La ciudad de Columbus demanda al experto que reveló la magnitud del ciberataque

• La ciudad de Columbus, Ohio, presentó una demanda contra el experto en ciberseguridad Connor Goodwolf, quien había venido revelando el tipo y la magnitud de los datos filtrados, y el tribunal aceptó la solicitud de la ciudad de una orden de restricción temporal
• El caso tomó fuerza después de que el departamento de tecnología de la ciudad detectara señales anómalas en el sistema el 18 de julio y cortara la conexión a internet; el grupo de hackers Rhysida afirmó tener 6.5 TB de datos y publicó el 45% de ellos
• El alcalde Andrew Ginther dijo el 13 de agosto que era muy probable que los datos robados estuvieran dañados o cifrados y fueran inutilizables, pero Goodwolf lo refutó ese mismo día mostrando a 10TV ejemplos de información personal accesible
• Entre los contenidos revelados después también se incluyó que podía descargarse la Columbus police crime matrix, que contiene información sobre testigos, víctimas y sospechosos de reportes policiales de los últimos 10 años, además de reportes de policías encubiertos
• Por orden judicial, Goodwolf no puede acceder, descargar ni distribuir los datos robados de la ciudad, y la ciudad reclama al menos 25 mil dólares por daños y perjuicios, además de cargos por invasión de la privacidad, negligencia y conversión civil

---

Demanda y orden de restricción temporal contra Goodwolf

• Un juez del condado de Franklin aprobó la orden de restricción temporal solicitada por la ciudad de Columbus contra el experto en ciberseguridad Connor Goodwolf
• En las últimas semanas, Goodwolf había informado a 10TV y a otros medios sobre los tipos de información publicados en la dark web, y el nombre que usa en entrevistas no es su nombre legal
• Según la orden, Goodwolf debe dejar de acceder, descargar y distribuir los datos robados de la ciudad
• La ciudad reclama al menos 25 mil dólares por daños y perjuicios, y el monto final se determinará en el juicio
• En la demanda, la ciudad sostiene que las acciones de Goodwolf causaron un “daño irreparable” y una “amplia preocupación en toda la región de Central Ohio”
• Los reclamos de la ciudad son cuatro: daños derivados de conducta delictiva, invasión de la privacidad, negligencia y conversión civil
• Según los registros de Franklin County Common Pleas Court, la conferencia final previa al juicio está programada para el 18 de septiembre de 2025
• 10TV pidió comentarios a Goodwolf, pero él se negó a responder

Desarrollo de la filtración y versiones contradictorias

• La ciudad de Columbus indicó que el problema se confirmó por primera vez el 18 de julio, cuando el departamento de tecnología detectó “evidencia de señales anómalas” en el sistema
• Después de eso, la ciudad cortó la conexión a internet
• Dos semanas más tarde, el grupo de hackers Rhysida se atribuyó el ataque y dijo tener 6.5 TB de datos; posteriormente publicó el 45% de la información robada
• El 13 de agosto, el alcalde Andrew Ginther dijo que era muy probable que los datos robados por los hackers estuvieran dañados o cifrados y fueran inutilizables
• Ese mismo día, Goodwolf dijo a 10TV que eso no era cierto y mostró qué tipos de información personal eran accesibles
• Después, Goodwolf siguió informando sobre la publicación de los datos de la ciudad en la dark web, y recientemente señaló que la Columbus police crime matrix podía descargarse
  • Esa base de datos incluye información sobre testigos, víctimas y sospechosos de reportes policiales de los últimos 10 años
  • También incluye reportes de policías encubiertos

El argumento de seguridad pública presentado por la ciudad

• El City Attorney Zach Klein dijo que esta medida no busca reprimir los derechos de Goodwolf bajo la Primera Enmienda (First Amendment)
• Klein afirmó que el problema no es lo que dice, sino el hecho de entrar a la dark web, recopilar y descargar información, y luego distribuirla a medios u otras personas
• Sobre por qué no actuaron antes, explicó que fue porque el tipo de datos había escalado hasta un nivel que amenaza investigaciones criminales
• Klein dijo que la información descargada y compartida por Goodwolf representa una amenaza para la seguridad pública y que la medida busca proteger a policías, víctimas y testigos
• La ciudad afirma que Goodwolf amenaza con publicar los datos robados a través de un sitio web que él mismo crearía
• Goodwolf dijo anteriormente a 10TV que sí planea crear un sitio web, pero solo para que los usuarios puedan verificar si su nombre está incluido en la filtración de datos

[GN⁺]

