Contratista tecnológico de Brightly Software condenado a 2 años de prisión por ataque interno.

En un caso que resalta los riesgos de seguridad inherentes a la gestión de datos sensibles por parte de empleados y contratistas, un trabajador tecnológico ha sido condenado a dos años de prisión tras llevar a cabo un elaborado ataque interno contra Brightly Software en el que intentó extorsionar a la empresa por aproximadamente 2,5 millones de dólares. La sentencia fue anunciada por el Departamento de Justicia de Estados Unidos el pasado jueves.

Cameron Nicholas Curry, apodado "Loot", realizó una serie de delitos mientras se desempeñaba como analista de datos contratado por la empresa propiedad de Siemens. Este hombre de 27 años, originario de Carolina del Norte, sustrajo una valiosa cantidad de datos corporativos, incluyendo información sensible sobre empleados y compensaciones, que utilizó para amenazar a varios empleados y ejecutivos durante un periodo de seis semanas a finales de 2023 y principios de 2024.

Finalmente, Curry logró extorsionar a la empresa por un monto de 7.540,92 dólares a finales de enero de 2024. En marzo, fue declarado culpable de seis cargos de extorsión. Brightly Software fue identificada como la víctima en documentos judiciales presentados en el Tribunal de Distrito de los Estados Unidos para el Distrito Oeste de Carolina del Norte a principios de este mes. La empresa, que proporciona software de gestión de activos y mantenimiento y que fue adquirida por Siemens en 2022, no respondió de inmediato a una solicitud de comentarios.

Este ataque interno pone de manifiesto los riesgos que las empresas asumen al permitir que empleados, o contratistas asignados por una empresa de reclutamiento externa, tengan acceso a datos sensibles desde un portátil de la compañía. Los fiscales señalaron que Curry aprovechó su acceso a la red de la empresa para sustraer datos corporativos con el fin de extorsionar a la compañía durante su tiempo de trabajo entre agosto y diciembre de 2023. Inmediatamente después de su último día de empleo, Curry comenzó a enviar correos electrónicos amenazantes a los empleados de Brightly Software, exigiendo un rescate para no filtrar ni destruir los datos robados.

Curry envió más de 60 correos electrónicos en los que amenazaba con divulgar la información de nómina de la empresa, alegando que esta mostraba una desigualdad salarial significativa entre los empleados. En esos correos, Curry enmarcó su ataque de extorsión como un esfuerzo por implementar la transparencia salarial. Las autoridades indicaron que incluyó archivos adjuntos con capturas de pantalla de hojas de cálculo que contenían información personal identificable de los empleados de la empresa. Además, amenazó a la compañía con proporcionar a los empleados instrucciones sobre cómo abordar la discriminación salarial a través de la mediación, la Comisión de Igualdad de Oportunidades en el Empleo, o mediante una demanda colectiva.

Algunos de los correos de extorsión se volvieron particularmente personales, incluyendo una afirmación de que un miembro del equipo legal no recibía un bono mientras que la mayoría de los empleados en puestos de alto nivel sí lo hacían. Curry también amenazó con informar sobre la violación a la Comisión de Valores y Bolsa, citando reglas que exigen a las empresas públicas divulgar rápidamente los ciberataques que sufren.

La empresa, que cotiza en bolsa, notificó al FBI sobre la violación el 14 de diciembre de 2023 y pagó menos del 1% de la demanda de rescate de Curry casi un mes después. Las autoridades identificaron y construyeron un caso contra Curry de manera relativamente rápida gracias a múltiples errores de seguridad operativa. Usó datos personales y verificables para establecer una cuenta en Coinbase para el rescate, vinculando dos tarjetas de débito pertenecientes a su madre y hermana a la cuenta.

El FBI registró el apartamento, los dispositivos digitales y el vehículo de Curry en Charlotte, Carolina del Norte, semanas después de que se pagara el rescate. Curry enfrentaba hasta 12 años de prisión, pero finalmente fue condenado a dos años, seguidos de un año de libertad supervisada.

