El spam como mecanismo de adulteración de los mercados de valores. Un ejemplo práctico de engaños «pump and dump»

Hace algún tiempo escribí un artículo que titulé El spam financiero y su impacto en los mercados de valores. Me agradó bastante comprobar que el texto fue replicado o utilizado como fuente en muchos medios, incluída la edición digital de El País, con lo que mi creencia inicial de que la investigación del spam y sus efectos colaterales en los mercados de valores eran de poco interés quedó totalmente, y afortunadamente, desmitificada.

El spam es un tema que me interesa y mucho. Tengo la firme convicción de que es un mal conocido pero sobre el que de un modo u otro, pasamos un poco por alto. Creo que combatir el spam es algo que allí donde puede ser realmente dramático, es decir, los entornos corporativos, es algo que podemos considerar más o menos resuelto, con las lógicas salvedades. Como en tantas otras cuestiones relacionadas con la seguridad, queda por cubrir la parte del usuario doméstico, que es donde los spammers hacen su auténtico agosto.

En este escenario, los servicios de consultoría de seguridad no suelen meter la lucha contra el spam como parte integrante de su portfolio de servicios, ya que no genera beneficio suficiente, salvo raras excepciones. Es un tema que no interesa, porque salvo que el volumen sea considerable, no lucra, con lo que al no existir inversión notoria en estos servicios y su investigación, nunca se termina de avanzar como sería deseable. Ni que decir tiene que para muchos, el spam es sólo un problema de saturación de buzones y líneas. Esos están fuera de juego, y a ellos ni nos referimos.

Evidencias de que el spam genera mucho negocio ilegítimo hay muchas. La última que he tenido oportunidad de verificar tiene por protagonista a una unidad de crimen organizado rusa, que han empleado el troyano Spamthru para generar una variante que les permita adulterar los resultados de los mercados de valores.

Para ello han creado un enorme botnet de 70.000 máquinas, que ha sido utilizado para diseminar, además de spam sobre productos milagro y farmacia ilegal, mensajes relacionados con inversiones jugosas, casi todas en el marco de los mercados de alta volatilidad (lo que se ha dado en llamar penny stock market), caracterizado por movimientos bursátiles de pequeñas cantidades y de enorme riesgo, donde los beneficios son astronómicos (como lo pueden ser las pérdidas). También es frecuente hallar en la literatura el término micro caps para denominar a estos mercados de pequeño o micro capital.

Un ejemplo real de spam financiero

Los mercados volátiles son poco estables. Lo que hoy es una acción muy rentable, mañana puede ser tu ruína. Son muy sensibles a los condicionantes económicos y tienen fluctuaciones realmente notorias, con lo que es bastante más fácil ejercer influencia en ellos, almenos si lo comparamos con intentar influír en un mercado de valores más maduro y estable, donde sólo las grandes corporaciones, los gobiernos y poca gente más puede provocar disrupciones notorias.

El botnet ruso se ha utilizado principalmente para el envío de spam financiero, lo que se viene denominando últimamente pump-and-dump stock scams, correo para inflar los mercados de valores, para posteriormente dejarlos colgados. Si generamos una alerta de inversión, tanto positiva como negativa, siendo el universo de inversores pequeño, los efectos son rápidamente trasladados a la masa. Si El País o El Mundo dijeran mañana en portada que adquirir acciones de Telefónica es algo muy apropiado y que nos vamos a forrar si lo hacemos, tened por seguro que habría un incremento notorio de transacciones y muchos harían caso al consejo.

Traslademos el ejemplo al caso que nos ocupa. Imaginad que lanzamos, desde casi 100.000 máquinas, más de un millón de alertas, perectamente segmentadas (listas definidas a propósito, nada de listados genéricos sin perfilar), a un millón de receptores. Si yo adquiero a bajo coste las acciones de la empresa A, y la publicito engañosamente vía spam, puedo logar que la empresa A se revalorice en cierto modo, lo que me daría jugosos beneficios. Acto seguido vendo, cobro y me llevo los beneficios, con lo que los inversores engañados, una vez las condiciones reales del mercado devuelvan a la situación normal a la empresa A, verán probablemente pérdidas en su operativa. Esta manipulación es la clave para estas operaciones de pump and dump de las que hablaba.

Este grupo organizado ruso es responsable de una operativa de spam muy voluminosa en los últimos tres meses, y esta acción refrenda la teoría que venimos defendiendo muchos desde hace tiempo: los botnets son las herramientas predilectas de los delincuentes telemáticos. Otro dato que no arroja muchas perspectivas felices al segmento es que se estima que 10 grupos organizados son responsables del 80% del spam mundial, lo que nos tiene que hacer entender que el spam no es un problema de recepción de publicidad no deseada en el buzón, sino que es in instrumento del fraude telemático a gran escala.

La investigación original es de Joe Stewart, de Secure Works. Da gusto leer a estos especialistas, ya que rara es la ocasión en la que defraudan tras emitir un estudio. Profesionalidad y solvencia a raudales.

Good job, Joe :)

Más información: Definición de spam, causas, tipologías y medidas de prevención.

Saludos, y buen fin de semana :)