Un ciudadano chino ha sido acusado en Estados Unidos de llevar a cabo una campaña de phishing «de varios años» para obtener acceso no autorizado a software informático y código fuente creado por la Administración Nacional de Aeronáutica y del Espacio (NASA), universidades de investigación y empresas privadas. Song Wu, de 39 años, ha sido acusado de 14 cargos de fraude electrónico y 14 cargos de robo de identidad agravado. Si es declarado culpable, se enfrenta a una pena máxima de 20 años de cárcel por cada cargo de fraude electrónico y a una pena consecutiva de dos años de prisión por robo de identidad agravado. Trabajaba como ingeniero en la Corporación de la Industria de Aviación de China (AVIC), un conglomerado aeroespacial y de defensa estatal chino fundado en 2008 y con sede en Pekín. Según la información que figura en el sitio web de AVIC, tiene «más de 100 filiales, casi 24 empresas que cotizan en bolsa y más de 400.000 empleados». En noviembre de 2020 y junio de 2021, la empresa y algunas de sus filiales fueron objeto de sanciones estadounidenses, que prohibían a los estadounidenses invertir en la empresa. Se dice que Song llevó a cabo una campaña de phishing que consistía en crear cuentas de correo electrónico para imitar a investigadores e ingenieros con sede en Estados Unidos, que luego se utilizaron para obtener software especializado restringido o propietario para ingeniería aeroespacial y dinámica de fluidos computacional. El software también podría usarse para aplicaciones industriales y militares, incluido el desarrollo de misiles tácticos avanzados y el diseño aerodinámico y la evaluación de armas. Estos correos electrónicos, según alegó el Departamento de Justicia de Estados Unidos (DoJ), se enviaron a empleados de la NASA, la Fuerza Aérea, la Marina y el Ejército de Estados Unidos y la Administración Federal de Aviación, así como a personas empleadas en importantes universidades de investigación en Georgia, Michigan, Massachusetts, Pensilvania, Indiana y Ohio. Los intentos de ingeniería social, que comenzaron alrededor de enero de 2017 y continuaron hasta diciembre de 2021, también apuntaron a empresas del sector privado que trabajan en el campo aeroespacial. Los mensajes fraudulentos supuestamente fueron enviados por un colega, socio, amigo u otras personas de la comunidad de investigación o ingeniería, solicitando a los posibles objetivos que envíen o pongan a disposición el código fuente o el software al que tenían acceso. El Departamento de Justicia no reveló el nombre del software ni el paradero actual del acusado. «Una vez más, el FBI y nuestros socios han demostrado que los cibercriminales de todo el mundo que buscan robar la información más sensible y valiosa de nuestras empresas pueden ser expuestos y serán responsabilizados», dijo Keri Farley, agente especial a cargo del FBI Atlanta. «Como lo demuestra esta acusación, el FBI está comprometido a buscar el arresto y el procesamiento de cualquiera que participe en prácticas ilegales y engañosas para robar información protegida». Coincidiendo con la acusación, el Departamento de Justicia también reveló una acusación separada contra el ciudadano chino Jia Wei, miembro del Ejército Popular de Liberación (EPL), por infiltrarse en una empresa de comunicaciones anónima con sede en EE. UU. en marzo de 2017 para robar información confidencial relacionada con dispositivos de comunicación civiles y militares, desarrollo de productos y planes de prueba. «Durante su acceso no autorizado, Wei y sus co-conspiradores intentaron instalar software malicioso diseñado para proporcionar acceso no autorizado persistente a la red de la empresa estadounidense», dijo el Departamento de Justicia. «El acceso no autorizado de Wei continuó hasta aproximadamente finales de mayo de 2017». El desarrollo se produce semanas después de que la Agencia Nacional contra el Crimen del Reino Unido (NCA) anunciara que tres hombres, Callum Picari, de 22 años; Vijayasidhurshan Vijayanathan, de 21 años; y Aza Siddeeque, de 19 años, se declararon culpables de administrar un sitio web que permitía a los ciberdelincuentes eludir los controles antifraude de los bancos y tomar el control de las cuentas bancarias. El servicio, llamado OTP.agency, permitía a los suscriptores mensuales realizar ingeniería social a los titulares de cuentas bancarias para que revelaran códigos de acceso genuinos de un solo uso o revelaran su información personal. Se dice que el servicio clandestino tuvo como objetivo a más de 12.500 miembros del público entre septiembre de 2019 y marzo de 2021, cuando fue retirado de la red después de que el trío fuera arrestado. Actualmente no se sabe cuántos ingresos ilegales generó la operación durante su existencia. «Un paquete básico que costaba £30 por semana permitía eludir la autenticación multifactor en plataformas como HSBC, Monzo y Lloyds para que los delincuentes pudieran completar transacciones fraudulentas en línea», dijo la NCA. «Un plan de élite costaba £380 por semana y otorgaba acceso a los sitios de verificación de Visa y Mastercard». ¿Te pareció interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.