Seguirle el juego al que te caza

Hay una señora mayor que no encuentra la tecla Any. El técnico al teléfono —que dice llamarse Alex, que dice llamar de Microsoft, que dice que la computadora de ella está infectada y que necesita acceso ya— se lo explica de nuevo, con la paciencia comercial del que ve cerca la comisión: «presione cualquier tecla, señora». Ella pregunta si la tecla Any está cerca de la de Escape. Se le apaga el monitor. Se le cae la llamada. Vuelve a llamar ella, preocupadísima, porque quedó a la mitad de instalar el programa. Van cuatro horas de esto. La señora se llama Edna y no existe: del otro lado hay un ingeniero de treinta y pico con un modulador de voz, una máquina virtual descartable y una cuenta bancaria de utilería con saldo falso, transmitiendo en vivo mientras un estafador real quema su tarde entera en una víctima que no puede pagar nada porque no es una persona. La práctica tiene nombre — scam-baiting, morder el anzuelo a propósito — y tiene una lógica que no es la venganza, aunque la venganza le sobrevuela: cada hora que Alex gasta en Edna es una hora que no gasta en una abuela de verdad.

Quiero escribir sobre esta práctica porque la conozco desde adentro, en versión artesanal, y porque me obliga a auditar dos cosas mías que prefiero auditar en público: una motivación que no es del todo limpia y una premisa que no es del todo cierta.

El fraude es una operación con márgenes, y eso lo vuelve atacable. El error común es pensar el scam como un rayo: cae o no cae. Es una industria, y como toda industria tiene un embudo y un costo por lead. Cormac Herley, de Microsoft Research, escribió en 2012 el paper con el mejor título de la disciplina — Why do Nigerian scammers say they are from Nigeria? — y la respuesta es un análisis de costos que da un poco de vértigo: el correo del príncipe con la fortuna retenida no es burdo por incompetencia, es burdo a propósito. El envío masivo es gratis; lo caro es el trabajo humano posterior con cada persona que responde. Si el cebo fuera verosímil, respondería demasiada gente que más tarde, con la cabeza fría, se bajaría — falsos positivos que queman las horas del operador sin pagar nunca. La historia deliberadamente increíble filtra: solo responde el que ya demostró estar dispuesto a creer cualquier cosa, y sobre ese subconjunto el rendimiento por hora es máximo. El estafador optimiza su tasa de falsos positivos igual que yo tuneo una regla de detección. Y ahí está la palanca del baiting: si el recurso escaso de la operación es el tiempo del operador, entonces envenenarle el embudo con leads falsos que nunca pagan ataca el negocio donde le duele. En mi lengua técnica esto existe hace décadas y se llama tarpit: LaBrea, que Tom Liston escribió en 2001 mientras Code Red escaneaba internet, no bloqueaba al gusano — le contestaba y lo dejaba colgado, sosteniendo conexiones TCP en un limbo para que el escaneo se arrastrara. Endlessh hace lo mismo con los bots de SSH: les gotea un banner infinito, byte a byte, y un cliente automatizado puede quedarse ahí días. Edna es un tarpit con voz de señora. No detecta al atacante — para eso están los cebos que avisan, que son otro animal —: le cobra. Le convierte el costo por víctima en pérdida.

Yo lo hice sin público y sin modulador, y las motivaciones eran dos. Cuando me llegaba el catphishing —el perfil demasiado interesado, la conversación que en el mensaje veinte pide continuar «por un canal más privado»—, o el phishing con teléfono adentro, había una época en que no cortaba: contestaba. Con una identidad de papel, desde entornos que no tocaban nada mío, les seguía el juego. La motivación que declaro primero porque es la presentable: estudio. El guion del estafador visto desde adentro es un documento técnico de primera — se nota dónde está el árbol de decisión, se nota cuándo el operador se sale del script y duda, se nota el orden exacto en que dispara los triggers que catalogué en Seis exploits que ya están en tu cabeza: primero simpatía acelerada, después reciprocidad chica, después el compromiso que escala, y la urgencia siempre al final, cuando ya invertiste. Verlos ejecutar la secuencia me enseñó más que tres libros, porque los libros describen el exploit y la sesión en vivo muestra el timing. Y aprendí algo que ningún libro me había dicho: el operador también corre un guion. También es, casi siempre, un empleado de bajo rango leyendo un script que otro escribió, con supervisor y con cuota. El click-whirr no está solo del lado de la presa. La segunda motivación la declaro porque callarla sería hacerle trampa a este blog: bronca. Odio cómo se aprovechan de la gente. Odio la asimetría de cazar jubilados con la voz entrenada en sonar como un nieto servicial. Hacerles perder el tiempo se sentía como justicia de bolsillo — y en esa sensación, ya lo estará viendo venir el lector atento, hay algo que no es análisis. Hay arrogancia. La dejo anotada; vuelvo a ella al final, porque es la parte que peor envejeció.

