Condena de 70 meses de prisión a un militar estadounidense por extorsión a AT&T y Verizon: Lecciones sobre credenciales expuestas en la nube
Un soldado en activo robó metadatos de más de 100 millones de clientes aprovechando cuentas de Snowflake sin autenticación multifactor. Análisis del caso, cifras clave y medidas de contención.
Fecha de publicación: 2026.10.18
De la base militar a la nube corporativa: La caída del soldado que vulneró 100 millones de registros de telecomunicaciones
El caso de Cameron John Wagenius, un soldado en servicio activo del Ejército de Estados Unidos de 22 años, marca un hito crítico en la intersección entre ciberdelincuencia internacional, seguridad corporativa en la nube y riesgos internos con acceso a información clasificada. Desde una base militar en Corea del Sur, Wagenius operaba bajo el alias digital “Kiberphant0m”. Junto a una red de colaboradores experimentados en el fraude informático, el militar accedió a depósitos masivos de almacenamiento de datos en la nube pertenecientes a gigantes como AT&T y Verizon. El botín no consistió en grabaciones de voz, sino en un registro aún más revelador y fácil de indexar: los metadatos de llamadas y mensajes de texto de más de 100 millones de usuarios.
La puerta de entrada a esta infraestructura no requirió el desarrollo de malware militar ni complejas vulnerabilidades de día cero. El grupo atacante aprovechó una negligencia técnica tan básica como recurrente: credenciales de acceso legítimas que se habían filtrado en internet y que estaban configuradas en cuentas empresariales del servicio de datos Snowflake sin un segundo factor de autenticación activado. Es decir, disponían de la llave principal de la puerta de entrada sin que nadie les exigiera una segunda verificación para validar su identidad.
Tras extraer terabytes de información crítica, Wagenius y sus cómplices exigieron pagos mediante extorsión bajo la amenaza de difundir las bases de datos en foros clandestinos. La gravedad del incidente obligó a intervenir a las principales agencias de seguridad nacional de Estados Unidos, incluyendo el Servicio de Investigación Criminal de Defensa (DCIS), el Buró Federal de Investigaciones (FBI), la División de Investigación Criminal del Ejército (CID) y el Servicio Secreto. La condición de militar con acreditación de secreto reservado agravó las sospechas de espionaje, provocando una respuesta judicial implacable que culminó en los tribunales federales de Seattle con una pena de casi seis años de prisión.
Anatomía de la intrusión y respuesta institucional
De la brecha por falta de MFA al desmantelamiento judicial
Credenciales expuestas sin MFA
Uso de contraseñas filtradas en cuentas corporativas de Snowflake sin verificación en dos pasos.
Robo de metadatos de 100 millones de clientes
Descarga masiva de registros de llamadas y exigencia de rescates millonarios en criptomonedas.
70 meses de prisión federal y 300.000 dólares
Operación conjunta entre el FBI y agencias militares con sentencia en firme en Seattle.
70 meses de prisión y 370.000 dólares en rescate: Radiografía cuantitativa de la brecha de Snowflake
Las dimensiones de esta operación delictiva revelan tanto la fragilidad operativa de la custodia de metadatos como el elevado precio financiero de las extorsiones corporativas. En octubre de 2024, el grupo criminal se jactó abiertamente de poseer los registros de conexión de decenas de millones de clientes de AT&T. Para evitar la publicación de esta información sensible, AT&T llegó a transferir un rescate de 370.000 dólares en Bitcoin a la red de extorsionadores. Sin embargo, Wagenius reanudó las amenazas exigiendo pagos adicionales y filtrando públicamente supuestos registros telefónicos de figuras políticas de primer orden, así como supuestos esquemas técnicos vinculados a la Agencia de Seguridad Nacional (NSA).
La red de colaboración de Wagenius reunía perfiles criminales de alto impacto técnico: Kenneth Schuchman, responsable en 2019 de la red zombi Satori basada en dispositivos de internet de las cosas; Conor Riley Moucka (“Judische”), arrestado en Canadá; y John Erin Binns, prófugo en Turquía y vinculado a la intrusión de T-Mobile de 2021 que expuso a 76 millones de usuarios. La siguiente tabla compara los indicadores cuantificables más destacados de este caso y su impacto colateral en el ecosistema de telecomunicaciones.
