Cuando el pentesting te lleva a la cárcel: el caso que costó 600.000 dólares por un arresto injustificado
En el mundo de la ciberseguridad, hay historias que te dejan con la boca abierta. Como profesional que lleva años en este sector, pocas me han impactado tanto como la de Gary DeMercurio y Justin Wynn, dos pentesters que acabaron esposados por… hacer exactamente el trabajo para el que les habían contratado.
Un contrato legal que terminó en esposas
La historia es tan surrealista como preocupante. En 2019, estos dos profesionales de Coalfire Labs estaban realizando un pentesting físico perfectamente autorizado en un juzgado de Iowa. Tenían un contrato firmado con la Rama Judicial del estado que les permitía explícitamente realizar «ataques físicos» como abrir cerraduras.
Para quien no esté familiarizado: los ejercicios de «red-team» son fundamentales en ciberseguridad. Consisten en simular ataques reales para identificar vulnerabilidades antes de que los malos las encuentren. Es como contratar a un ladrón profesional para que intente robar en tu casa y te diga después cómo reforzar tus cerraduras.
La noche del 11 de septiembre de 2019, DeMercurio y Wynn entraron en el Tribunal del Condado de Dallas utilizando una herramienta improvisada. Hasta aquí, todo normal en su trabajo. Incluso cuando sonó la alarma y llegaron los agentes, mostraron su «carta de autorización» (lo que en el argot llamamos «get out of jail free card», aunque en este caso no funcionó literalmente).
Cuando el sheriff decidió que él mandaba más que un contrato estatal
Todo iba bien hasta que apareció el sheriff Chad Leonard. Y aquí es donde la cosa se torció de manera absurda. A pesar de que los agentes ya habían verificado la legitimidad de la autorización, el sheriff decidió que, como el tribunal estaba bajo su jurisdicción, él no había dado permiso y, por tanto, los pentesters estaban delinquiendo.
El resultado: 20 horas en la cárcel con una fianza de 50.000 dólares cada uno. Los cargos iniciales de robo en tercer grado se redujeron posteriormente a allanamiento, pero el daño ya estaba hecho.
Lo más increíble es que, durante los meses siguientes, el sheriff siguió insistiendo públicamente en que habían actuado de forma ilegal, llegando incluso a decir que «estaban agachados como pavos asomándose sobre el balcón» cuando respondieron los agentes.
Las consecuencias profesionales de un arresto injustificado
Para un profesional de la ciberseguridad, ser arrestado es casi una sentencia de muerte profesional. Nuestra reputación lo es todo. ¿Quién va a contratar a un pentester con antecedentes? Es como si contratas a un contable y descubres que tiene una condena por fraude fiscal.
Como dijo Wynn tras el acuerdo: «Envió un mensaje escalofriante a los profesionales de la seguridad en todo el país de que ayudar a un gobierno a identificar vulnerabilidades reales puede llevar al arresto, la acusación y la deshonra pública».
Y tiene toda la razón. Este caso generó pánico en la comunidad de ciberseguridad. Muchos nos preguntamos: «¿Y si me pasa a mí en mi próximo trabajo?»
La justicia tardó, pero llegó… con un precio
Tras años de batalla legal, finalmente ha habido justicia. El condado acordó pagar 600.000 dólares para resolver la demanda por arresto falso, difamación y otros cargos, apenas cinco días antes de que comenzara el juicio.
DeMercurio lo resumió perfectamente: «El acuerdo confirma lo que hemos dicho desde el principio: nuestro trabajo fue autorizado, profesional y realizado en interés público». Hoy dirige su propia empresa, Kaiju Security, demostrando que es posible recuperarse de un golpe así.
Lecciones para todos los implicados en ciberseguridad
Este caso nos deja varias enseñanzas fundamentales:
-
Los contratos de pentesting deben ser extremadamente detallados y comunicados a TODAS las partes involucradas, incluyendo autoridades locales.
-
Las empresas de ciberseguridad necesitan protocolos más robustos para situaciones de este tipo. La «get out of jail free card» claramente no siempre funciona.
-
Existe un problema de educación sobre ciberseguridad en algunos estamentos oficiales. Que un sheriff no entienda qué es un pentesting autorizado en 2019 es preocupante.
Lo que más me inquieta de este caso es el efecto disuasorio que puede tener. Necesitamos profesionales dispuestos a encontrar vulnerabilidades antes que los criminales, pero si el premio es acabar en la cárcel, ¿quién va a querer asumir ese riesgo?
Mientras tanto, como profesionales de la ciberseguridad, seguiremos haciendo nuestro trabajo: encontrar agujeros de seguridad antes que los malos. Solo espero que no tengamos que llevar siempre a un abogado en el equipo de pentesting.