El mito del que cae es la mejor defensa del que caza. La creencia estándar dice que en las estafas cae gente crédula, poco inteligente, con algún defecto de fábrica — y la creencia es funcional: me protege a mí, que soy listo, de la incomodidad de sentirme blanco. Steven Hassan la desarma con un argumento de mercado que se aplica sin fricción del culto al fraude: los reclutadores no quieren gente rota, porque la gente rota consume recursos. Quieren gente productiva — inteligente, educada, idealista — que aporte dinero, trabajo y credibilidad. El cazador selecciona por valor, no por debilidad. Lo que sí selecciona, y aquí está el concepto que me parece de los más útiles de toda la literatura, es el momento: Hassan lo llama vulnerabilidad situacional. Nadie es vulnerable siempre; todos somos muy vulnerables a ratos. El primer año lejos de casa, la ruptura, el duelo, el despido, la mudanza — las ventanas donde la rutina se quiebra, la red de apoyo queda lejos y la identidad está en obra. Los reclutadores de sectas patrullan los campus las primeras semanas del semestre buscando al que come solo, y no le hablan de doctrina: le ofrecen una cena casera. El fraude industrial hace el mismo targeting con otras herramientas — la estafa romántica busca perfiles que declaran viudez reciente; el fraude del CEO se lanza en cierre de trimestre, cuando nadie tiene tiempo de verificar; la oferta laboral falsa florece con cada ola de despidos del sector. En recuperación de adicciones usan una sigla para los estados que preceden la recaída — HALT: hambre, enojo, soledad, cansancio — y funciona igual de bien como checklist de superficie de ataque social. Ya lo rocé en La secta como malware de kernel y lo sostengo con más datos ahora: la pregunta «¿cómo cayó alguien tan capaz?» está mal armada, porque la capacidad no es la variable. La variable es el estado, y el estado es de todos. Como escribí en Tú puedes para el otro gran mito del eslabón débil: la gente no falla por ser el punto flaco del sistema; falla cuando el sistema —o el adversario— diseña el momento en que fallar es la respuesta esperable.

El cazador cazado no es una hipótesis: tiene nombre y canal de YouTube. Jim Browning es probablemente el baiter más competente que existe en público — un ingeniero que no se limita a hacer perder el tiempo: se mete por la conexión remota que el estafador le abre, mapea el call center desde adentro, y su material terminó en un documental de la BBC que expuso una operación entera. En 2021, alguien que se hizo pasar por soporte de YouTube lo fue guiando, paso a paso, por un proceso administrativo que terminaba en una acción irreversible — y Browning, el hombre que se gana la vida viendo venir exactamente esto, ejecutó la acción: borró su propio canal. Lo recuperó a los días, y lo contó él mismo, que es lo que lo vuelve valioso: no lo agarraron con una técnica exótica, lo agarraron con un pretexto de manual en un momento en que estaba apurado, con la atención repartida, dentro de un trámite que parecía rutina. La ventana, no la capacidad. Ese caso me reordenó algo que yo tenía mal archivado: yo creía que mi baiting era seguro porque yo sabía. Pero saber es exactamente lo que sabía Browning. La ilusión de invulnerabilidad —Hassan insiste en esto y el caso lo firma— no es un rasgo de los ingenuos: es un riesgo que crece con la competencia, porque la competencia es el mejor argumento que la racionalización tiene a mano. El que se cree inmune baja la única guardia que importa, que es la situacional.

Ahora la auditoría de la práctica, porque le debo dos incomodidades. La primera es sobre en qué se convierte el juego cuando tiene público. La primera ola del baiting organizado —los foros de principios de los dos mil— no solo hacía perder tiempo: coleccionaba trofeos. Convencieron a estafadores de fotografiarse con carteles ridículos, de reescribir a mano capítulos enteros, de tallar en madera una réplica de un Commodore 64 para una beca de arte que no existía. Leído como negación de servicio es eficiente; leído con la distancia de veinte años es otra cosa, y hay crítica académica —Lisa Nakamura lo escribió sin anestesia— que vio en esa cultura del trofeo una humillación con carga racial: hombres de África Occidental exhibidos como botín cómico para audiencias del norte. No hace falta comprar el argumento entero para aceptar su núcleo: cuando el objetivo deja de ser defender y pasa a ser humillar, la práctica ya no es seguridad — es entretenimiento con una víctima, y la superioridad moral del baiter se vuelve indistinguible de la del estafador que se ríe del jubilado. La segunda incomodidad es peor. La oficina de derechos humanos de la ONU estimó en 2023 que solo en Myanmar hay más de cien mil personas —y otras tantas en Camboya— retenidas en complejos cerrados y forzadas a operar estafas en línea: víctimas de trata con cuota diaria de fraude, castigadas cuando no llegan. El pig butchering que engorda víctimas durante meses corre, en una fracción enorme, sobre ese trabajo esclavo. Lo que esto le hace a mi justicia de bolsillo es demoledor: la fantasía del baiting asume que el que teclea es el beneficiario, y muchas veces el que teclea es otro capturado — hacerle perder la tarde no le cuesta al dueño del complejo, le cuesta al que va a cobrar el castigo por no llegar a la cuota. La bronca era real y el blanco estaba mal resuelto. El adversario tiene capas, y castigar la capa que te contesta el teléfono es, con frecuencia, pegarle al que está más abajo en la misma cadena de explotación.

Si aun así se juega, se juega con reglas de compromiso — las mías, cuando lo hacía, fueron endureciéndose hasta parecerse a las de cualquier operación seria, y en El cliente del pentest ya escribí por qué un ejercicio sin reglas no es un ejercicio: aislamiento total (identidades de papel, entornos descartables, ni un dato real ni una cuenta propia a la vista), un objetivo definido que no sea la humillación —inteligencia: el guion, los números, la infraestructura, cosas que se puedan reportar y que defiendan a alguien—, y una condición de salida escrita de antemano, porque el sunk cost también corre para el baiter: la sesión número cuarenta ya no produce inteligencia nueva, produce entretenimiento, y el entretenimiento no justifica la exposición. Porque exposición hay: responder confirma que tu canal está vivo, alarga el contacto con gente que a veces es crimen organizado con presupuesto, y cada mensaje tuyo es telemetría que el otro lado también lee. El baiting profesional que respeto —el que termina en reportes, en call centers expuestos, en firmas— es un oficio con blindaje. El mío era un hobby con guantes de cocina.

Me queda la reformulación, y es una de contabilidad. La pregunta con la que yo entraba a esas sesiones era «¿cuánto tiempo le hago perder?», y está mal enunciada porque cuenta un solo reloj. La versión honesta es: ¿quién está gastando el tiempo de quién, y qué queda cuando la sesión termina? Si queda algo que defiende a alguien —una firma, un reporte, un número dado de baja, este texto—, el intercambio cerró a favor. Si no queda nada, entonces el tarpit era yo: un operador con cuota me tuvo horas alimentando su métrica de actividad mientras yo alimentaba mi sensación de justicia, y los dos relojes corrieron para el mismo lado. Y detrás de esa pregunta hay otra, la única con valor preventivo real, que la fantasía del cazador existe precisamente para no hacer: no «¿cómo castigo al que caza?» sino «¿en qué ventana estoy yo ahora — y quién me cubre cuando esté en una?». Cansado, enojado, solo, apurado: el checklist no es para los demás.

Kitboga —el ingeniero detrás de Edna— cuenta que empezó cuando supo que su abuela, ya con demencia, había caído en estafas de estas, más de una vez. La abuela falsa que hace perder tardes enteras a los call centers existe porque una abuela real las perdió primero. Eso es lo que decanta cuando le saco al baiting la capa de deporte: en el fondo casi nunca es venganza contra el estafador — es la impotencia de no haber estado en la ventana de alguien más, convertida en teatro. Yo ya no les sigo el juego como antes. De aquellas sesiones me quedaron los guiones anotados, la certeza de que el operador también es un proceso con supervisor, y una vergüenza útil: la de haberme creído el cazador en un ecosistema donde esa palabra casi siempre la define otro. Lo que hago ahora con la misma bronca es esto — escribir las firmas, contar cómo suena el anzuelo, llamar a los míos antes de que llame Alex. Rinde menos como espectáculo. Defiende más.