| Parámetro evaluado | Registro / Caso AT&T y Kiberphant0m | Referencia industrial / Casos vinculados |
|---|---|---|
| Condena judicial impuesta | 70 meses de prisión federal (5,8 años) | Media de 48–60 meses en extorsión cibernética federal |
| Indemnización directa a víctimas | 294.978 dólares estadounidenses | Rescate previo pagado por la operadora: 370.000 dólares |
| Volumen de clientes afectados | Más de 100 millones de abonados | Brecha previa de T-Mobile (Binns): 76 millones |
| Naturaleza del dato sustraído | Metadatos (números, hora, duración, origen/destino) | PII completa (identificaciones, números de seguridad social) |
| Vector de ataque principal | Credenciales filtradas sin MFA | Fuerza bruta y robo de tokens en bases de datos analíticas |
| Empresas atacadas por el grupo | Más de 12 operadores de telecomunicaciones globales | Servicios de Push-to-Talk de Verizon incluidos |
| Respuesta del proveedor de nube | Activación obligatoria de MFA para todos los usuarios | Cuentas heredadas sin políticas estrictas de acceso |
El coste real del descuido operativo: Tres frentes de impacto directo para las empresas de telecomunicaciones y nube
El análisis forense de la brecha confirma que las consecuencias de un fallo en la gestión de accesos no se limitan a la sanción penal impuesta al atacante. En las empresas de infraestructura crítica, la falta de gobernanza técnica básica desencadena una cascada de costes operativos, crisis de confianza institucional y vulnerabilidades de seguridad nacional que erosionan el negocio durante años.
Gastos imprevistos e indemnizaciones judiciales (OPEX)
El desembolso directo de 370.000 dólares para detener la extorsión resultó ser solo el primer eslabón de una factura operativa gigantesca. Cuando una corporación admite la fuga de metadatos de más de 100 millones de abonados, los costes asociados a auditorías forenses externas, asesoramiento legal de emergencia, notificaciones obligatorias a los clientes y provisiones para litigios civiles colectivos superan con creces el millón de dólares por incidente. En términos de costes operativos corrientes, una empresa que almacena datos analíticos en almacenes centralizados debe asumir costes imprevistos de respuesta a incidentes equivalentes a meses de su presupuesto de seguridad informática.
Coste de respuesta = Rescate pagado + Peritaje forense externo + Reclamaciones regulatorias
(370.000 USD) + (1.200.000 – 2.500.000 USD est.) + (Sanciones de agencias federales)Adicionalmente, el seguro de ciberriesgo de las compañías afectadas sufre revisiones inmediatas: las primas anuales pueden encarecerse entre un 30% y un 55% tras un incidente provocado por el incumplimiento de controles estándar como la autenticación multifactor, encareciendo el coste total de propiedad de la infraestructura analítica.
Ruptura de la cadena de confianza y parálisis operativa (Lead Time)
La verificación de qué datos habían sido copiados y qué registros permanecían íntegros paralizó los flujos de trabajo habituales de los equipos de análisis de datos durante semanas. Identificar el alcance exacto de la exfiltración exigió auditar millones de líneas de consultas históricas en los registros de actividad del almacén en la nube. Esta parálisis ralentizó el despliegue de nuevos servicios comerciales y obligó a las operadoras a congelar temporalmente la integración de datos con socios externos mientras se comprobaban una a una las cuentas de usuario de la plataforma compartida.
La gestión de la crisis ante la opinión pública y los reguladores federales exigió cientos de horas de comités ejecutivos, desviando la atención estratégica del equipo directivo hacia labores puramente defensivas durante más de seis meses.
Riesgo para la seguridad nacional y amenaza de infiltración interna
La condición de Cameron Wagenius como militar en activo con habilitación de seguridad reservada añadió una dimensión alarmante al suceso. Los metadatos de llamadas no contienen el audio de la conversación, pero permiten dibujar con precisión matemática los mapas de relaciones de cualquier individuo: a quién llama, a qué hora, desde qué ubicación de antena y con qué frecuencia. La filtración de supuestos registros pertenecientes a líderes políticos de primer nivel evidenció que la información en manos de ciberdelincuentes puede utilizarse para labores de contrainteligencia, chantaje o vigilancia no autorizada.
Incluso tras ser arrestado y trasladado a un centro penitenciario federal, Wagenius continuó demostrando un apetito destructivo. Mediante el correo electrónico de otros reclusos, solicitó a terceros que introdujeran instrucciones en herramientas comerciales de inteligencia artificial para obtener secuencias de código ejecutables orientadas a vulnerabilidades de escalada de privilegios en Windows 10 Enterprise y fallos conocidos en dispositivos de red (como CVE-2023-45208). Este comportamiento pone de relieve cómo los perfiles técnicos persistentes intentan burlar los filtros de seguridad mediante técnicas de inyección de instrucciones contextuales, simulando redactar un libro de ficción para que el modelo genere código malicioso sin restricciones.
Brecha de tiempo y coste entre prevención básica y respuesta a crisis
Comparativa entre el coste de activar MFA y el impacto de la brecha
El muro del MFA obligatorio y monitorización de accesos: Cómo la industria neutraliza el vector de credenciales filtradas
El desenlace de este ataque forzó un cambio drástico en la postura operativa de los grandes proveedores de almacenamiento analítico. Históricamente, muchas plataformas en la nube delegaban la decisión de aplicar un segundo factor de autenticación en los administradores de cada cuenta cliente, priorizando la facilidad de conexión de herramientas automatizadas sobre la seguridad estricta. Tras el incidente de Wagenius y sus cómplices, Snowflake adoptó una medida tajante: hacer obligatorio el uso de autenticación multifactor para cualquier cuenta que acceda a su entorno, eliminando la opción de desactivarlo por mera comodidad.
