizaciones a replantear la gestión de identidades y accesos privilegiados, así como a fortalecer sus planes de respuesta ante incidentes para asegurar recuperaciones rápidas sin ceder ante extorsiones.

La lectura de los documentos oficiales y las notas de la Fiscalía ofrece una visión directa de cómo se produjo el ataque y qué evidencias apuntaron al autor: para quienes quieran profundizar, el Departamento de Justicia mantiene los comunicados y los anexos del caso en su sitio web (ver el enlace del DOJ sobre la declaración de culpabilidad y los documentos judiciales asociados).

Si hay una conclusión clara, es que la seguridad tecnológica exige no sólo barreras perimetrales, sino controles internos rigurosos, monitoreo continuo y una cultura organizacional que detecte y actúe frente a señales de riesgo. La combinación de buenas prácticas técnicas y vigilancia humana es la mejor defensa contra ataques que, precisamente por nacer desde dentro, buscan aprovechar el mayor activo que tienen las empresas: la confianza en su propio personal.