• Tweet

Por segunda vez esta semana, las empresas obtuvieron un crudo recordatorio del peligro que representa el acceso privilegiado de trabajadores a sus redes y activos.

Zeldon Morris, un empleado provisional, contratista de un equipo en Utah, fue condenado el miércoles a más de cinco años de cárcel tras declararse culpable de robar cerca de $2 millones de dolares con cargo a cuatro cooperativas de crédito en las que realizó servicios.

El Juez Clark Waddoups de la Corte de Distrito de EUA para el Distrito de Utah también ordenó a Morris pagar más de $1.8 millones de dólares en restitución a sus víctimas y cinco años de libertad vigilada tras cumplir su condena en prisión.

En diciembre, Morris se había declarado culpable de usar su acceso a una computadora privilegiada para robar el dinero de Family First Federal Credit Union, Alpine Credit Union, Deseret First Credit Union y First Credit Union.

La noticia de la condena de Morris se produjo apenas un día después de que el ex administrador de la red de San Francisco, Terry Childs, fuera encontrado culpable por cargos de bloquear, por días, la clave de red de la ciudad en 2008.

Las acciones de Childs dieron lugar a que los funcionarios de la ciudad perdieran el control administrativo de la red durante más de 10 días. También dio lugar a que la ciudad tuviera que gastar cientos de miles de dólares en recuperarse de la perturbación.

Ambos son ejemplos de lo que los analistas han dicho desde hace tiempo sobre que la seguridad es a menudo pasada por alto y sobre el peligro que plantea el mismo personal.

Morris era empleado como un contratista por terceros de parte de Open Source Solutions Inc, una firma de servicios de computación contratada provisionalmente. En esa situación, se suponía que Morris iba a ayudar a las cuatro cooperativas de crédito a actualizar sus sistemas. Como parte de su trabajo, se le dio libre acceso local y remoto a las redes de las cooperativas de crédito.

Morris utilizó su acceso para realizar varias operaciones ficticias de tipo Automated Clearing House (ACH), según documentos de la corte que describen los robos en el Family First Federal Credit Union. Las transferencias fueron depositadas en cuentas bancarias propiedad de Morris, las cuales incluyen una cuenta de negocio que gestiona conjuntamente con un socio.

Morris utilizó números de operación ficticios o utilizados anteriormente en transacciones ACH para hacer los depósitos en sus cuentas, según documentos judiciales.

En su declaración de culpabilidad, Morris dijo que era su "conocimiento especializado" de los sistemas de las instituciones financieras el que le permitió realizar los robos durante unos dos años sin ser detectado.

El dinero que se transfirió falsamente hacía la cuenta Morris después se usó para pagar la hipoteca de dos casas, préstamos para automóviles y reparación de sus propiedades, así como para vacaciones en el extranjero.

En todos ellos Morris admitió haber robado cerca de $1.2 millones de dolares del First Family, alrededor de $82 000 de dolares del Alpine, cerca de $635 000 dolares del Deseret y $93 000 dolares del First Credit.

Según documentos de la corte es probable que los robos hubiesen pasado desapercibidos por un tiempo si no hubiera sido por el socio de Morris, quien alertó al Family First de depósitos tipo ACH excepcionalmente importantes realizados en la cuenta común.

El caso es similar a muchos otros de robo que contienen sabotaje e información comprometida por trabajadores con acceso privilegiado a los sistemas y redes de las empresas. Los investigadores de seguridad han sostenido durante mucho tiempo que los empleados deshonestos que están dentro de las empresas, plantean una amenaza potencialmente mayor que los piratas informáticos externos.