Thread by @PDuchement

Mañana es el seminario de #MiHijoEnLaRed y, ¿qué les parece si vamos abriendo boca desde ya con otro #CasoDeInformáticaForense?

¿Están mis peritos virtuales preparados?

Traigo canela en rama: espero que sepan valorar lo que me ha costado conseguir este consentimiento.

⚠️La advertencia de siempre: algunos datos serán alterados y/o dramatizados para proteger la identidad de los implicados. Pero la investigación será la misma⚠️

¡Al turrón!

Caso con referencia de numeración interna. El cliente se pone directamente en contacto conmigo por un asunto relacionado con Sandra, su hija de 15 años.

¿A que no adivinan?

Mis peritos virtuales tienen un gran instinto: ¡Exacto!

Un clásico: un supuesto menor se ha puesto en contacto con Sandra. En realidad era un hombre adulto que se ha valido de su falsa identidad adolescente para ganarse la confianza de Sandra y conseguir de ella algo de Sexting.

Una vez conseguido material sensible, procede a extorsionarla, solicitándole material más íntimo aún a cambio de no publicar el que ya tiene.

Sandra ha accedido al chantaje y le ha mandado vídeos mucho más comprometedores. Ahora le pide más: está atrapada y seguirá en escalada.

Aprovechemos el momento para enseñar algo de autociberprotección:

NUNCA CEDAS AL CHANTAJE

Si mandas más... ¡te amenazará con más!

Casi el 60% de los sextorsionadores incumplen la amenaza (no hay por qué ceder), pero incluso si no lo hiciera, es mejor que darle más munición.

El padre de Sandra, Ramón, me facilita el contenido sensible y acceso a la cuenta de IG de la muchacha, en donde puedo leer todo el historial de mensajes entre ella y el groomer.
El contenido sensible pasa a una carpeta comprimida con cadena de custodia: me da reparo visualizarlo

Me meto a fondo a estudiar los mensajes mantenidos entre Sandra y el groomer.

Inicialmente dice ser Fred, un niño de 16 años de su ciudad. Tiene una foto de un muchacho que una quinceañera podría considerar atractivo.

El tipo es muy bueno manipulando: le come la cabecita durante 14 días y no empieza a saco. Se toma su tiempo (poco habitual entre groomers).

Me llama la atención lo dispuesta que está Sandra a entrar en el juego: incluso parece deseosa de dar el salto al sexting.

En la conversación se ve que Sandra finalmente manda algo de material (empieza muy light: posturas que en una mujer adulta consideraríamos "sugerentes" en ropa interior).

El groomer salta a la sextorsión y solicita fotos desnuda.

Y Sandra...

Accede 🤦‍♂️

A continuación la amenaza con publicar el primer material y el segundo si no le envía fotos desnuda en posiciones muy sexuales.

Y Sandra...

Esto puede estarles escandalizando a ustedes, pero es la escalada propia de un groomer. Ninguna sorpresa.

Sí, mis peritos virtuales están demostrando mucho instinto: Sandra accedió🤦‍♂️🤦‍♂️

Con algo tan privado, el groomer salta al siguiente nivel y le pide un vídeo tocándose.

A lo que Sandra...

Pues, aunque pueda sorprendernos, Sandra se siente tan atrapada que accede 🤦‍♂️🤦‍♂️🤦‍♂️

Como les digo, yo no veo el material en cuestión, pero en la conversación se ven los envíos.

El groomer cree que le ha tocado el gordo y se propone traspasar la frontera: le pide quedar.

Ella...

¡Se planta!

Bien por Sandra.

Comienzo a intentar localizar al groomer.

Fase de investigación:

¿Qué hacemos primero?

Quizás me estáis conociendo demasiado y ya sabéis que, antes de lanzarme de cabeza a investigar, mi iniciativa es hablar con los implicados para saber mejor qué buscar. O quizás simplemente seríais excelentes peritos.

El caso es que seguís mi misma línea.

Pero, sorpresa...

Exacto: Ramón se niega en rotundo.

Estoy atrapado: IG y Movistar no se mostrarán colaboradores sin una orden judicial (que no tengo al ser un peritaje privado).

No puedo hablar con la principal implicada.

Solo me queda analizar las conversaciones.

Pues no saco nada.

Solo hay un dato interesante. Sandra responde a los mensajes del groomer en horario de clase.

¿Por qué creéis que es esto interesante?

Comparto la respuesta del primero que lo averigüe.

Aquí tenemos una triada de mensajes que van en el mismo sentido.

¡En el clavo!

