En esta serie sobre hackers, llegamos a uno de los grandes y más famosos: Kevin Mitnick. Un personaje realmente fascinante, capaz de dominar aspectos tanto tecnológicos como Ingeniería Social, que llegó a lo más alto en el mundo del hacking, cayó y alzó el vuelo de nuevo. Posiblemente la mejor historia de hackers que conozco: espionaje internacional, fugitivos, romance y traiciones.

Hace ya 47 años, en un pueblecito de la soleada California, venía al mundo el retoño del matrimonio Mitnick. Algo que debería ser el comienzo de una infancia felíz, rodeado por gente que te quiere… no lo fue tanto. Apenas unos años después, siendo aún muy niño, los padres de Kevin se divorciaron.

Eso hizo que Kevin se volviera extraordinariamente introvertido, pasando la mayor parte de su tiempo libre encerrado en casa leyendo prácticamente todo lo que pasaba por sus manos, absorbiendo cualquier dato, información o conocimiento por simple que pareciera.

Y el cine, sobre todo el cine. Le apasionaba. Especialmente una película estrenada en 1975 que le marcaría en su futuro: Los tres días del Condor.

En ella, Robert Redford interpretaba a un bibliógrafo de la CIA que un día, al volver a la oficina, encuentra a sus compañeros asesinados. Durante tres días, Joseph “Condor” Turner (Robert Redford), huye de sus perseguidores mientras intenta aclarar lo sucedido.

Le marcó tanto esa película, que adoptó ese nombre en los círculos de Phreakers: Condor

En 1976, con 16 años, Condor consiguió penetrar con éxito a través del sistema de seguridad de su primer objetivo: el ordenador de su instituto donde se almacenaban los expedientes y calificaciones de todos los alumnos.

Siempre dice que fue por curiosidad, y que no cambió nada…

A partir de ese momento, las actividades de Kevin fueron en aumento. En 1981, junto con dos amigos, entraron en las oficinas COSMOS de la Pacific Bell. En método fue simple y sencillo: entraron por la puerta y dijeron al guarda que venían a realizar tareas de mantenimiento en los servidores de bases de datos, pero que habían perdido la tarjeta de acceso.

Les abrieron la puerta y entraron.

Una vez dentro, con un simple “¿me permite usar su terminal un momento?” consiguieron entrar en el sistema, obtener claves de acceso, los códigos de las puertas electrónicas que cerraban el paso, manuales del sistema COSMOS (el cual se utilizaba para mantener un registro de llamadas),…y si alguien preguntaba quien era, él respondía “¿No me conoce? Mi nombre es John Draper“.

Así, Kevin y sus amigos programaron desvíos en varios números de teléfono (recordad que estamos en la era del phreaking… de momento) para poder utilizarlos a su antojo.

Todo parecía ir bien, nadie sospechaba nada, hasta que un directivo de la compañía descubrió su trabajo. Analizando, encontró un buen número de llamadas al teléfono de una chica que resultó ser la novia de uno de los amigos de Kevin. Esta, atemorizada por lo que pudiera pasar, contó todo lo que sabía a la policía.

Mitnick fue detenido, juzgado y condenado a tres meses de cárcel más un año de libertad condicional. A pesar de su aspecto, todavía era menor de edad y eso le salvó de una pena mayor.

Tres meses después de su ingreso en prisión, el directivo salió de su despacho, condujo tranquilamente hacia su casa, se sentó en el sofá y descolgó el teléfono: no había linea. Malhumorado, se levantó y fue a casa de su vecino a pedirle que le dejara usar el teléfono para notificar la avería. Llamó a la Pacific Bell, y lo que ocurrió le dejó atónito:

- Pacific Bell, servicio de averías ¿En que puedo ayudarle?
- Hola, soy el señor Smith (nombre inventado), titular del número 555-555-555. No tengo línea en mi casa.
- Un momento sr. Smith, voy a comprobar los datos.
- De acuerdo, espero….
- ¿Sr. Smith?
- Dígame.
- Lamento informarle que vd. no tiene contratada línea de teléfono con nosotros. Es más, vd. no tiene contratado ese servicio con ningún operador, no figura en ninguno de nuestros archivos y el número que nos ha facilitado jamás ha sido dado de alta.

El Condor se había vengado.
Ya en 1982, los objetivos de Mitnick se volvieron más ambiciosos. El siguiente ataque se preparó mucho mejor y en solitario.

