Spyhide era una aplicación de monitoreo telefónico que facilitaba la vigilancia de decenas de miles de propietarios de dispositivos Android en todo el mundo. El stalkerware como este se instala en el teléfono de una víctima, a menudo por alguien que conoce su código de acceso, y luego roba de forma continua contactos, mensajes, fotos, registros de llamadas, grabaciones e historial de ubicación detallado.
En 2023 un hackeo expuso la operación y a los administradores que se lucraban con ella, y el sitio web de Spyhide desapareció de internet, pero su servidor de back-end, alojado en un dominio completamente distinto, siguió en línea y continuó comunicándose con los teléfonos que estaba monitoreando. Eso permitió a los administradores relanzarse a finales de julio de 2023 como Oospy sin perturbar el espionaje en sí.
El segundo acto duró semanas. TechCrunch identificó a dos administradores, entre ellos Mohammad (Mojtaba) Arasteh, quien confirmó que había trabajado en el proyecto "hace varios años como programador", pero negó tener relación con Oospy. Un error en la página de pago de Oospy expuso el nombre del titular de la cuenta en la dirección de PayPal que recibía los pagos de los clientes, y Oospy pronto dejó de aceptar PayPal. El 5 de octubre de 2023, el proveedor de alojamiento web Hetzner puso fuera de línea el servidor de back-end —que almacenaba datos telefónicos robados de miles de dispositivos Android— por violar sus términos de servicio, lo que puso fin a la capacidad de funcionamiento de la operación.
Al menos 60.000 víctimas en todo el mundo, incluidas miles en EE. UU.; el cambio de marca sobrevivió semanas antes de que el proveedor de alojamiento del servidor rescindiera el contrato.
El cambio de marca mantuvo vivo el back-end quemado en su dominio original, por lo que la misma infraestructura siguió siendo un objetivo y un rastro.
La economía del stalkerware funcionaba sobre rieles convencionales: PayPal procesaba los pagos de los clientes pese a las políticas que prohíben el spyware, y esa dependencia se convirtió en la segunda exposición.
La exposición se agravó una vez que los investigadores nombraron a los administradores: cada detalle operativo, hasta un apellido familiar compartido en una cuenta de PayPal, se convirtió en evidencia.
El proveedor de alojamiento web fue la contraparte que ningún cambio de marca pudo reemplazar: Hetzner hizo cumplir sus términos de servicio y apagó el servidor.
Un cambio de marca arregla el nombre, no la filtración: el mismo back-end, los mismos rieles de pago y los mismos errores operativos te descubrirán una segunda vez.
El sitio web de Oospy quedó completamente fuera de línea poco después de que TechCrunch contactara a Arasteh, y el apagado del servidor marcó el fin de la capacidad de operar de Spyhide y Oospy, por ahora. Siguieron al stalkerware polaco LetMeSpy, que cerró tras una brecha de datos en junio de 2023, y a SpyTrac, una de las mayores aplicaciones de spyware para Android conocidas, que desapareció después de que una investigación de TechCrunch la vinculara con Support King, el fabricante que la FTC había prohibido en la industria de la vigilancia tras una brecha anterior.
CONSULTA LAS PRUEBAS
Las fuentes
- Hacked phone spyware shuts down… again TechCrunch · techcrunch.com ·