El caso del técnico de TI que vendía móviles robados del Congreso en eBay
¿Te has preguntado alguna vez cómo acaban los dispositivos gubernamentales cuando ya no se usan? Pues resulta que algunos terminan en eBay, aunque no precisamente por los canales oficiales. Un reciente caso de ciberseguridad nos muestra cómo hasta los entornos supuestamente más seguros pueden ser vulnerables desde dentro.
El curioso caso del teléfono gubernamental en una tienda de segunda mano
A principios de 2026, un ciudadano compró un teléfono en eBay que, al encenderlo, no mostró la típica pantalla de inicio de un sistema operativo normal. En su lugar, apareció «un número de teléfono del Servicio Técnico de la Cámara de Representantes». El comprador, intrigado, llamó a ese número, alertando así al personal de TI del Congreso de que teléfonos gubernamentales estaban siendo vendidos en plataformas de segunda mano.
Este hecho aparentemente anecdótico destapó algo mucho más grave: un esquema de robo sistemático dentro del propio Congreso estadounidense. Lo que podría haber quedado en un incidente aislado se convirtió en una investigación que reveló una brecha de ciberseguridad interna con graves consecuencias.
La investigación: un insider threat en acción
La investigación posterior descubrió que «varios teléfonos adquiridos por Southerland no estaban contabilizados». Southerland, un técnico de TI que trabajaba en el Congreso, había estado sustrayendo dispositivos móviles y vendiéndolos por su cuenta. Según las autoridades, este esquema le costó al gobierno más de 150.000 dólares (aproximadamente 138.000€ al cambio actual).
El acusado fue imputado a principios de diciembre de 2025, pero no fue detenido hasta el 8 de enero de 2026. Aunque se declaró inocente y fue liberado bajo palabra, se le prohibió acercarse a los terrenos del Capitolio. Su comparecencia ante el tribunal está programada para finales de este mes.
La paradoja del experto en seguridad
Lo más irónico de este caso es el perfil profesional del acusado. Su cuenta de LinkedIn presume de habilidades con Python, administración de Linux y sistemas Microsoft como Azure y Active Directory. También afirma ser experto en «coordinar proyectos complejos que involucran a múltiples partes interesadas» y en «la actualización de infraestructuras, como entornos virtuales para garantizar el funcionamiento fluido de los procesos».
«Tengo pasión por el servicio al cliente y puedo interactuar con los miembros del equipo de manera profesional y cortés», escribía en su perfil. Una declaración que ahora resulta, cuanto menos, contradictoria.
Los errores básicos que delatan hasta a los más técnicos
Este caso nos recuerda una verdad fundamental en ciberseguridad: muchas veces no son las vulnerabilidades técnicas las que causan los mayores problemas, sino los errores humanos básicos. Southerland, con todo su conocimiento técnico, cometió un error elemental: no restablecer los dispositivos a su configuración de fábrica antes de venderlos.
Como ya hemos visto en otras ocasiones, los atacantes más sofisticados suelen caer por detalles sorprendentemente simples. En este caso, confiar en que un teléfono vendido en una plataforma pública no sería rastreado hasta su origen.
Las amenazas internas: el talón de Aquiles de la ciberseguridad
Este incidente pone de relieve un aspecto crítico que muchas organizaciones descuidan: las amenazas internas. Mientras las empresas y gobiernos invierten millones en protegerse de ataques externos, a menudo subestiman el riesgo que representan sus propios empleados con acceso privilegiado.
Lecciones para cualquier organización
-
Control de activos: Mantener un registro actualizado de todos los dispositivos es fundamental. El simple hecho de que varios teléfonos «no estaban contabilizados» fue el primer fallo de seguridad.
-
Políticas de borrado seguro: Todo dispositivo, antes de ser desechado o reutilizado, debe someterse a un protocolo de borrado seguro que elimine cualquier información sensible.
-
Vigilancia de accesos privilegiados: Las personas con acceso a equipos o información sensible deben estar sometidas a controles y auditorías periódicas.
-
Procedimientos de salida: Cuando un empleado deja una organización, el proceso de desvinculación debe incluir la verificación de todos los activos bajo su responsabilidad.
El caso Southerland nos recuerda que, en materia de ciberseguridad, a veces el mayor riesgo no está en los sofisticados hackers externos, sino en quienes ya tienen la llave de la puerta. Y lo más sorprendente es que, incluso los más técnicos, pueden caer por detalles tan básicos como no formatear un teléfono antes de venderlo.
Esperemos que Southerland tenga una buena explicación para todos esos teléfonos móviles. Si no, este podría ser otro caso más de un ingeniero que se creyó más listo de lo que realmente era, y que fue descubierto por algo sorprendentemente poco técnico. Como confiar en una tienda de empeños.