Felicidades @AndresDri @braishernandez y @xinxollat

Pero hay otro asunto importante asociado a este dato:

La chica manda material íntimo... ¿durante las horas de clase?

¿Conclusión?

Premio!

https://twitter.com/Garankor/status/1325859515435257856?s=20

Esto es algo que debe ser analizado.

Me veo en la necesidad de revisar, al menos a nivel digital, el contenido de Sandra.

Abro el sello de cadena de custodia: unas pequeñas previsualizaciones de los items me muestra que hay contenido que puedo ver sin ser muy irrespetuoso

Entre el material de sexting hay fotos y vídeos normales, con ropa (algunos con prendas o en posturas que intentan parecer sensuales -en una niña 🤦‍♂️- pero que todavía no son íntimas). Vamos, el típico material de IG de una quinceañera.

Observo el fondo de las que se pueden ver sin sonrojarse: es una casa (¿la suya?).

Investigo los metadatos de los archivos sin visualizar: el más reciente tiene un año de antigüedad.

Conclusión... Sandra está utilizando material que ya tenía grabado en el dispositivo de envío.

Jajaja, ¡cómo me conocéis!

Pues sí, insisto en hablar con Sandra.

Ramón sigue negándose. Le digo que es importante y ni así.

Con lo vago que se muestra respondiendo a por qué, decido desconfiar y le pregunto que en qué instituto estudia Sandra. El del barrio.

Allá que voy.

Llego al instituto y pido hablar con el director.

Una vez allí, me presento con mi acreditación, pero le dejo claro que no estoy en calidad de auxilio judicial ni llevo una orden, que solo busco su colaboración.

El director...

Intenta colaborar, pero solicita autorización paterna
Se me ocurre una idea: Finjo no tener su número, pero le digo que lo llame y le doy el nombre de Sandra y el apellido de Ramón, para que busque los datos de contacto en la ficha de familiares de Sandra. Así se lo pide él. Y...

Sandra no es alumna de ese instituto.

Enseño una foto pública del perfil de IG de Sandra (una foto normal) y el director no la reconoce.

"No la he visto en mi vida".

Salgo en estado de shock del instituto cuando la alarma cepo que he colocado en la cuenta de Sandra me avisa de camino al coche: el groomer está intentando contactar de nuevo con Sandra.

Es mi oportunidad (y puede que la última).

¿¡Qué hago!? ¡Rápido!

WOW! Va subiendo el nivel entre mis lectores: ¡en este hilo no os habéis equivocado ni una vez!

No puedo hackear: sería ilegal y anularía las pruebas.

Pero sí puedo fingir ser Sandra y mandarle un enlace a un servidor trampa que tengo montado 24/7 😇

And the Oscar goes to...

El groomer entra como un ratoncillo infeliz en mi ratonera y...

Aviso a mi movil: nueva IP entrante en el servidor trampa.

¡LO TENGO!

Ahora... ¿qué hago con una IP y sin orden judicial?

Afortunadamente, buscar rastros de IP en la red no es ilegal.

Encuentro que se ha usado para acceder a una cuenta de IG de un taller llamado "Neumática Mariano" (el nombre es inventado, si hay un "Neumática Mariano" en el mundo, que me perdone). También en una dirección mail.

Localizo Neumática Mariano y los llamo haciéndome pasar por un cliente😉 les digo que uno de sus trabajadores me había dejado el número como contacto y les digo su email:
-¡Ah, sí! ¡Ese es Junior, el administrativo!
-Muchas gracias.
No sé si es administrativo, ¡pero groomer fijo!

Tengo al groomer, pero sigo mosqueadísimo con lo ocurrido con Ramón y con las cosas raras del caso: la gran predisposición inicial de Sandra, el envío de material pregrabado hace más de un año y en horas de clase...

AQUí HAY MÁS.

Tengo que averiguar qué ha ocurrido.

Le pido el móvil de Sandra.

Él se niega.

Le digo que puede haber datos importantes para encontrar al groomer (ya lo tengo, pero nadie lo sabe).

Él se niega.

Estoy bloqueado con esta rama de la historia.

¿Y si...?

¿...uso las fotos típicas de IG y visibles de Sandra para buscarla por la Red?

Los algoritmos de reconocimiento facial en la WEB se han actualizado recientemente (hace un año de este caso).

A lo mejor la encuentro implicada en otros casos.

¿Y qué me encuentro?

Hay una cuenta de IG de una chica llamada Julia. Usa y publica fotos muy parecidas, sin duda es ella, aunque hay fotos que no me facilitó Ramón y, por supuesto, no publica sexting.

