Después de varios años leyendo sobre Tank y meses organizando una visita a su prisión en Colorado, escucho el sonido de la puerta al abrirse antes de verlo entrar.
Me pongo de pie, preparado para recibir formalmente a este exjefe del cibercrimen.
Sin embargo, con la picardía de un personaje de dibujos animados, asoma la cabeza desde detrás de una columna con una amplia sonrisa y me lanza un guiño.
Tank, cuyo nombre verdadero es Vyacheslav Penchukov, llegó a la cumbre del mundo criminal cibernético no tanto por sus habilidades técnicas, sino por su carisma.
"Soy alguien amable, hago amigos con facilidad", comenta el ucraniano de 39 años mostrando una sonrisa amplia.
Se considera que sus relaciones influyentes fueron un factor clave para que Penchukov evitara la captura por parte de la policía durante tanto tiempo.
Permaneció cerca de una década en la lista de los más buscados por el FBI y fue líder de dos bandas distintas en diferentes momentos de la historia del cibercrimen.
Resulta inusual conversar con un delincuente cibernético de alto rango que dejó tras de sí un gran número de víctimas; Penchukov nos otorgó una entrevista de seis horas distribuidas en dos días, como parte de la serie de podcasts Cyber Hack: Evil Corp.
Esta entrevista exclusiva —la primera que concede Penchukov— expone el funcionamiento interno de estas bandas cibernéticas destacadas, la mentalidad de ciertos integrantes y detalles inéditos sobre hackers activos, incluido el presunto líder del grupo ruso Evil Corp, objeto de sanciones internacionales.
Las autoridades tomaron más de 15 años para lograr arrestar a Penchukov en una operación dramática realizada en Suiza en 2022.
"Había francotiradores en el techo y la policía me tiró al suelo, me esposó y me cubrió la cabeza con una bolsa en plena calle, delante de mis hijos. Estaban aterrados", recuerda con resentimiento.
Aún conserva rencores por el modo en que se realizó su arresto, calificándolo de excesivo.
Sus miles de víctimas a nivel mundial tendrían una opinión totalmente contraria: Penchukov y las bandas que lideró o integró les robaron sumas que alcanzan decenas de millones de dólares.
A finales de los años 2000, él y la infame banda Jabber Zeus utilizaron tecnología avanzada para delinquir en el ciberespacio, robando directamente desde las cuentas bancarias de pequeñas empresas, gobiernos locales e incluso algunas organizaciones sin fines de lucro.
Las víctimas observaron cómo sus fondos se esfumaban y sus estados financieros colapsaban. Solo en Reino Unido, se registraron más de 600 víctimas que sufrieron pérdidas superiores a 4 millones de libras (alrededor de US$5,2 millones) en tres meses.
Entre 2018 y 2022, Penchukov dirigió su vista a objetivos mayores, integrándose al creciente ecosistema de ransomware con grupos que atacaban multinacionales e incluso un hospital.
En el Centro Correccional de Englewood, donde Penchukov cumple condena, no se permitió el ingreso con dispositivos de grabación, por lo que un productor y yo tomamos notas durante la entrevista supervisados por un guardia cercano.
De videojuegos al cibercrimen
Una de las cosas que más llama la atención de Penchukov es que, aunque muestra ansias por recuperar su libertad, mantiene un buen humor y aprovecha intensamente su tiempo en prisión.
Menciona que practica deporte con regularidad, está estudiando francés e inglés —un diccionario ruso-inglés muy usado permanece a su lado durante nuestra conversación— y está obteniendo varios títulos de bachillerato.
“Debe ser inteligente”, le comento. “No lo suficiente; estoy en la cárcel”, responde con humor.
Englewood es una prisión de baja seguridad con instalaciones adecuadas. El complejo, de una sola planta pero extenso, se sitúa en las faldas de las Montañas Rocosas en Colorado.
Las áreas de césped polvoriento que rodean la prisión están llenas de ruidosos perros de la pradera que se ocultan rápidamente en sus túneles cuando los vehículos del penal circulan cerca.
Muy lejos queda Donetsk, Ucrania, donde Tank fundó su primera banda de hackers tras iniciarse en el hacking a través de foros donde se compartían trampas para juegos, buscando información para obtener ventajas en títulos como FIFA 99 y Counter-Strike.
Se convirtió en el líder de la prolífica banda Jabber Zeus, nombrada así por el uso del avanzado malware Zeus y su canal de comunicación preferido, Jabber.
Penchukov operaba con un pequeño equipo de hackers, entre ellos Maksim Yakubets, ruso sancionado más adelante por EE.UU., acusado de encabezar la conocida agrupación cibernética Evil Corp.
