El caso Santiago Cervera y el correo anónimo de la red TOR

Ayer en la radio me tocó comentar el caso del diputado Santiago Cervera, cuya historia está ya en todos los medios de comunicación nacionales. Para los que sean de fuera el resumen ejecutivo es que un político que había dado mucha caña en el pasado a los dirigentes de la Caja de Navarra recibió un correo anónimo en el que le iban a dar un sobre con información comprometedora de la caja. Este correo era anónimo y, aunque el supuestamente contestó que era inaceptable el método de comunicación, fue al encuentro.

Como era un encuentro anónimo, se le ocurrió la idea de recoger el sobre a lo Wikileaks o J.J. Benitez donde se lo habían supuestamente dejado y lo hizo ocultándose la cara con una gorra y una bufanda, pero... sorpresa, le detuvo la Guardia Civil y el sobre tenía 50.000 € en metálico. Fiesta.

Por otro lado, desde la CAN se dice haber recibido otro correo, en este caso desde una cuenta de Gmail, en el que se solicita dinero como chantaje, algo que denunciaron a los cuerpos de seguridad del estado para que, el día que se entregaba el dinero del chantaje, la persona que lo recogiera fuera detenido... y mira tú por donde, que se detuvo al politico citado anteriormente.

La historia tiene tintes de novela negra, pero lo que más llama la atención en este asunto son los correos electrónicos cruzados, ya que el supuestamente - que debe ser confirmado por los registros de correo de Gmail - viene de un servidor de correo electrónico de la red TOR (torservers.net), tal y como se puede ver en la imagen siguiente.

Figura 1: Los correos electrónicos con la entrega de información.

Por otro lado, el otro mensaje - el de la petición de chantaje - viene desde una cuenta de Gmail, que también deberá ser confirmado por los peritajes judiciales que se hagan... y he aquí las bases de la historia, y lo que llama la atención de todo esto.

Mientras que en los casos recientes del caso de la agenda de teléfonos de Pipi - que al final resulta que perdió un teléfono al que no había puesto ni passcode - o de la Universidad de Deusto, donde al final muchas fotos eran fakes, parece que en este caso sí que ha habido alguien de por medio que sabía algo de seguridad informática y anonimato, ya que la red TOR no es conocida por todo el mundo - aunque sí por mucha gente -.

Si una persona normal piensa en hacerse un correo anónimo, lo que hace es irse en coche a otra ciudad, conectarse con una distribución LiveCD a una red WiFi pública, abrir una cuenta en Gmail, Yahoo! o Hotmail con datos falsos, y enviar desde allí los correos. Usar una cuenta implica el salto de 1) saber qué es la red TOR y 2) haber instalado el software de conexión y probado el sistema de cuentas de correo anónimas.

Abrir un correo anónimo en la red TOR tampoco es que sea muy complicado, basta con instalarse el cliente TOR, abrir el navegador y conectarse a algún buscador como TORCH o The Abyss para localizar algún servicio de correo en TOR.

Figura 2: The Abyss, un buscador en los dominios .onion

Yo me conecté a TORMail, que ofrece acceso anónimo por la red TOR en http://jhiwjjlqpyawmpjx.onion/ y me cree una cuenta de prueba, para lo que no se te solicita nada de información, y en 3 minutos tenía la cuenta abierta.

Figura 3: Abrir una cuenta en TorMail no requiere ningún dato

Para más seguridad para los que no se fían de JavaScript - y hacen bien después de ver cómo es posible hacer una botnet con JavaScript - o los bugs de XSS que aparecen en los clientes como Round Cube, puedes usar una versión sin Javascript de Squirrel Mail.

Figura 4: Conexión desde Round Cube o Squirrel Mail sin Javascript

Este tipo de correos son muy habituales en la "Deep Web", donde se usan para ofrecer servicios tan vario pintos como el asesinato de políticos y mafiosos.

Figura 5: Asesino en oferta en la red TOR

O para la compra de armas a través de Internet.

Figura 6: Compra de armas

Dicho esto, no voy a entrar a valorar quién está contando la historia de verdad, pero esto se puede poner mucho más divertido si se demuestra que la cuenta de Gmail usada para enviar el correo de la supuesta extorsión es de alguien que la usó desde el equipo del político. Y digo esto, porque, si hay que hacer una encerrona en modo profesional, hay que robar la password de Gmail de una cuenta auténtica para enviar el correo desde ella y que cuando los peritos verifiquen el correo de Gmail de la extorsión pase la primera prueba.

Vamos a esperar a ver que dicen los peritajes judiciales, que podemos estar ante el caso más sencillo de pillar a un político corrupto o ante una encerrona con los servicios de un cyber-delincuente que sabe lo que se hace.

Saludos Malignos!