Investigo la información pública de Julia y localizo su dirección de manera legal.

Obviamente no explico cómo porque podría usarse para el mal, pero digamos que no fue muy difícil dada la poca protección con la que Julia cuida sus datos.

Tengo la dirección de la muchacha. ¿Qué hago?

Casi la armo! Gracias por avisar!

El nombre del taller ni se parecía a este. De hecho, no era un taller, era otro negocio que tenía que ver con máquinas 😉

https://twitter.com/Bassonthecorner/status/1325873648104861702?s=20

No, no, los peritos virtuales se equivocan por primera vez en el hilo: ¿cómo iba yo a justificar el haber hablado con una niña por IG sobre sexting sin avisar a sus padres?
¡No puedo hablar con ella!

Me voy a la casa.

Toco a la puerta. Me atiende una señora. Le enseño la placa (haciendo hincapié en que no vengo por orden judicial ni tengo orden alguna, pero la insignia le da confianza para escucharme). Pregunto si es familiar de Julia y me dice que es la madre. Le digo que tengo que hablarle.

Me pide que espere. Espero como media hora hasta que aparece un coche en la puerta: había llamado a su marido, que se baja del coche muy preocupado y nervioso. Me pregunta que qué quiero y le digo que es delicado, que si podemos hablar dentro. Paso a la casa. Julia no está (cole)

Le enseño la foto visible de Julia y le pregunto si es su hija. La reconocen y me enseñan una foto en un marco del salón.

HE ENCONTRADO A LA NIÑA Y... NO ES HIJA DE RAMÓN.

Empieza a cuadrarme la historia, pero prefiero esperar.
Digo a su familia que estoy realizando una investigación forense privada de un señor que decía ser el padre de Julia (a la que identificaba con otro nombre). En ella, alguien ha usado fotos comprometidas de la niña.

Enseño algunas de las fotos visibles y los padres no tienen duda alguna: no solo reconocen a su hija, si no que reconocen el fondo. Es su cuarto.
Les digo que creo que su hija ha podido ser víctima de sextorsión... PERO HACE UN AÑO Y POR MI PROPIO CLIENTE.

Cuando consiguen calmarse, les explico qué podemos hacer: ellos están de acuerdo en esperar a que llegue Julia y preguntarle al respecto.

Ella llega, se sienta, me presentan (ya empieza a mostrarse incómoda) y le preguntan. Lo niega. Le digo que se sincere, que no le pasará nada

No quiere hablar.
Le digo que he visto parte de su material y le enseño una de las fotos con pose pero con ropa: ella sabe que solo ha mandado esa imagen a una persona.
Se derrumba y confiesa: un groomer la asaltó hace ya año y medio, consiguiendo en la "escalada" mucho material.

Estuvo MEDIO AÑO sacándole material con el que volvía a amenazarla, pero con amenazas más peligrosas a cada nuevo clip y a cada nueva foto.

Invertimos 40 min en tranquilizar a la muchacha y, finalmente, la madre se la lleva a su cuarto.

-Caballero, tengo serias sospechas de que el groomer ha utilizado el sexting de Julia para hacer grooming a otros niños -confieso.
El padre me mira.
-Dame la dirección de ese cabrón.

Le digo que si lo hiciera acabaría siendo responsable de la locura que (comprendo perfectamente) cometería a continuación. Que esa no es la vía de acción y que hay que tener la cabeza fría. Que lo denuncie y que acompañe a la denuncia un peritaje de un profesional con los datos.

-No tengo dinero para pagarle.
-No se preocupe: yo tengo un cliente al que acabo de descubrir que voy a cobrar el doble, y no me importa hacérselo gratis a usted.

Resumen, que un groomer (Junior) estaba sextorsionando a otro groomer (Ramón). Y que, al verse atrapado y con el miedo de que se publicase su preciado material de Julia, Ramón accedió al chantaje y envió material hasta que no pudo seguir. Entonces acudió a mí.

⚠️A Ramón entregué el peritaje de Junior por una cantidad desorbitada
⚠️El dinero, que me asqueaba, fue a parar a un fondo contra el ciberbullying
⚠️Ramón fue denunciado por la familia de Julia
⚠️Con un peritaje gratuito
⚠️Evidencias localizadas
⚠️Informe concluido
⚠️CASO CERRADO

El problema de Ramón era que Junior ya no se limitaba a pedirle material. Quería ver en persona a "Sandra", y eso no podía solucionarlo Ramón.

Necesitaba escapar el chantaje sin perder "su material".

https://twitter.com/limannyo/status/1325886947445927937?s=20