Los hackers adolescentes van en aumento y son más peligrosos de lo que crees

A continuación, Joe Tidy comparte cinco ideas clave de su nuevo libro, Ctrl + Alt + Caos: Cómo los hackers adolescentes secuestran Internet.

Tidy es el primer corresponsal de ciberseguridad de la BBC y una voz destacada en materia de ciberdelincuencia. Ha cubierto importantes ciberataques globales y producido documentales internacionales de gran audiencia, incluyendo una investigación de alto perfil sobre el cibercriminal más buscado de Rusia.

¿Cuál es la gran idea?

Los hackers adolescentes están transformando silenciosamente la ciberdelincuencia. No son genios de película, sino personas persistentes, socialmente conectadas y, a menudo, adictas, que causan daños reales mediante filtraciones de datos y alimentan un ciclo que conduce a ataques cada vez más graves.

1. Las filtraciones de datos pueden ser muy perjudiciales para las personas

Las filtraciones de datos, desde una empresa hasta tus cuentas de redes sociales, son algo cuya magnitud nos cuesta calibrar. Todos quieren saber: ¿Debería preocuparme? Quizás pienses que tu número de teléfono, correo electrónico y dirección real ya están disponibles, así que quizás no sea para tanto. Pero si debería preocuparte una filtración de datos es una pregunta realmente difícil de responder. En algunos casos, pueden causar graves daños y perjuicios.

El ciberataque más cruel de la historia fue contra el Centro de Psicoterapia Vastaamo en Finlandia. Vastaamo era una organización grande e importante con docenas de centros de salud mental temporales en todo el país. En 2018, el hacker Julius Kivimäki logró acceder a los servidores de la cadena Vastaamo Psychotherapy Center y robó todos los datos que pudo encontrar. Robó la información habitual: nombres, direcciones, números de teléfono, números de la Seguridad Social, pero también robó las historias clínicas de los pacientes; 33,000 personas sufrieron el robo de datos de esta manera.

No se me ocurre un conjunto de datos peor que el que le cuento a mi terapeuta para que caiga en manos de un extorsionador. Ten en cuenta que las personas afectadas ya eran vulnerables. Sufrían problemas de salud mental. Algunos sufrían de depresión o ansiedad cuando Kivimäki se coló una noche y robó todos esos datos. Con ellos, intentó extorsionar a Ville Tapio, CEO de Vastaamo, por 100,000 euros en bitcoins.

Cuando el CEO se negó a pagar, Kivimäki hizo algo extraordinario. Tomó los datos y comenzó a publicarlos en la dark web. En Finlandia, la gente empezó a preocuparse de que sus notas pudieran ser las siguientes, y él eligió deliberadamente notas de terapia particularmente lascivas y dramáticas. Buscó cosas como fantasías sexuales, adulterio o cualquier cosa que realmente les causara mucho dolor y problemas. Luego, hizo algo poco común en la ciberdelincuencia: contactó a las víctimas. Les envió correos electrónicos que decían: “Tengo sus notas. Páguenme; si no, las publicaré en línea”. El impacto en los afectados fue enorme.

Algunas de sus víctimas aún sufren trastorno de estrés postraumático. Hablé con una mujer que describió haber recibido ese correo electrónico como una “violación psicológica”. Sus notas contenían información sobre su matrimonio, problemas laborales y la angustia de criar a dos hijos discapacitados. Se puede imaginar la conmoción que recorrió Finlandia al recibir esos correos electrónicos. Las filtraciones de datos pueden ser devastadoras para las personas involucradas.

2. El hacking puede ser adictivo

Kivimäki tenía 27 años cuando realizó el hackeo de Vastaamo, pero llevaba unos 10 años realizando ciberataques, desde su adolescencia. Lo que aprendemos de la historia de Kivimäki es que el hacking es adictivo.

Muchos hackers simplemente no podían parar. Hackeaban, los arrestaban y les confiscaban todos sus dispositivos, pero luego seguían haciéndolo en cuanto podían. Vimos, en particular, que los hackers adolescentes no se dejaban disuadir por las amenazas o la actividad policial. No paraban. He aprendido que, si eres bastante inteligente y bastante técnico, el reto de infiltrarse en una organización se vuelve adictivo y embriagador.