Penchukov asegura que, a finales de los 2000, Jabber Zeus operaba desde una oficina en el centro de Donetsk, con jornadas de seis a siete horas enfocadas en robar fondos a víctimas ubicadas en el extranjero.
Finalizaba sus días como DJ en la ciudad, usando el nombre artístico DJ Slava Rich.
Él relata que en ese período el cibercrimen significaba dinero fácil, pues las entidades bancarias no sabían cómo defenderse y las fuerzas policiales de Estados Unidos, Ucrania y Reino Unido estaban desbordadas.
Con poco más de veinte años, ganaba tal cantidad que adquiría automóviles nuevos tan frecuentemente como ropa. Poseía seis vehículos de alta gama, todos fabricados en Alemania.
Sin embargo, la policía logró un avance cuando interceptó las conversaciones de texto de los criminales en Jabber y descubrió la verdadera identidad de Tank gracias a datos que compartió acerca del nacimiento de su hija.
La red se cerró en torno a Jabber Zeus, y una operación del FBI llamada Trident Breach culminó en arrestos en Ucrania y Reino Unido.
Pero Penchukov logró huir gracias a una advertencia de una persona que prefiere mantenerse anónima, y a uno de sus autos deportivos.
"Tenía un Audi S8 con motor Lamborghini de 500 caballos y, al ver las luces policiales en el retrovisor, pasé un semáforo en rojo y los dejé atrás con facilidad. Fue mi oportunidad para probar toda la potencia de mi vehículo", comenta.
Permaneció escondido con un amigo durante un tiempo, pero cuando el FBI se retiró de Ucrania, las autoridades locales parecían perder interés en su caso.
Por eso, Penchukov siguió bajo perfil y, según relata, intentó reformarse. Fundó una empresa dedicada a la compra y venta de carbón, aunque el FBI continuaba tras sus pasos.
"Estaba de vacaciones en Crimea cuando un amigo me avisó que había sido incluido en la lista de los más buscados del FBI. Pensaba que ya había escapado de todo, pero comprendí que tenía un nuevo problema", relata, usando un eufemismo.
Fuente de la imagen, FBI
Su abogado aquel entonces le transmitió tranquilidad y le dijo que no debía preocuparse: mientras no abandonara Ucrania o Rusia, la policía estadounidense tenía poco alcance.
Las autoridades ucranianas finalmente acudieron a su domicilio, pero no para arrestarlo.
Penchukov había sido identificado como un hacker acaudalado buscado en Occidente y afirma que casi a diario funcionarios lo extorsionaban.
Su empresa de compraventa de carbón prosperaba hasta la invasión rusa de Crimea en 2014.
Los denominados «hombrecitos verdes» de Putin –soldados rusos sin insignias– arruinaron su negocio, y misiles detonaron cerca de su apartamento en Donetsk, dañando la habitación de su hija.
El auge del ransomware
Penchukov indica que los problemas comerciales junto con los constantes sobornos a funcionarios ucranianos lo llevaron a reactivar su computadora portátil y retomar su carrera delictiva en el ciberespacio.
"Decidí que era la manera más rápida para obtener dinero y poder pagarles", explica.
Su experiencia refleja la transformación del cibercrimen actual: desde el robo rápido y sencillo de cuentas bancarias hasta el ransomware, el tipo de ciberataque más dañino hoy en día, presente este año en ciberataques significativos, como el sufrido por la reconocida cadena británica Marks & Spencer.
Menciona que el ransomware requería más esfuerzo, pero la rentabilidad era considerable. "La ciberseguridad había avanzado mucho, pero aún así logramos generar unos US$200.000 mensuales. Ganancias muy superiores", dice.
Relata, en una anécdota ilustrativa, los rumores sobre un grupo que obtuvo US$20 millones de un hospital paralizado por un ataque de ransomware.
Penchukov comenta que la noticia motivó a cientos de hackers en foros criminales, quienes luego atacaron hospitales en EE.UU. con la esperanza de duplicar esa suma.
Estas comunidades de hackers presentan una “mentalidad de rebaño”, señala: "No les importa el ámbito médico; lo único que ven es que alguien recibió US$20 millones".
Fuente de la imagen, EPA
Penchukov reconstruyó su red de contactos y habilidades hasta posicionarse como un miembro clave en servicios de ransomware como Maze, Egregor y el activo grupo Conti.
Al preguntarle si estos grupos criminales tenían vínculos con los servicios de seguridad rusos —una acusación común en Occidente—, Penchukov respondió encogiéndose de hombros: "Por supuesto".
Afirmó que algunos integrantes de bandas de ransomware mencionaban ocasionalmente comunicarse con “sus contactos” en agencias de seguridad rusas, como el FSB.