Programó varios desvíos telefónicos, y accedió por módem al North American Air Defense Command (NORAD). Una vez conectado, tomó el control del programa de rastreo de llamadas con el que el sistema identificaba a los usuarios remotos, de tal forma que no pudieran localizarle. (Este ataque forma parte, convenientemente dramatizado y modificando algunos elementos se describe en la película “Juegos de Guerra“)

Tuvo éxito en su intento. A pesar de ser detectado y la comunicación interrumpida, nunca pudieron localizarle.

Sin embargo, no tuvo tanta suerte poco tiempo después. En 1983 utilizando un ordenador de la University of Southern California, conectado a ARPANET, consiguió conectarse al Pentágono. Mientras estaba enfrascado en sus actividades, un policía del campus que había estado observándolo, al reconocerle como uno de los estudiantes más problemáticos de la institución académica, lo detuvo en plena actividad. Eso le costó pasar otros 6 meses en prisión.

Al salir, intentó dar un vuelco a su vida. Encontró novia, se enamoró profundamente de ella y se fueron a vivir juntos.

Todo parecía ir bien, pero una voz le decía que volviera a hacer lo que más le gustaba. Así, en 1987 cayó de nuevo en la tentación y accedió a los sistemas de Microcorp Systems. No sustrajo nada ni causó daño alguno, pero lo acusaron de robo se software y fue sentenciado a tres años de libertad condicional.

Al día siguiente de dictarse sentencia, su expediente y ficha policial desaparecieron misteriosamente de los sistemas de la policía.

Mitnick intentó de nuevo dar un giro radical a su vida, solicitando un empleo en el Security Pacific Bank como administrador de sistemas y seguridad, pero fue rechazado por tener antecedentes penales. Le hervía la sangre. Rechazaban a un experto en seguridad, la persona que mejor podía saber cómo defender una red… por haber demostrado que él era capáz de hacerlo.

Decidió tomar otro camino.

Se alió con un amigo, Lenny DiCicco, para acceder a los laboratorios de investigación de Palo Alto para conseguir una copiar de un sistema operativo enfocado a seguridad que estaba en desarrollo: VMS.

Lo hizo entrando por los accesos telefónicos a la red corporativa de DEC, desde una pequeña empresa donde trabajaba DiCicco, reprogramando los sistemas de rastreo para que no pudieran localizar el origen de los ataques. Su reconfiguración fue tan efectiva, que una noche los agentes del FBI entraron por la fuerza en una casa, pensando que Mitnick estaba dentro… y encontraron un matrimonio sobresaltado que estaba viendo tranquilamente la televisión. Sin embargo, ya se encontraban sobre la pista.

Eso hizo que ha Mitnick le entrase el pánico, y delatase a su amigo pensando que de esa forma se salvaría. Pero DiCicco confesó todo lo que sabía y un equipo de agentes del departamento de seguridad telefónica logró apresarle en 1988.
La defensa del abogado de Mitnick se basó en plantear una adicción a los equipos electrónicos, similar a la que se establece con un drogodependiente, y eso le permitió conseguir una condena de 1 año de prisión y 6 meses alejado de cualquier equipo electrónico.

Puesto en libertad, Mitnick se mudó a Las Vegas y consiguió un empleo de programador informático junior en una empresa de envío de listas de correo. Obviamente, algo muy por debajo de su cualificación, pero creía que ese era el mejor modo de reorientar su vida.
En 1992, se mudó al área del Valle de San Fernando, donde trabajó en la construcción, que dejó al obtener un empleo a través de un amigo de su padre, en la Agencia de Detectives Tel Tec.

Tan pronto como comenzó a trabajar, alguien fue descubierto ilegalmente usando el sistema de la base de datos comercial de la agencia y acusaron a Mitnick  por ello, siendo objeto de una investigación del FBI.

La policía consiguió una orden de registró para su apartamento, y dos meses después un Juzgado Federal pidió el arresto de Mitnick por haber violado los términos de su libertad condicional en 1989. Cuando fueron a detenerle, era demasiado tarde: Mitnick había desaparecido sin dejar rastro alguno, convirtiéndose en un fugitivo.

Llegamos a1994. La telefonía móvil empezaba a ser algo común y accesible a todo el mundo, y Mitnick encontró en ella la forma ideal de no ser localizado: le permitía cambiar rápidamente de sitio, conectarse en lugares donde no había linea telefónica y sobre todo… podía programarlos con relativa facilidad para no ser localizado.

