La ciudad de Columbus demanda a experto que reveló el alcance del ciberataque

• Tribunal local aprueba orden de restricción contra experto en ciberseguridad que reveló la filtración de datos de la ciudad

  • Un juez del condado de Franklin aprobó una orden de restricción temporal contra Connor Goodwolf, el experto en ciberseguridad que reveló el tipo y la cantidad de información expuesta en el ciberataque sufrido por la ciudad el mes pasado
  • Durante las últimas semanas, Goodwolf explicó en detalle en entrevistas con 10TV y otros medios qué tipo de información estaba disponible en la dark web

• Desarrollo del ciberataque contra la ciudad

  • La ciudad desconectó su conexión a internet el 18 de julio, después de que su departamento de tecnología detectara señales anómalas en los sistemas
  • Dos semanas después, el grupo de hackers Rhysida afirmó haber perpetrado el ataque y anunció que tenía 6.5 terabytes de datos
  • Posteriormente, Rhysida publicó el 45% de los datos robados a la ciudad

• Impacto de la filtración de datos

  • El 13 de agosto, el alcalde Andrew Ginther anunció que los datos robados por los hackers estaban dañados o cifrados y que por eso no servían
  • Sin embargo, Goodwolf dijo en una entrevista con 10TV que esa afirmación no era cierta y mostró información personal a la que podía acceder
  • Goodwolf reveló recientemente que la matriz delictiva de la policía de Columbus podía descargarse. Esta base de datos incluye información sobre testigos, víctimas y sospechosos contenida en reportes policiales de los últimos 10 años

• Orden de restricción y demanda

  • La ciudad solicitó y obtuvo una orden de restricción temporal contra Goodwolf. Exige al menos $25,000 en daños, y el monto total se determinará en el juicio
  • El tribunal ordenó a Goodwolf dejar de acceder, descargar y distribuir los datos robados de la ciudad
  • La ciudad afirma que Goodwolf causó un "daño irreparable" y una "preocupación generalizada en toda la región central de Ohio"

• Postura de la ciudad

  • El abogado de la ciudad, Zach Klein, subrayó que este caso no busca reprimir la libertad de expresión de Goodwolf
  • Klein explicó que la medida busca impedir la difusión de datos que podrían poner en riesgo una investigación criminal
  • Klein afirmó que están trabajando para proteger a policías, víctimas y testigos, y sostuvo que la información descargada y compartida por Goodwolf representa una amenaza para la seguridad pública

• Planes de Goodwolf

  • Goodwolf declaró que planea publicar los datos robados de la ciudad a través de un sitio web que él creó. Sin embargo, aseguró que ese sitio solo se usaría para que las personas pudieran verificar si su nombre estaba incluido en la filtración de datos

• Reacción de la ciudad

  • La oficina de Klein declaró que respeta la decisión del juez y que se trata de una medida positiva para frenar la difusión de datos confidenciales robados de personal y de víctimas
  • La ciudad presentó cuatro reclamaciones contra Goodwolf: daños por conducta criminal, invasión de la privacidad, negligencia y conversión civil
  • La audiencia preliminar final está programada para el 18 de septiembre de 2025

Resumen de GN⁺

• Este caso trata sobre la respuesta legal contra un experto en ciberseguridad que divulgó información importante relacionada con la filtración de datos de la ciudad
• Goodwolf generó controversia al revelar que, a diferencia de lo afirmado por la ciudad, los datos robados por los hackers sí eran útiles
• La ciudad sostiene que las acciones de Goodwolf representan una amenaza para la seguridad pública y ha tomado medidas legales
• El caso vuelve a poner sobre la mesa los problemas legales y éticos vinculados a las filtraciones de datos, y subraya la importancia de la seguridad de la información

[GN⁺]

Opiniones de Hacker News

• Como ex pentester, simpatizo con Goodwolf, pero publicar datos reales casi siempre es una mala idea

  • Esa es la razón por la que los programas de bug bounty tienen un alcance limitado
  • Parece que la ciudad está molesta porque Goodwolf compartió datos sobre una investigación en curso y un reporte policial confidencial
  • Tomar datos y pasárselos a otras personas claramente no es una buena idea
  • Había muchas formas de demostrarles a los periodistas que los datos existían y que se podían descargar sin acceder a ellos: tomar capturas de pantalla de publicaciones en foros, enviarles el enlace a los periodistas o describir el tipo de datos, etc.
  • Si hubiera hecho eso y aun así la ciudad reaccionara de esta manera, eso sería claramente un abuso
  • No es irrazonable ordenar que no se difundan a periodistas datos sobre una investigación en curso
  • Nadie querría que un caso personal se difundiera más ampliamente
  • Simpatizo mucho con él porque este error es fácil de cometer
  • Antes de entrar a la industria, yo pensaba que esto era white hat hacking
  • Difundir conciencia sobre una brecha claramente es algo bueno, pero cómo se hace realmente importa
  • Trabajé en esta industria alrededor de un año en 2016, pero incluso hoy no creo que distribuir datos reales comprometidos fuera aceptable para nadie que trabaje como pentester

• Goodwolf está amenazando con crear su propio sitio web y publicar los datos robados de la ciudad

  • Goodwolf le dijo a 10TV que planea montar su sitio web, pero que permitirá que las personas verifiquen si su nombre está incluido en la filtración de datos
  • Esto no es lo mismo que crear un sitio para verificar si una contraseña fue filtrada
  • Podría permitir que alguien ingrese el nombre de otra persona para comprobar si esa persona es testigo en una investigación criminal
  • Klein dijo: "Esto no trata de expresión, sino del acto real de entrar a la dark web con un teclado, recopilar información, descargarla a una computadora y luego distribuirla a la prensa u otras personas"

• Se trata de que la ciudad le mintió al público sobre no haber podido proteger los datos

  • Los investigadores simplemente están señalando lo malas que son las medidas de seguridad de Columbus, OH
  • El 13 de agosto, el alcalde Andrew Ginther dijo que era muy probable que los datos robados por los hackers fueran inútiles porque estaban dañados o cifrados
  • Unas horas después, Goodwolf mostró que eso no era cierto y qué tipo de información personal había podido consultar
  • Toda la cúpula directiva de la ciudad debería ser despedida
  • Los descubren sin seguridad, le mienten al público y, cuando la mentira es señalada legítimamente, avivan el fuego con esta demanda absurda
  • Una ciudad avergonzada demanda a la persona molesta que le hizo saber a todos lo desastrosa que es
  • Demandar a un investigador de seguridad que examina el contenido de información ya publicada no protege a nadie
  • Este es un caso perfecto para que la EFF o la ACLU ayuden a defenderse de esta orden de restricción absurda y usada como arma

• Viví en Columbus varios años

  • Esto es absolutamente cierto
  • Hay algo en una ciudad azul dentro de un estado rojo que la vuelve muy audaz a la hora de protegerse a sí misma

• Para agregar a la lista:

  • Hacking syndicate: no demandado
  • Sitio web público que aloja registros hackeados: no demandado
  • Funcionarios públicos mentirosos: no demandados
  • Joe Schmoe, que señaló esas tres cosas: demandado