Absuelto el 'hacker' que dejaba su direcci¨®n

Juan Pablo Corujo, vecino de Pontevedra de 33 a?os de edad, practicaba una curiosa forma de asaltar ordenadores: Aunque alteraba alg¨²n contenido de la web no da?aba el sistema, avisaba a los administradores del agujero por el que hab¨ªa entrado y les ofrec¨ªa a la vez su direcci¨®n de correo electr¨®nico. Esta buena fe, junto a la falta de pruebas para demostrar la mayor¨ªa de intrusiones de que se le acusaba, ha sido determinante para que una juez le haya absuelto de todos los cargos que pod¨ªan haberle llevado a prisi¨®n. Corujo fue detenido por la Guardia Civil en mayo de 2001. El hacker pontevedr¨¦s Quickbasic, apodo con el que se le conoc¨ªa en Internet, fue acusado de modificar la web del Ministerio de Hacienda sustituy¨¦ndola por un texto que pon¨ªa en duda la profesionalidad de sus administradores.

Quickbasic admiti¨® haber entrado en el servidor de Hacienda, as¨ª como en un peri¨®dico de Madrid, donde introdujo una noticia falsa que estuvo en portada 10 segundos. En ning¨²n sitio caus¨® da?os al sistema; en todos dej¨® una nota explicando c¨®mo reponer las portadas y qu¨¦ fallo hab¨ªa aprovechado para entrar.

"Les dej¨¦ mi nombre, apodo y direcci¨®n de correo electr¨®nico por si quer¨ªan contactar conmigo y, para mi sorpresa, quien me contact¨® fue la Guardia Civil. No me lo esperaba. Quiz¨¢ una multa, pero no que pidiesen prisi¨®n, ni que enviasen un comando de Madrid a detenerme. El fallo que aprovech¨¦ para entrar era muy conocido, un error de los servidores web de Microsoft: con un simple navegador pod¨ªas listar el contenido de todo el disco duro y, con un poco m¨¢s de conocimiento, tomar el control", explica. La Guardia Civil no sigui¨® su pista por la direcci¨®n de correo que dej¨® en los servidores sino por el apodo Pablo, que usaba en la Red de chats IRC-Hispano.

Seg¨²n los agentes, en la web de Hacienda "copi¨® una peque?a base de datos de clientes que hab¨ªan comprado bonos del Estado, con su nombre, DNI y algo m¨¢s". Pero esta lista no se localiz¨® en el ordenador de Corujo. Los agentes s¨ª encontraron informaci¨®n de m¨¢s de 40 empresas y organismos p¨²blicos que parec¨ªan haber sido v¨ªctimas o futuros objetivos de Quickbasic. Destacaba una base de datos con nombres y direcciones electr¨®nicas de 3.505 suscriptores del bolet¨ªn del Partido Popular y de 900 personas vinculadas al partido.

En el juicio, Quickbasic afirm¨® que lo hab¨ªa copiado todo de un ordenador de Estados Unidos, no de los sitios originales. La Guardia Civil se puso en contacto con las 40 empresas y organismos, pero la mayor¨ªa no presentaron cargos, por no haber detectado intrusiones ni da?os en sus sistemas. S¨®lo le acusaron formalmente el Partido Popular, la Tesorer¨ªa de la Seguridad Social y la Universidad de Santiago, aunque no hab¨ªa pruebas fehacientes de estas intrusiones porque, seg¨²n la sentencia, "eran archivos muy antiguos, y el PP y esas empresas ya los ten¨ªan borrados".

Petici¨®n de prisi¨®n

El PP ped¨ªa cuatro a?os de prisi¨®n y que se le abonasen los gastos de la auditor¨ªa que llev¨® a cabo en sus ordenadores, as¨ª como la compra de programas para asegurar sus sistemas. En el juicio, afirma Quickbasic, "su abogado me pregunt¨® por qu¨¦ no hab¨ªa entrado tambi¨¦n en m¨¢quinas socialistas. Quer¨ªa convertirlo en un caso pol¨ªtico, pero a m¨ª no me interesa la pol¨ªtica. Yo quer¨ªa llamar la atenci¨®n de lo in¨²tiles que eran los administradores. Modificar las webs era una pintada de protesta, que por s¨ª misma demostraba su incompetencia".

Quickbasic particip¨® activamente en su defensa, llamando una por una a las 40 empresas y organismos que aparec¨ªan en su ordenador, y pedirles que no le denunciasen. Tambi¨¦n sali¨® en el programa Alerta 112 de Antena 3, para mostrar los m¨¦todos que hab¨ªa usado y lo sencillo que hab¨ªa sido.

La sentencia absuelve a Corujo por no haber pruebas de las intrusiones ni de da?os en las dos que se han demostrado. Y marca jurisprudencia en el controvertido asunto de si es l¨ªcito que los hackers informen de las vulnerabilidades que descubren: "Dudamos de que se quisieran da?ar los sistemas inform¨¢ticos en un caso en que su autor manifiesta que s¨®lo pretend¨ªa advertir de la existencia de fallos de seguridad, por lo que dej¨® todo un rastro y se?as de identidad, pretendiendo que se pusiesen en contacto con ¨¦l".

Seg¨²n el abogado defensor, Carlos S¨¢nchez Almeida, "se confirma que si el hacker no causa da?os ni obtiene secretos, s¨®lo denuncia una vulnerabilidad, no hay delito". De todas formas, a Quickbasic, que hoy trabaja de comercial de inform¨¢tica y est¨¢ m¨¢s interesado en la rob¨®tica que en la exploraci¨®n de vulnerabilidades, se le han pasado las ganas: "Fui un ingenuo al pensar que lo que hac¨ªa no era una delito, como me intentaron achacar. No recomiendo en absoluto que la gente lo haga".