La "brecha catastrófica" de Ubiquiti fue una trama de extorsión con 50 bitcoins de su propio ingeniero

El 10 y 11 de enero de 2021, Ubiquiti envió un correo electrónico a sus clientes en el que les informaba de que un tercero no autorizado había accedido a "sistemas de tecnología de la información alojados por un proveedor de servicios en la nube externo" y de que no podía tener la certeza de que los datos de los clientes —nombres, correos electrónicos, contraseñas cifradas de un solo sentido, direcciones y números de teléfono— no se hubieran visto expuestos. El correo contenía errores tipográficos, por lo que muchos destinatarios supusieron que se trataba de phishing, y la empresa tuvo que confirmar su autenticidad en su foro comunitario. Las acciones cayeron y el BSI alemán aconsejó a los usuarios que cambiaran sus credenciales.

El 30 de marzo de 2021, Ubiquiti envió una comunicación de seguimiento: el atacante había accedido a sus servidores alojados en AWS que contenían código fuente y credenciales de TI, aunque los datos de los clientes "no eran el objetivo"; se instó a todos los usuarios a restablecer sus contraseñas y activar la autenticación de dos factores. Esa misma semana, un "denunciante" anónimo dijo a periodistas de seguridad que la brecha era catastrófica y que se estaba encubriendo. Las acciones de Ubiquiti cayeron de 376,78 a 298,30 dólares —alrededor de un 20 %— en dos días.

La trama se desmoronó el 1 de diciembre de 2021, cuando los fiscales federales de Manhattan acusaron formalmente a Nickolas Sharp, ingeniero de Ubiquiti. Tras solicitar otro empleo en diciembre de 2020, supuestamente utilizó sus propias credenciales de administrador de VPN para descargar gigabytes de las cuentas de AWS y GitHub de la empresa, aplicó políticas de AWS para limitar el registro de actividad y borró el historial de su sesión de VPN, pero una breve caída de la conexión filtró la dirección IP de su domicilio. Fue el "hacker" anónimo que exigió 50 bitcoins antes del 10 de enero de 2021 y, cuando se le rechazó, filtró datos y se hizo pasar por el denunciante.

Las acciones cayeron de 377 a 298 dólares en dos días; el BSI alemán dijo a los clientes que cambiaran sus contraseñas; siguieron una demanda por difamación y una retractación en la prensa.

Las credenciales de administrador legítimas de un solo ingeniero daban acceso a todo —código fuente, almacenes en la nube y configuraciones de seguridad— sin barreras internas entre un empleado y las joyas de la corona.

El registro de actividad no era inmutable: Sharp lo limitó con políticas de AWS y borró su historial de VPN, de modo que la empresa no pudo establecer qué había ocurrido realmente.

La empresa divulgó la información antes de poder caracterizar el incidente, y su correo lleno de errores tipográficos en el que decía que "podría haberse accedido" a los datos parecía phishing; el vacío invitó a la narrativa del atacante.

Un interno con credenciales de administrador es una amenaza mayor que cualquier hacker. Mantén los registros inmutables, delimita el acceso de administrador y establece los hechos antes de divulgar; el vacío lo llena quien miente más alto.

Sharp fue detenido el 1 de diciembre de 2021, acusado de robar datos y extorsionar a su propio empleador; los fiscales dijeron que su manipulación de la cobertura informativa había borrado miles de millones del valor de mercado de la empresa. En agosto de 2022, el bloguero de seguridad Brian Krebs publicó una retractación y se disculpó —su fuente "denunciante" había sido el perpetrador— y la demanda por difamación de Ubiquiti contra él se resolvió extrajudicialmente ese septiembre. El episodio se convirtió en una referencia estándar para dos controles que ningún programa de seguridad debería omitir: el registro de auditoría inmutable y los límites de acceso privilegiado para los internos.