Las organizaciones modernas que procesan volúmenes gigantescos de información han tenido que sustituir las contraseñas estáticas por arquitecturas donde cada petición de acceso es verificada en tiempo real. En lugar de confiar en una credencial compartida por un equipo de ingeniería de datos, las empresas conectan sus almacenes a plataformas de supervisión continua como Datadog, donde se analizan las anomalías en el comportamiento del usuario: descargas masivas a horas inusuales, conexiones desde rangos IP sospechosos o consultas que superan el consumo habitual de datos de un departamento.
Gestión de accesos tradicional vs. Verificación continua obligatoria
Diferencia crítica en la contención de credenciales corporativas robadas
Acceso tradicional en la nube
Vulnerable a robo- • Usuario y contraseña estáticos sin segundo factor
- • Permisos de descarga ilimitados por defecto
- • Detección tardía tras el vaciado de las tablas
Acceso moderno con MFA y Zero Trust
Bloqueo preventivo- • Segundo factor obligatorio respaldado por token criptográfico
- • Descargas limitadas por volumen y autorización escalonada
- • Alarmas instantáneas ante patrones de exportación atípicos
La adopción de controles basados en identidad demuestra que el perímetro ya no es una red corporativa cerrada, sino la identidad de cada cuenta individual. Cuando se elimina la posibilidad de que una contraseña robada abra las puertas del almacén de datos, la capacidad operativa de actores maliciosos queda prácticamente anulada en su primera fase.
Estrategia de contención ante fugas de credenciales en entornos SaaS: Las tres líneas de defensa obligatorias
Para cualquier director de sistemas, responsable de operaciones o equipo de seguridad que gestione almacenes de datos compartidos, la condena de Wagenius sirve como recordatorio categórico de que la ley castiga a los culpables, pero no devuelve la reputación ni el dinero a las organizaciones descuidadas. Construir una barrera sólida contra este tipo de extorsiones exige estructurar una defensa en tres niveles coordinados.
1ª línea de defensa: Auditoría inmediata de cuentas heredadas y erradicación de accesos sin segundo factor
El primer paso operativo no requiere inversiones millonarias en nuevo software, sino una revisión higiénica exhaustiva de la base de usuarios actual:
- Eliminación sistemática de contraseñas de un solo factor: Auditar todas las cuentas de administración y de servicio en plataformas de almacenamiento en la nube para asegurar que ninguna cuenta activa carezca de MFA forzado.
- Cancelación de cuentas huérfanas: Localizar y cerrar inmediatamente perfiles pertenecientes a exempleados, contratistas externos finalizados o proyectos de prueba antiguos que permanezcan abiertos por descuido.
- Prohibición de credenciales compartidas: Ningún equipo técnico debe utilizar credenciales genéricas para acceder a depósitos de producción. Cada ingeniero o analista debe operar con una cuenta nominal e intransferible vinculada al proveedor de identidad central de la empresa.
2ª línea de defensa: Segmentación de almacenes analíticos y rotación criptográfica de tokens
El almacenamiento masivo de datos no debe convertirse en un lago único donde cualquier usuario con acceso pueda visualizar la totalidad de los registros de la empresa:
- Segmentación por mínimo privilegio: Aplicar reglas estrictas de control de acceso para que los analistas de negocio solo puedan consultar las vistas agregadas que necesitan para su trabajo diario, bloqueando el acceso directo a identificadores personales y registros completos de comunicaciones.
- Límites de exportación masiva: Establecer cuotas técnicas que impidan la descarga de más de un determinado número de registros por sesión sin la aprobación explícita de un segundo administrador.
- Rotación continua de secretos y tokens: Reemplazar las contraseñas estáticas de los procesos de integración de datos por certificados temporales y tokens de corta duración que caduquen automáticamente tras unas pocas horas.
3ª línea de defensa: Monitorización de fugas externas y mitigación del riesgo interno
La detección de amenazas debe mirar tanto hacia el tráfico de la propia red como hacia los repositorios clandestinos de internet:
- Vigilancia proactiva de credenciales filtradas: Contratar servicios automatizados que rastreen mercados clandestinos y foros de ciberdelincuencia para alertar al equipo de seguridad en el instante exacto en que una dirección de correo corporativa aparezca en una base de datos filtrada.
- Protocolos de control para usuarios privilegiados: Implementar revisiones periódicas de los permisos otorgados a perfiles con altos privilegios o autorizaciones especiales, garantizando que el acceso a datos estratégicos esté siempre justificado por una necesidad laboral en curso.
- Defensa ante abusos de herramientas de inteligencia artificial: Actualizar los manuales de seguridad para identificar patrones de ingeniería social e inyección de instrucciones, evitando que personal interno o atacantes externos utilicen modelos de lenguaje como asistentes automatizados para encontrar vulnerabilidades en los sistemas de la empresa.