Si a eso le sumas la atención que recibes al presumir de ello en redes sociales (como hacen muchos de estos individuos), obtienes la endorfinas de los “me gusta”, los retuits y los seguidores. Para el cerebro en crecimiento y subdesarrollado de un adolescente, esto hace que sea muy difícil parar. Hackear es una actividad adictiva.

3. Todos negamos la existencia de hackers juveniles

Me sorprende constantemente que nos sigamos sorprendiendo por los hackers adolescentes. Como sociedad, los subestimamos constantemente como un problema. Esto se pudo ver en la década de 2010, cuando resurgieron los grupos de hackers adolescentes y se observó un cambio hacia un lado mucho más oscuro del hacking.

Las bandas de hackers de los 80, 90 y principios de los 2000 eran diferentes. Su objetivo era exponer a las grandes tecnológicas por tener código malicioso y disfrutaban avergonzándolas. Había mucho ego en eso, pero no había una cultura siniestra. En las bandas de ciberdelincuentes adolescentes que se formaron en la década de 2010, fue donde empezamos a ver aparecer a los Kivimäki.

La mayoría de los expertos en ciberseguridad ignoraban todo esto. Querían hablar de los grandes males del ciberespacio: grupos de hackers de estados-nación como Fancy Bear de Rusia, Lazarus Group de Corea del Norte y Volt Typhoon de China. Nadie quiere admitir que ha sido hackeado por niños. Así que surge una situación de negación en la que nadie quiere hablar del tema.

Pero una investigadora, Allison Nixon, se dio cuenta de que algo está pasando con estos adolescentes. Inventó un término para que nos refiramos a ellos: NPT, o nuevas amenazas persistentes. Esto es una broma bastante ingeniosa. Si estás en el mundo cibernético, conocerás el término APT, que significa amenaza persistente avanzada. Nixon decía que no son “avanzados” porque estos jóvenes no tienen las habilidades sofisticadas que vemos en otros grupos, pero son “persistentes” y una “amenaza” que debe tomarse en serio.

4. El hackeo no es como en las películas

Las NPT no son tan sofisticadas. No son avanzadas. Y la gente piensa en los hackers, especialmente en los adolescentes, como si fueran genios de la programación informática que se ponen una sudadera con capucha y se sientan solos en sus habitaciones oscuras. Esa no es mi experiencia, y eso no es lo que mi investigación me dijo. El cibercrimen es un deporte de equipo. Implica que personas a menudo muy sociables se reúnan en plataformas como Discord y Telegram. Todos aportan sus propias habilidades, a menudo en cosas muy básicas como la ingeniería social.

5. El ciclo ha continuado

En los últimos años, hemos visto una nueva explosión de grupos de hackers adolescentes. En el Reino Unido, en particular, este problema ha cobrado protagonismo y se está hablando mucho de él.

El Reino Unido ha sufrido una oleada de ciberataques contra minoristas. Primero fue Marks & Spencer, una famosa y longeva cadena de grandes almacenes. Luego Co-op. Y luego Harrods. Estos ataques ocurrieron durante un par de semanas en la primavera de 2025 y causaron enormes trastornos y daños. Por ejemplo, Marks & Spencer perdió cerca de 300 millones de libras.

El público también se llevó una gran sorpresa porque, de repente, los estantes de las tiendas se quedaron vacíos después de que las empresas no pudieran continuar con sus operaciones logísticas sin computadoras en funcionamiento. Esas computadoras estaban completamente llenas de ransomware o habían sido desconectadas por la empresa como medida de precaución.

Hubo muchos arrestos de adolescentes en este asunto. Este ciclo continúa. Lo que está sucediendo ahora es que hemos visto a algunos de estos grupos del TNP unirse a grupos de ciberdelincuencia rusoparlantes bien organizados y con larga trayectoria que están llevando a cabo graves ataques. Mi predicción y preocupación es que veremos más ataques como el de Marks & Spencer. A menos que encontremos una manera de mantener a los jóvenes fuera de este oscuro camino de la ciberdelincuencia, esto no desaparecerá.