Exadmin de Breachforums pagará $ 700k por brecha publicada en su Foro

AXCESS · Mayo 17, 2025, 01:55:15 AM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

En lo que los expertos califican de un novedoso resultado legal, el exadministrador de 22 años de la comunidad de ciberdelincuencia Breachforums perderá casi 700.000 dólares para resolver una demanda civil interpuesta por una compañía de seguros médicos cuyos datos de clientes se publicaron a la venta en el foro en 2023. Conor Brian Fitzpatrick, alias "Pompompurin", será sentenciado nuevamente el próximo mes tras declararse culpable de fraude de acceso a dispositivos y posesión de material de abuso sexual infantil (MASI).

Una captura de pantalla redactada del hilo de ventas de Breachforums

El 18 de enero de 2023, usuarios de Breachforums pusieron a la venta decenas de miles de registros —incluyendo números de Seguro Social, fechas de nacimiento, direcciones y números de teléfono— robados de Nonstop Health, una aseguradora con sede en Concord, California.

Los abogados de la demanda colectiva demandaron a Nonstop Health, que en noviembre de 2023 incluyó a Fitzpatrick como tercero acusado en el litigio civil, varios meses después de que el FBI lo arrestara y lo acusara penalmente de fraude de dispositivos de acceso y posesión de material de abuso sexual infantil (MASI). En enero de 2025, Nonstop acordó pagar 1,5 millones de dólares para resolver la demanda colectiva.

Jill Fertel es una exfiscal que dirige el departamento de litigios cibernéticos de Cipriani & Werner, el bufete que representó a Nonstop Health. Fertel declaró a KrebsOnSecurity que este es el primer y único caso en el que un ciberdelincuente o cualquier persona relacionada con el incidente de seguridad fue nombrado en un litigio civil.

"Es improbable que los demandantes civiles vean que el dinero incautado a los actores de amenazas involucrados en el incidente se ponga a disposición de las personas afectadas por la filtración", declaró Fertel. "Lo máximo que podíamos hacer era poner este dinero a disposición del grupo, pero aún les corresponde a los miembros del grupo afectados presentar esa reclamación".

Mark Rasch, exfiscal federal, ahora representa a Unit 221B, una firma de ciberseguridad con sede en la ciudad de Nueva York. Rasch afirmó no dudar de que el acuerdo civil relacionado con la actividad delictiva de Fitzpatrick sea un avance legal novedoso.

"Es raro en estos casos civiles que se conozca al actor de amenazas involucrado en la filtración, y también es raro que se le detecte con los recursos suficientes para poder pagar una reclamación", afirmó Rasch.

A pesar de admitir la posesión de más de 600 imágenes de material de abuso sexual infantil (MASI) y la gestión personal de Breachforums, Fitzpatrick fue condenado en enero de 2024 a tiempo cumplido y 20 años de libertad supervisada. Los fiscales federales se opusieron, argumentando que su castigo no reflejaba adecuadamente la gravedad de sus crímenes ni servía como elemento disuasorio.

De hecho, el mismo mes en que fue sentenciado, Fitzpatrick fue arrestado nuevamente por violar las condiciones de su liberación, que le prohibían usar una computadora sin el software de monitoreo requerido por el tribunal.

Los fiscales federales afirmaron que Fitzpatrick recurrió a Discord tras declararse culpable y se declaró inocente de los mismos delitos por los que se había declarado culpable, afirmando que su acuerdo de culpabilidad era una "pura tontería" y que había "querido impugnarlo". Los federales afirmaron que Fitzpatrick también bromeó con sus amigos sobre vender datos a gobiernos extranjeros, exhortando a un usuario a "convertirse en un activo extranjero para China o Rusia" y a "vender secretos gubernamentales".

En enero de 2025, un tribunal federal de apelaciones coincidió con la evaluación del gobierno, anulando la sentencia de Fitzpatrick y ordenando su nueva sentencia el 3 de junio de 2025.

Fitzpatrick lanzó BreachForums en marzo de 2022 para reemplazar a RaidForums, un foro sobre delincuencia igualmente popular que fue infiltrado y clausurado por el FBI el mes anterior. Como administrador, su álter ego, Pompompurin, actuó como intermediario, revisando personalmente todas las bases de datos a la venta en el foro y ofreciendo un servicio de intermediario a quienes estuvieran interesados en comprar datos robados.

El nuevo sitio atrajo rápidamente a más de 300.000 usuarios y facilitó la venta de bases de datos robadas a cientos de víctimas de hackers, incluyendo algunas de las mayores filtraciones de datos de consumidores de la historia reciente. En mayo de 2024, el FBI y sus socios internacionales incautaron una versión renovada de Breachforums. Posteriormente, se produjeron más relanzamientos del foro, con la interrupción más reciente el mes pasado.

Como informó KrebsOnSecurity el año pasado en The Dark Nexus Between Harm Groups and The Com, es cada vez más común que los investigadores federales encuentren material de abuso sexual infantil (MASI) al registrar dispositivos incautados a sospechosos de ciberdelincuencia. Si bien la mera posesión de MASI constituye un delito federal grave, no todos los que son descubiertos con MASI son necesariamente sus creadores o distribuidores. Fertel afirmó que algunas comunidades de ciberdelincuentes exigen a los nuevos participantes que compartan material de MASI como prueba de que no son investigadores federales.

"Si vas a los rincones más oscuros de internet, así es como demuestras que no eres un agente del orden", dijo Fertel. "Las fuerzas del orden jamás compartirían ese material. Sería un delito para mí, como fiscal, obtener y poseer ese tipo de imágenes".

Fuente:
KrebsOnSecurity
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Exadmin de Breachforums pagará $ 700k por brecha publicada en su Foro

AXCESS

Mayo 17, 2025, 01:55:15 AM