Pero para eso necesitaba información y un equipo conectado a internet para hacer un IP Spoofing y cargar las culpas a otro. Decidió que lo mejor sería utilizar un equipo fuera de Estados Unidos, pero que estuviera lo suficientemente cerca para evitar tiempos de conexión largos. México y Canadá quedaban descartados, ya que había acuerdos en materia de seguridad, y podría verse rodeado sin escapatoria posible.

Así que decidió que su objetivo estaría en Japón. Era la situación ideal: redes de alta velocidad, miles de equipos conectados las 24 horas del día, cantidades de información interesante… y estaba lejos. Lo suficiente como para no sentirse en peligro.

Comenzó a utilizar su habilidad en ingeniería social, y pronto descubrió el nombre de una persona que no sólo sería la victima que necesitaba, si no que además desarrollaba software para teléfonos móviles: Tsutomu Shimomura.

A partir de aqui, averiguar la IP de su ordenador fue fácil, y aguardó pacientemente el momento en el que el equipo no presentaba apenas actividad para proceder al ataque.

Cuando llegó, comenzó a trabajar en ello y consiguió lo que necesitaba.

Al regresar de un viaje a San Francisco, Shimomura vió algo extraño en su ordenador..

Alguien había entrado en su equipo con una técnica realmente sofisticada, y eso llamó su atención porque él precisamente era un experto en seguridad, y nadie había conseguido hacer eso antes.
Comenzó a comprobar cómo lo habían logrado entrar en su sistema, y descrubrió el rastro de Mitnick, que no sólo había tomado el control de su equipo, si no que había copiado todo el correo confidencial, software y herramientas de desarrollo para móviles, herramientas de seguridad para internet y otras utilidades que almacenaba en él.

Desde ese instante, Shimomura se marcó un nuevo objetivo en su vida: detener a Kevin Mitnick.
Ya había realizado ese trabajo antes. Es más, era bien conocido por la policía japonesa por haber puesto en bandeja la cabeza de otros delincuentes… pero esto entraba en lo personal.

Un año más tarde, con la paciencia exquisita que sólo un Japonés puede tener, encontró su software en un ISP de California, desde el cual se habían lanzado ataques a Apple, Motorola y Qualcomm. Rastrearon el origen de la conexión, y vieron que esta pasaba por un segundo ISP situado en Raleigh.

A este, se habían conectado utilizando un teléfono movil.

Sin perder tiempo, Shimomura facilitó la información al FBI, que determinó la posición del teléfono en un edificio de apartamentos de Raleigh. Mitnick fue arrestado el 15 de febrero de 1995.

Shimomura estaba orgulloso por el trabajo que había realizado. Había conseguido detener a uno de los delincuentes más buscados de Estados Unidos. Así que, tranquilamente fue a celebrarlo y volvió a su casa varias horas después.

Cuando entró en su apartamente, vió como el contestador parpadeaba indicando que tenía varios mensajes. Pulsó el botón para reproducirlos… era  Kevin Mitnick.
Y no había un mensaje, ni dos, ni tres, si no decenas. Pero lo extraño del caso no era eso: las llamadas se habían realizado horas después de la detención de Mitnick.

Kevin Mitnick fue acusado de robo de software, fraude electrónico, daño a los ordenadores de la University of Southern California, robo de archivos, intercepción de mensajes de correo electrónico, posesión de material confidencial… Entre los abogados de la acusación se encontraban los representantes de Nokia, Fujitsu, Nec, Novell, Sun Microsystems, Motorola, Apple…

Fue condenado a 5 años de cárcel, sin posibilidad de fianza o libertad provisional en una prisión federal, y 3 años más de libertad vigilada prohibiéndole acceder a cualquier tipo de ordenador, teléfono móvil, televisión, o aparato electrónico que pudiera conectarse a internet, con una orden adicional de alejamiento de estos dispositivos de un mínimo de 200 metros.

Mitnick no perdió el tiempo. Creó Defensive Thinking, una consultoría sobre seguridad, y escribió su historia en el libro “The art of deception“, seguido por un segundo volumen titulado “The art of intrusion“.

Su historia dio lugar al guión de la película TakeDown, donde se cuenta la historia de su captura.

En la actualidad, Mitnick continúa trabajando como consultor de seguridad, dando conferencias, y como dato curioso, posee una de las tarjetas de visitas más buscadas del mundo: