El espionaje internacional no siempre se trata de malware sofisticado y vulnerabilidades de día cero. A veces es tan simple como hacerse pasar por otra persona y pedir un favor.
Durante cuatro años, un ingeniero aeroespacial chino hizo precisamente eso. Decenas de investigadores de la NASA, el ejército estadounidense y universidades importantes le proporcionaron exactamente lo que pidió, y posiblemente violaron leyes estadounidenses en el proceso.
Su nombre es Song Wu. Figura en la lista de los más buscados del FBI desde septiembre de 2024, acusado de 14 cargos de fraude electrónico y 14 cargos de robo de identidad agravado, y aún permanece prófugo.
El trabajo habitual de Wu era como ingeniero en la Aviation Industry Corporation of China (AVIC), un conglomerado estatal aeroespacial y de defensa con sede en Pekín y más de 400.000 empleados. Estados Unidos tiene a AVIC y a varias de sus filiales en una lista de sanciones .
Su actividad paralela era más sencilla. Desde enero de 2017 hasta diciembre de 2021, Wu creó cuentas de correo electrónico suplantando la identidad de investigadores e ingenieros estadounidenses reales, y luego envió correos electrónicos a sus colegas solicitando código fuente y software propietario. Su objetivo eran empleados de la NASA, la Fuerza Aérea, la Armada, el Ejército y la FAA, así como profesores de universidades de todo Estados Unidos.
Cuando el software es un arma
Las aplicaciones que Wu buscaba abarcan la ingeniería aeroespacial y la dinámica de fluidos computacional. Se trata del tipo de propiedad intelectual que ayuda a desarrollar misiles tácticos avanzados y a evaluar el rendimiento de las armas, y está sujeta a los controles de exportación de EE. UU., según la Oficina del Inspector General de la NASA. Compartirla con la persona equivocada, incluso por accidente, constituye un problema federal.
Algunas víctimas sí transmitieron el código solicitado. Según la cuidadosa formulación de la OIG, estaban infringiendo "sin saberlo" la ley de control de exportaciones.
Cómo una campaña de cuatro años finalmente terminó
No fue un cortafuegos lo que atrapó a Wu. Fue un aviso.
La División de Delitos Cibernéticos de la NASA recibió un informe sobre una persona que había creado una cuenta de Gmail haciéndose pasar por un reconocido profesor de ingeniería aeroespacial que colaboraba frecuentemente con la NASA. A partir de esa pista, los investigadores desentrañaron una campaña que había atacado discretamente a decenas de investigadores del gobierno federal y del ámbito académico.
La OIG también señaló las señales de alerta: Wu solicitó el mismo software varias veces sin explicar nunca por qué lo necesitaba. Son indicios que cualquiera podría haber detectado en una tarde tranquila si hubiera estado atento.
¿Qué viene después?
La campaña de Wu funcionó durante cuatro años utilizando únicamente cuentas de correo electrónico falsas y una investigación de mercado decente. Él es solo un ingeniero, pero el problema es mucho mayor que él.
El entonces director del FBI, Christopher Wray, declaró ante el Comité Select de la Cámara de Representantes en 2024 que:
“La República Popular China tiene un programa de piratería informática mayor que el de todas las demás grandes naciones juntas.”
Chino hackers Según él, seguirían superando en número al personal cibernético del FBI en una proporción de 50 a 1, incluso si cada agente cibernético estadounidense se dedicara exclusivamente a ello.
La ingeniería social sigue siendo un problema, y los impostores se están volviendo más convincentes gracias al uso de deepfake tecnología. Los delincuentes en línea están utilizando la clonación de voz e incluso deepfake video para infiltrarse en sus objetivos haciéndose pasar por entrevistados de trabajo. Y otros están cambiando el guion, publicando como reclutadores en LinkedIn engañar a los posibles candidatos a un puesto de trabajo para que descarguen software malicioso .
El spear-phishing ya era un problema cuando lo perpetraba un solo individuo en Pekín con una cuenta de Gmail. Se convertirá en un problema mucho mayor cuando el próximo Wu utilice inteligencia artificial generativa para redactar los correos electrónicos, clone la voz de un investigador real y ejecute la estrategia a velocidad de máquina en miles de buzones de correo.
Navega como si nadie te estuviera mirando.
Malwarebytes Privacy VPN Encripta tu conexión y nunca registra lo que haces, así que la próxima historia que leas no tiene por qué ser personal. Pruébalo gratis →
