Matón Cibernético del Reino Unido "PlugwalkJoe" Recibe 5 Años de prisión

Joseph James "PlugwalkJoe" O'Connor, un joven de 24 años del Reino Unido que ganó sus 15 minutos de fama al participar en el hack de julio de 2020 de En Twitter, ha sido sentenciado a cinco años en una prisión de los Estados Unidos. Eso puede parecer un duro castigo por un breve y muy público paseo de alegría cibernética. Pero O'Connor también se declaró culpable en una investigación separada que involucró una ola de años de acoso cibernético y robo de criptomonedas habilitado por "Intercambio de SIM, "un delito en el que los estafadores engañan a un proveedor de telefonía móvil para que desvíe las llamadas telefónicas y los mensajes de texto de un cliente a un dispositivo que controlan.

Joseph "PlugwalkJoe" O'Connor, en una foto de un comunicado de prensa de Globe Newswire de septiembre de 2018. 02 de febrero de 2020, presentando a O'Connor como experto y asesor en criptomonedas.

El 16 de julio de 2020, el día después de que algunos de los usuarios más reconocidos y populares de Twitter tuvieran sus cuentas pirateadas y utilizadas para tuitear una estafa de bitcoin, KrebsOnSecurity observado que varias cuentas de redes sociales vinculadas a O'Connor parecían tener conocimiento interno de la intrusión. Esa historia también señaló que gracias a los bloqueos de COVID-19 en ese momento, O'Connor estaba atrapado en unas vacaciones indefinidas en un popular resort en España.

No mucho después del hackeo de Twitter, O'Connor fue citado en The New York Times negar cualquier participación. "No me importa", dijo O'Connor al Times. "Pueden venir a arrestarme. Me reiría de ellos. No he hecho nada.”

Hablando con KrebsOnSecurity a través de un mensaje instantáneo de Instagram pocos días después del hackeo de Twitter, PlugwalkJoe exigió que su nombre real se mantuviera fuera de futuras publicaciones de blog aquí. Después de que le dijeron que eso no se podía prometer, comentó que se sabía que algunas personas en su círculo de amigos contrataban a otros para que golpearan físicamente a personas que no les gustaban.

O'Connor todavía estaba en España un año después cuando los fiscales del Distrito Norte de California lo acusaron de conspirar para hackear Twitter. Al mismo tiempo, los fiscales del Distrito Sur de Nueva York acusaron a O'Connor de una impresionante variedad de delitos cibernéticos que involucran la explotación de cuentas de redes sociales, extorsión en línea y acoso cibernético, y el robo de criptomonedas valoradas en casi USD $800,000.

A fines de abril de 2023, O'Connor fue extraditado de España para enfrentar cargos en los Estados Unidos. Dos semanas después, se declaró culpable tanto en California como en Nueva York, admitiendo los diez cargos penales que se le imputaban. El 23 de junio, O'Connor fue condenado a cinco años de prisión.

PlugwalkJoe formaba parte de una comunidad que se especializaba en el intercambio de SIM de víctimas para hacerse cargo de sus identidades en línea. Intercambio de SIM no autorizado es un esquema en el que los estafadores engañan o sobornan a los empleados de las compañías de telefonía inalámbrica para que redirijan los mensajes de texto y las llamadas telefónicas del objetivo a un dispositivo que controlan.

A partir de ahí, los atacantes pueden restablecer la contraseña de cualquiera de las cuentas en línea de la víctima que permiten restablecer la contraseña a través de SMS. El intercambio de SIM también permite a los atacantes interceptar contraseñas de un solo uso necesarias para la autenticación multifactor (MFA) basada en SMS.

O'Connor admitió haber realizado ataques de intercambio de SIM para tomar el control de cuentas financieras vinculadas a varios ejecutivos de criptomonedas en mayo de 2019, y haber robado moneda digital valorada actualmente en más de USD 1,6 millones.

PlugwalkJoe también tuvo problemas para intercambiar tarjetas SIM en las cuentas de Snapchat de varias celebridades femeninas y amenazó con publicar fotos de desnudos encontradas en sus teléfonos.

Las víctimas que se negaron a renunciar a las cuentas de las redes sociales o a someterse a demandas de extorsión a menudo fueron visitadas con "ataques de aplastamiento", en los que O'Connor y otros informaban falsamente de un tiroteo o una situación de rehenes con la esperanza de engañar a la policía para que visitara una fuerza potencialmente letal en la dirección de un objetivo.

Los fiscales dijeron que O'Connor incluso golpeó y acechó cibernéticamente a una niña de 16 años, enviándole fotos desnuda y amenazando con violarla y/o asesinarla a ella y a su familia.

En el caso del hackeo de Twitter, O'Connor se declaró culpable de conspiración para cometer intrusiones informáticas, conspiración para cometer fraude electrónico y conspiración para cometer lavado de dinero.

La cuenta "@ shinji", también conocida como "PlugWalkJoe", tuiteó una captura de pantalla de la interfaz de herramientas internas de Twitter, el 15 de julio de 2020.

Para resolver el caso en su contra en Nueva York, O'Connor se declaró culpable de conspiración para cometer intrusiones informáticas, dos cargos de cometer intrusiones informáticas, hacer comunicaciones extorsivas, dos cargos de acecho y hacer comunicaciones amenazantes.

Además de la pena de prisión, O'Connor fue sentenciado a tres años de libertad supervisada y se le ordenó pagar forf 794,012.64 en confiscación.

Para ser claros, el truco de Twitter de julio de 2020 no implicó el intercambio de SIM. Más bien, Twitter dijo que los intrusos engañaron a un empleado de Twitter por teléfono para que proporcionara acceso a herramientas internas.

Otros tres fueron acusados junto con O'Connor en el compromiso de Twitter. El presunto autor intelectual del hackeo, entonces de 17 años Graham Ivan Clarke de Tampa, Florida., se declaró culpable en 2021 y acordó cumplir tres años de prisión, seguidos de tres años de libertad condicional.

Esta historia es un buen recordatorio sobre la necesidad de minimice su dependencia de las compañías de telefonía móvil para proteger su identidad en línea. Esto significa reducir la cantidad de formas en que su vida podría ponerse patas arriba si alguien lo hiciera secuestra tu número de teléfono móvil.

La mayoría de los servicios en línea requieren que los usuarios validen un número de teléfono móvil como parte de la configuración de una cuenta, pero algunos servicios le permitirán eliminar su número de teléfono después del hecho. Aquellos servicios que le permiten eliminar su número de teléfono o deshabilitar SMS/ llamadas telefónicas para la recuperación de la cuenta probablemente también ofrezcan opciones de autenticación multifactor más seguras, como contraseñas de un solo uso basadas en aplicaciones y llaves de seguridad. Echa un vistazo 2fa.directorio para obtener una lista de opciones de múltiples factores disponibles en cientos de sitios y servicios populares.