Expediente Lucas: Estafa a través de videojuegos

Los videojuegos son inofensivos, ¿verdad?

Bueno, no profundizaré en ese asunto, pero sí que afirmaré que las miles de personas que entran en contacto con nuestros hijos a través de los chats asociados, distan mucho de ser inofensivos.

Y para muestra, un botón (de mi botonera).

---

Fase de contacto:

Cuando escucho por primera vez sobre el caso que hoy os relato, es debido a que ya hay en marcha un proceso judicial abierto, y una de las partes ha solicitado al Juez un “peritaje judicial a instancias de parte”.

SSª ha tenido a bien concederlo y ha requerido a un informático forense, por lo que el secretario judicial (ahora llamado Letrado de la Administración de Justicia) consulta las listas de peritos y acaba poniéndose en contacto conmigo.

Me ruega que me presente en los juzgados y, una vez allí, me presenta el archivo del caso en papel (unas dos biblias de grueso). Me pregunta si lo acepto y, aunque no me atosiga, espera mi respuesta para dentro de una hora.

¡Una hora! No puedo leerme el archivo entero.

Lamentablemente, con mayor o menor margen, esto suele funcionar así, de modo que los profesionales ya tenemos nuestras técnicas de procedimiento: La mejor forma de saber lo que se necesita de mí es el capítulo “extremos sobre los que se debe consultar a un perito”.

Así sabré si estoy en disposición de afrontarlo.

Procedo: Parece que se necesita identificar a un usuario de la red que ha entablado contacto con un menor.

Acepto el caso y se me concede acceso al dosier.

---

Fase de antecedentes:

Al parecer, el denunciante es Sergio, un cabeza de familia con un trabajo humilde y padre de 3 niños. Uno de ellos se llama Lucas, tiene 10 años y está implicado en el caso.

De la cuenta bancaria de Sergio, se ha sustraído una cantidad considerable de dinero.

Sergio ha sufrido mucho desasosiego hasta que finalmente ha descubierto que el niño tiene que ver con la sustracción.

Han estafado al pequeño.

De alguna forma, a través de la red, han conseguido engañarlo para acceder a la cuenta bancaria de Sergio.

Utilizando el software de comunicación, y mientras jugaba a su consola favorita, un participante del juego favorito de Lucas (con un personaje muy poderoso), ha hablado con él para hacerle una propuesta:

El supuesto menor le ha contado que está desescolarizado, y que su personaje es tan poderoso porque puede jugar con él día y noche, mientras que Lucas no (por sus horas de asistencia al colegio). El desconocido se ofrece a utilizar el personaje de Lucas mientras este va a clase, para seguir aumentándoselo de nivel.

Lucas no ha dudado ni por un segundo de que la historia sea cierta, puesto que el desconocido es un niño, es habitual del juego y tiene uno de los mejores equipamientos posibles.

Es por esto que Lucas le facilita su nombre de usuario y su contraseña al desconocido, para que juegue por él durante las mañanas.

¿Consecuencias?

Para la compra online de juegos, las cuentas de la consola que se emplean tienen asociadas tarjetas bancarias. En este caso… LA TARJETA BANCARIA DE SERGIO.

Ahora, aplicando un poco de ingeniería, el desconocido tienen acceso a todo lo necesario para duplicarla: número, caducidad, PIN, CVV…

---

Fase de investigación:

Me huele todo muy mal.

Lo primero que hago es solicitar una orden judicial: Es la diferencia entre rebuscar en la basura y entrar por la puerta, exigiendo información.

Con una orden, las empresas y particulares deben obedecer y colaborar. Sin ella, no soy más que un husmeador molesto.

Por fin la obtengo.

Las “solicitudes” a empresas empleando la orden será lo más esclarecedor, pero también lo más lento. ¿Debo lanzar las peticiones y esperar?

Por supuesto que no: Hago los requerimientos (para que vayan cursándose) mientras me dedico a investigar por mi cuenta.

La primera de las solicitudes va a por la tienda online de la consola. Ellos tienen todos los datos del usuario agresor (me harían avanzar mucho en mi investigación). Pero tengo un encontronazo: inicialmente, no obedecen la orden judicial.

Resulta que sus servidores no están en España, así que no tienen que responder ante nuestras leyes y nuestros jueces.

Esto ya me ha pasado antes. Solo me queda “pedir amablemente” los datos, haciendo constar mi número de placa y el interés de nuestras autoridades judiciales.

Responden que lo considerarán.

Vamos a por el banco de Sergio: Los bancos son muy celosos de los datos informáticos. También tardarán lo suyo, así que dejo el proceso iniciado.

Ahora toca ensuciarse las manos: Investigaré como si no tuviera orden hasta que la misma me empiece a dar frutos.

Una curiosidad interesante: Lo crean o no, una de las principales fuentes de pérdida de evidencias son las propias víctimas (las borran por miedo, desconocimiento, sin querer).