Los abogados de Curry argumentaron que el caso en su contra se prolongó debido a errores por parte de los fiscales, incluyendo declaraciones juradas que afirmaban erróneamente que Brightly Software tenía su sede en Washington D.C. La empresa tiene su sede en Cary, Carolina del Norte, pero la sede corporativa de Siemens en EE. UU. se encuentra en Washington, y los fiscales identificaron a la empresa víctima previamente no nombrada como subsidiaria de una empresa matriz internacional.

La discrepancia de ubicación resultó en un cambio de sede para el juicio y, según los abogados de Curry, impuso una restricción preprocesal innecesariamente prolongada de casi 31 meses sobre Curry, incluyendo 17 meses de confinamiento total en su hogar.

Este caso resalta la vulnerabilidad de las empresas ante el acceso interno a datos sensibles y la importancia de implementar medidas de seguridad rigurosas para proteger la información crítica de la organización frente a posibles amenazas internas.

A tech worker who hatched an elaborate insider attack in late 2023 and attempted to extort Brightly Software for about $2.5 million wassentenced to two years in prison, the Justice Department said Thursday. Cameron Nicholas Curry, also known as “Loot,” committed a series of crimes while working as a data analyst contractor for the Siemens-owned company. The 27-year-old North Carolina man stole a trove of corporate data, including sensitive employee and compensation information, which he used to threaten various employees and executives over a six-week period in late 2023 and early 2024. Curry ultimately extorted the company for $7,540.92 in late January 2024. He was foundguilty of six counts of extortionin March. Brightly Software was named as the victim in court records filed in the U.S. District Court for the Western District of North Carolina earlier this month. The asset and maintenance management software provider, which Siemens acquired in 2022, did not immediately respond to a request for comment. The insider attack illustrates risks companies accept when employees, or contractors placed in roles by a third-party recruitment company, are allowed to access sensitive data on a company-owned laptop. Prosecutors said Curry used his access to the company’s network to remove corporate data for extortion while he worked for the company between August and December 2023. Curry started sending threatening emails to Brightly Software employees immediately following his last day of employment, and demanded a ransom to not leak and destroy the data. Curry sent more than 60 emails, threatening to disclose the company’s payroll data, claiming it showed significant pay inequity across the workforce. In those emails, Curry framed the data theft extortion attack as an effort to implement salary transparency. Officials said Curry included attachments with the emails containing screenshots of spreadsheets listing the personally identifiable information of company employees. He also warned the company he would provide employees instructions on how to address pay discrimination through mediation, the Equal Employment Opportunity Commission or a class-action lawsuit. Some of the extortion emails got personal, including a claim that one person on the legal team wasn’t getting a bonus while most employees in high-level positions did receive bonuses. Curry also threatened to report the breach to the Securities and Exchange Commission, citing rules that require public companies to disclose cyberattacks quickly. The publicly traded company notified the FBI of the breach on Dec. 14, 2023 and paid less than 1% of Curry’s ransom demand almost a month later. Authorities identified and built a case against Curry rather quickly due to multiple operational security mistakes. He used personal and verifiable data to establish a Coinbase account for the ransom, linking two debit cards belonging to his mother and sister to the account. The FBI searched Curry’s apartment, digital devices and vehicle in Charlotte, North Carolina, weeks after the ransom was paid. Curry faced up to 12 years in prison, but was ultimately sentenced to two years followed by one year of supervised release. Curry’s lawyers argued that the case against him was prolonged due to prosecutors’ errors, including affidavits that falsely said Brightly Software was headquartered in Washington, D.C. The company is based in Cary, North Carolina, but Siemens U.S. corporate headquarters is based in Washington, and prosecutors identified the previously unnamed victim company as the subsidiary of an international parent company. The location discrepancy resulted in a change in venue for the trial and, Curry’s lawyers argued, imposed an unnecessarily lengthy pretrial restraint of almost 31 months on Curry, including 17 months of full home confinement. The postTech contractor for Brightly Software sentenced to 2 years in prison for insider attackappeared first onCyberScoop.