"Pensé que lo que hacía no era un delito"
Por Mercè Molist (*)

Absuelto un hacker sospechoso de haber asaltado 40 empresas y organismos públicos. "Quickbasic" no dañaba los sistemas informáticos y avisaba a los administradores de los fallos que tenían.

Juan Pablo Corujo, un joven de Pontevedra de 33 años, practicaba una curiosa forma de asaltar ordenadores: no provocaba daños y avisaba del agujero por el que había entrado a los administradores, ofreciéndoles su dirección de correo electrónico. Esta buena fe, junto a la falta de pruebas para demostrar la mayoría de intrusiones de que se le acusaba, ha sido determinante para que una juez le haya absuelto de todos los cargos, que podían haberle llevado a prisión.

La Guardia Civil detuvo a Juan Pablo Corujo en mayo de 2001. Acusaban a "Quickbasic", como se le conocía en Internet, de modificar la web del ministerio de Hacienda, sustituyéndola por un texto que ponía en duda la profesionalidad de sus administradores. El joven lo admitió, así como haber entrado en el servidor web del diario "ABC", donde introdujo una noticia falsa que estuvo en portada diez segundos. En ambos sitios no causó daños y dejó una nota, explicando cómo reponer las portadas antiguas y qué fallo había aprovechado para entrar.

"Les dejé mi nombre, apodo y dirección de correo electrónico, por si querían contactar conmigo y, para mi sorpresa, quien me contactó fue la Guardia Civil. No me lo esperaba. Quizá una multa pero no que pidiesen prisión, ni que enviasen un comando de Madrid a detenerme. El fallo que aproveché para entrar era muy conocido, un error de los servidores web de Microsoft: con un simple navegador podías listar el contenido de todo el disco duro y, con un poco más de conocimiento, tomar el control", explica. Curiosamente, la Guardia Civil no siguió su pista por la dirección de correo que dejó en los servidores asaltados sino por el apodo "Pablo", que usaba en la red de chats IRC-Hispano.

Según los agentes, en la web de Hacienda "copió una pequeña base de datos de clientes que habían comprado bonos del Estado, con su nombre, DNI y algo más". Pero esta lista no se localizó en el análisis posterior del ordenador del joven. En cambio, los agentes encontraron información de más de 40 empresas y organismos públicos que parecían haber sido víctimas o futuros objetivos de "Quickbasic", entre ellas la Conferencia Episcopal, el Corte Inglés, Telefónica, la Tesorería de la Seguridad Social, el Centro de Investigaciones Sociológicas o Endesa. Destacaba una base de datos con nombres y direcciones electrónicas de 3.505 suscriptores del boletín del Partido Popular y 900 personas vinculadas al partido, entre ellas senadores y congresistas.

"Quickbasic" afirmó que lo había copiado todo de un ordenador de Estados Unidos, no de los sitios originales. La Guardia Civil se puso en contacto con las 40 empresas y organismos, pero la mayoría no presentaron cargos, por no haber detectado intrusiones ni daños en sus sistemas. Sólo le acusaron formalmente el Partido Popular, la Tesorería de la Seguridad Social y la Universidad de Santiago de Compostela, aunque no había pruebas fehacientes de estas intrusiones porque, según la sentencia, "eran archivos muy antiguos y el Partido Popular y estas empresas ya los tenían borrados".

El PP pedía cuatro años de prisión y que se le abonasen los gastos de la auditoria que llevó a cabo en sus ordenadores, así como la compra de programas para asegurar sus sistemas. "Quickbasic" afirma: "En el juicio, su abogado me preguntó por qué no había entrado también en máquinas socialistas, quería convertirlo en un caso político pero a mi no me interesa la política. Lo que me interesaba era llamar la atención de lo inútiles que eran los administradores. Modificar las webs era como una pintada de protesta, con el añadido que por sí misma la "pintada" demostraba su incompetencia".

El joven participó activamente en su defensa, llamando una por una a las 40 empresas y organismos que aparecían en su ordenador, para pedirles que no le denunciasen. También salió en el programa "Alerta 112" de Antena 3, para mostrar los métodos que había usado en sus intrusiones y lo sencillo que había sido. Este vídeo acabó constando como prueba en el juicio.

La sentencia absuelve a Juan Pablo Corujo por no haber pruebas de las intrusiones ni tampoco daños en las dos que se han demostrado. Y marca jurisprudencia en el controvertido tema de si es lícito que los hackers informen de las vulnerabilidades que descubren: "Dudamos de que se quisieran dañar los sistemas informáticos en un caso en que su autor manifiesta que sólo pretendía advertir de la existencia de fallos de seguridad, por lo que dejó todo un rastro y señas de identidad, pretendiendo que se pusiesen en contacto con él". Según el abogado defensor, Carlos Sánchez Almeida, "se confirma que si el hacker no causa daños ni obtiene secretos, sólo denuncia una vulnerabilidad, no hay delito".

De todas formas, a "Quickbasic", que hoy trabaja de comercial de informática y está más interesado en la robótica que en la exploración de vulnerabilidades, se le han pasado las ganas de hacer de justiciero: "Fui un ingenuo al pensar que lo que hacía no era un delito, como me intentaron achacar. No recomiendo en absoluto que la gente lo haga".

(*) Copyleft 2005 Mercè Molist.
Verbatim copying, translation and distribution of this entire article is permitted in any medium, provided this notice is preserved.

(c) Video Soft
(c) VSAntivirus