Intentando evitar que esto ocurra, me incauto de la cuenta de Lucas y, no solo eso, me quedo su consola y una copia del log de su router, recomendando a su familia que no usen el usuario, pues va a ser objeto de la investigación.

A continuación hablo con Lucas (en presencia de Sergio, claro), a ver qué me cuenta.

El niño no solo me da datos interesantes sobre el usuario: también sobre su personaje (aspecto del que no había quedado constancia en el archivo). Además, a base de dirigir las preguntas hacia sus conversaciones con él, me facilita datos sobre el usuario (aparentemente sin importancia) que tampoco figuran en el sumario.

Al parecer, el usuario es de una etnia claramente identificada (todos mis respetos: es un dato del caso, no un comentario xenófobo), menor, absentista… pero, a pesar de su ausencia a la escuela, se expresa con soltura y da datos técnicos con facilidad.

Lucas asegura haber oído ruidos y otras voces de fondo en las ocasiones en las que tuvo oportunidad de hablar con él, y el usuario tardaba en responder con frecuencia.

¿Ruido de fondo? ¿Otras voces? ¿Tarda en responder?

Esto apesta a estafa múltiple montada, utilizando a niños para engañar a otros niños y con adultos dirigiéndoles, apuntando el guión de fondo para que sepan qué decir.

Solicito al juez ayuda con la búsqueda de denuncias que cuenten con el patrón que deduzco y, tras una llamada a la policía judicial, mi instinto me premia:

Los datos me ponen los pelos de punta: esto ha ocurrido muchas veces.

Sin los datos de la tienda online de la consola y del banco, estoy bloqueado por ese lado.

Vamos a por el usuario… pero el juego es enorme y no hay garantías. Habrá cambiado de nickname.

No puedo cazarlo.

Pero puedo pescarlo.

Me abro una cuenta con datos falsos que “me consigue” la judicial (no puedo aclarar detalles). Tengo una cuenta creíble, asociada a una cuenta bancaria “real” (intervenida) y un usuario de perfil infantil. Soy Paquito11 (este usuario es ficticio).

¡A jugar!

Mientras me dedico a moverme por este mundo virtual y Paquito11 sigue jugando cada tarde, los del banco finalmente se pronuncian. Me dan detalles informáticos de la sustracción y persigo el rastro del dinero.

La cuenta destinataria es una cuenta de un banco en un paraíso fiscal.

Me han hecho un Gandalf: ¡No puedo pasar!

Se me ha cerrado la línea de investigación por la vía de la transacción.

Paquito11 sigue jugando (odio ese maldito juego, me harté de él). De vez en cuando me entra algún sospechoso (crují unos cuantos groomers, de paso), pero nada concluyente sobre el caso.

Por fin, la tienda online de la consola decide colaborar y me entrega los datos del usuario. Tres meses después. Pero bueno, al menos me los dan sin estar obligados y siendo datos privados.

Con la IP, hago valer la orden judicial y solicito datos de tráfico y asignación (filtrados) a la empresa proveedora de acceso (que podría ser Movistar, por ejemplo). Ellos están más acostumbrados a estos requerimientos.

Los entregan. Todo lo tarde que pueden, pero los acaba entregando.

En esta ocasión, además los filtran mal.

Hay quién dice que hacen estas cosas adrede para disuadir a los investigadores de pedir su colaboración. No me dan la IP que buscaba.

Repito el requerimiento.

Me los vuelven a dar. Tarde. Pero al menos están bien y tengo al usuario: el teléfono del titular de la línea, nombre, apellidos, dirección. Puedo saber hasta desde que consola se produjo el timo, lo cuál fue necesario porque, en el domicilio, HABÍA CONECTADAS 13 CONSOLAS DE UN MODELO Y 9 DE OTRA MARCA.

Resultó tratarse un clan de una etnia española que tenía a sus niños sin escolarizar, empleados día y noche en jugar para captar víctimas: otros niños a los que ofrecerse para jugar con su cuenta y subirles de nivel.

Siempre había un adulto tras los niños que jugaban, indicándoles qué decir y cómo actuar.

• Sergio nunca recuperó su dinero (como muchos otros afectados).
• Lucas estuvo años sin volver a tocar el mando de una consola.
• Los niños implicados quedaron impunes, por tratarse de menores de menos de 14 años.
• Todo el clan responsabilizó a un único adulto, que fue juzgado por concurso ideal (un único delito de estafa).

Aunque este final no nos deje sensación de justicia, al menos se solucionó el enigma y el perito cumplió con los extremos

Te ruego que me ayudes a darle difusión presionando el botón azul de tuitear:

El perito judicial informático @pduchement ha publicado un #CasoDeInformáticaForense sobre ciberestafa a un menor a través de los videojuegos.

Tweet

O de publicar en Facebook: