Piden 10 años de cárcel para un desarrollador que instaló un botón de venganza oculto, por si le despedían
Davis Lu decidió instalar un malware en la red interna de su empresa, que borraba datos y bloqueaba todas las cuentas de los empleados, en caso de despido. Y tenía razón, le despidieron.
El desarrollador David Lu es, sin duda, un gran planificador, una cualidad esencial para su trabajo en la empresa de gestión energética Eaton Corporation. Por desgracia para su compañía, y para él, planificó lo que no debía: su venganza si le despedían. El malware que instaló se activó, y ahora tendrá que pasar hasta una década en prisión.
La historia comienza en 2007, cuando Davis Lu entra a trabajar en Eaton Corporation, en Houston, en un puesto de desarrollador. Todo fue bien hasta 2018, cuando la empresa llevó a cabo un ajuste de plantilla, y Davis fue "degradado", pasando a otro puesto inferior.
Lu cayó en la cuenta de que en cualquier momento podría ser despedido, así que en lugar de hacerse valer, decidió planificar su venganza.
El botón de venganza de un desarrollador despedido
Según explica la sentencia publicada por el Departamento de Justicia de Estados Unidos, Davis Lu creó un código que añadía bucles infinitos que provocaría caídas del servidor de la empresa.
También borraba archivos de perfiles de compañeros de trabajo y bloqueaba el acceso a su cuenta a todos los empleados.
Después creó un malware que asignaba este código a un kill switch o interruptor de activación. Este kill switch se activaba automáticamente si su cuenta de empleado se borraba de la base de datos.
El 9 de septiembre de 2019, ocurrió lo que Davis Lu intuía: fue despedido. Cuando la empresa borró su cuenta de empleado el kill switch se activó, sembrando el caos. El servidor de clientes se cayó, todos los empleados perdieron el acceso, y se borraron datos.
Según la prensa local, Eaton Corporation perdió "cientos de miles de dólares", aunque la defensa de Davis Lu ha dicho que solo fueron 5.000 dólares.
Este empleado vengativo era muy bueno creando malware, pero no tanto ocultando sus pasos. El código que creó lo llamó "IsDLEnabledinAD," una abreviación de Is Davis Lu enabled in Active Directory, es decir, "si Davis Lu está en el directorio (de empleados) activo". Si no estaba, es cuando se activaba el malware.
Un análisis del historial de búsqueda de su ordenador descubrió que había estado buscando en Google cómo generar el tipo de malware que había activado.
En el juicio ya celebrado, Davis Lu ha sido declarado culpable de causar daño intencionado a los ordenadores de la empresa, un cargo que conlleva hasta diez años de prisión, aunque aún no le han comunicado la pena.
Muchos empleados son despedidos sin merecerlo, pero planificar una venganza con años de antelación, y perjudicar a sus compañeros y a los clientes, que no tienen culpa de nada, no parece la mejor respuesta. Davis Lu pasará unos años en la cárcel para pensar sobre ello.