La BBC consultó a la embajada rusa en Londres sobre si el gobierno o sus servicios de inteligencia apoyaban a ciberdelincuentes para facilitar el ciberespionaje, sin recibir respuesta.
Penchukov pronto ascendió de nuevo y se convirtió en líder de IcedID, banda que infectó más de 150.000 computadoras con malware y ejecutó diversos ciberataques, incluyendo ransomware.
Dirigía un grupo dedicado a analizar las computadoras comprometidas para identificar la mejor forma de obtener ganancias financieras.
Una víctima de un ataque con ransomware en 2020 fue el Centro Médico de la Universidad de Vermont, EE.UU. Según la Fiscalía, el incidente ocasionó pérdidas superiores a US$30 millones e interrumpió los servicios esenciales a pacientes por más de dos semanas.
Aunque no hubo muertes, la Fiscalía sostiene que el ataque, que afectó 5.000 computadores del hospital, representó un riesgo serio de muerte o lesiones graves para los pacientes.
Penchukov niega ser el responsable de ese ataque, afirmando que solo lo admitió para reducir su sentencia.
En términos generales, Penchukov, quien cambió su apellido a Andreev, considera que las dos condenas concurrentes de nueve años son excesivas respecto a sus acciones (espera obtener libertad anticipada).
También se le impuso pagar US$54 millones en indemnizaciones a las víctimas.
Incredulidad y horror
Fuente de la imagen, FBI
Su visión, como joven hacker que se inició en el cibercrimen desde adolescente, es que las empresas y personas occidentales podían permitirse pérdidas económicas y que, además, todo estaba cubierto por seguros.
Sin embargo, al hablar con una de sus primeras víctimas de la época de Jabber Zeus, queda evidente que sus ataques causaron impactos negativos en personas inocentes.
Lieber’s Luggage, un negocio familiar en Albuquerque, Nuevo México, sufrió el robo de US$12.000 en un solo ataque por parte de la banda. La propietaria, Leslee, todavía recuerda la conmoción años después.
"Fue una experiencia de incredulidad y horror cuando el banco nos llamó, porque no teníamos idea de lo ocurrido, y el banco, evidentemente, tampoco", relata.
Aunque la suma era modesta, resultó devastadora para la empresa, pues el dinero se usaba para pagar alquiler, adquirir mercancía y remunerar empleados.
No disponían de ahorros y, para empeorar, la madre mayor de Leslee, encargada de la contabilidad, se culpó hasta descubrirse el robo.
"Sentimos de todo: rabia, frustración y miedo", dice.
Al preguntarles qué mensaje tendrían para los hackers responsables, consideran inútil intentar cambiar la mentalidad de estos delincuentes insensibles.
"No hay nada que podamos decir que les afecte", señala Leslee.
"Ni siquiera dedicaría un minuto a eso", añade su esposo, Frank.
Penchukov admite que no pensaba en las víctimas entonces, y parece que tampoco ahora.
El único destello de remordimiento durante la conversación apareció al hablar de un ataque con ransomware contra una organización benéfica para niños con discapacidad.
Su único arrepentimiento parece ser haber confiado demasiado en sus colegas hackers, lo que terminó provocando su captura y la de muchos otros delincuentes.
"En el cibercrimen no se pueden hacer amigos, porque al día siguiente los arrestan y se convierten en informantes", comenta.
"La paranoia es una constante compañera de los hackers", agrega. Pero el éxito trae errores.
"Si te dedicas mucho tiempo al cibercrimen, pierdes tu agudeza", dice con nostalgia.
Para enfatizar la traición habitual en ese mundo, Penchukov asegura que evitó todo contacto con su antiguo socio y amigo en Jabber Zeus, Maksim Yakubets, luego de que este fuera expuesto y sancionado en 2019 por autoridades occidentales.
Penchukov comenta que notó un cambio importante en la comunidad hacker, pues muchos esquivaban colaborar con Yakubets y diversos supuestos miembros de Evil Corp.
Antes solían frecuentar Moscú para salir a restaurantes lujosos. “Tenía guardaespaldas, lo que me pareció extraño; parecía querer presumir de su fortuna”, comenta.
A pesar del ostracismo, Evil Corp siguió activo y el año pasado la Agencia Nacional contra el Crimen de Reino Unido acusó a otros miembros de la familia Yakubets como partícipes de una década de delitos, sancionando a 16 miembros de la organización.
Pero, a diferencia de Penchukov, las probabilidades de que la policía capture a Yakubets o sus colegas son escasas.
Con una recompensa de US$5 millones por información que conduzca a su captura, es improbable que Yakubets y sus aliados cometan el error de Penchukov de abandonar el país.