Opiniones en Hacker News

• Como ex pentester, en general simpatizo con Goodwolf, pero publicar datos reales casi siempre es una mala idea. Por eso los programas de bug bounty tienen límites de alcance.
  La ciudad parece estar molesta porque él compartió datos relacionados con una investigación en curso e informes de policías encubiertos; dependiendo de qué compartió exactamente, quizá no sea difícil entender la postura de la ciudad. Independientemente de dónde estuvieran ya esos datos, tomarlos y pasárselos a otras personas claramente no está bien.
  Si el objetivo era demostrarles a periodistas que esos datos existían y podían descargarse, había muchas formas de hacerlo sin acceder a los datos reales: capturas de pantalla de publicaciones en foros, enviar enlaces, describir los tipos de datos, etc. Si solo hizo eso y la ciudad reaccionó así, entonces es un abuso evidente; pero no es raro que se le ordene no difundir a periodistas datos de investigaciones en curso.
  Me identifico porque, antes de entrar a la industria, habría pensado que algo así era hacking de sombrero blanco; es un error fácil de cometer. Está bien informar sobre una filtración, pero cómo se informa importa muchísimo.
  Dicho eso, mi experiencia fue de alrededor de un año en 2016, así que quizá las cosas hayan cambiado. Aun así, hoy me sorprendería bastante que un pentester considerara aceptable distribuir datos reales de cualquier filtración.
  La ciudad dice que Goodwolf amenazó con crear su propio sitio web para publicar los datos robados de la ciudad, pero Goodwolf le había dicho a 10TV que planeaba crear un sitio donde solo se pudiera verificar si un nombre estaba incluido en la filtración. Eso es distinto de un sitio para revisar filtraciones de contraseñas, y podría permitir que cualquiera ingrese un nombre para confirmar si esa persona es testigo en una investigación penal.

  • No está del todo claro exactamente qué compartió y cómo. En el artículo sobre la filtración de datos enlazado desde la nota, parece que Goodwolf descargó los datos para verificar su contenido y se los mostró a un periodista, pero no los publicó realmente ni los distribuyó para que el periodista los conservara de forma permanente.
    Es parecido a que Boeing diga “no sabíamos de los problemas del 737 MAX” y un empleado le muestre a la prensa una captura de pantalla de un memorando confidencial diciendo “sí lo sabían, esta es la verdad”.
    Coincido en que crear un sitio web para buscar nombres y verificar si están relacionados con investigaciones policiales es una mala idea, pero él en realidad no lo hizo; solo tenía el plan.
  • Según el artículo que leí, Goodwolf no publicó los datos. Los hackers publicaron los datos, la ciudad mintió, y Goodwolf solo tomó datos accesibles públicamente y se los mostró a periodistas para demostrar la mentira de la ciudad.
    Si ese artículo no distorsionó gravemente la situación, esto no parece más que una enorme violación de libertades civiles en la que la ciudad intenta convertir a Goodwolf en chivo expiatorio. Todos los daños de los que hablan son consecuencia de su propia negligencia.
  • Esto no fue “publicar” información; ya estaba publicada. La dark web no es un lugar que requiera una conexión especial solo por invitación, sino un conjunto de sitios web comunes a los que cualquiera puede acceder si sabe dónde mirar. Incluso usando TOR, es lo mismo.
  • No es difícil culpar a la ciudad. Estos responsables de tomar decisiones están ejerciendo violencia para desanimar a quienes quieren ayudar con problemas de ciberseguridad muy graves. Esos problemas están por todas partes.
    En una sociedad sana, la persona que decidió esta acusación habría sido ofrecida como sacrificio a un volcán, claro que en sentido figurado.
  • Estos son datos que los criminales ya habían liberado públicamente.

• La afirmación de Klein: “No se trata de expresión. No lo es. Se trata de acciones concretas: entrar con un teclado a la dark web, recopilar información, descargarla a una computadora y luego distribuirla a los medios u otras personas” es incorrecta.
  Esto se trata de haberles mentido a los ciudadanos sobre la naturaleza y el formato de los datos que no pudieron proteger.

  • Es divertido cómo los políticos hablan de la dark web como si fuera un monstruo que se esconde de noche para acechar niños. Literalmente es solo un conjunto de sitios web.

• Esto es absurdo. Los investigadores solo señalaron lo mala que era la seguridad de la ciudad de Columbus, Ohio.
  El 13 de agosto, el alcalde Andrew Ginther dijo que los datos robados por los hackers estaban dañados o cifrados y probablemente eran inútiles. Horas después, Goodwolf le dijo a 10TV que eso no era cierto y mostró los tipos de información personal a los que había podido acceder.
  Toda la dirigencia de la ciudad debería estar sujeta a una votación revocatoria. Quedaron en ridículo por no tener seguridad, les mintieron a los ciudadanos con un “¡estaba cifrado, bro! créeme, soy político”, fueron descubiertos con justa razón, y ahora echan más leña al fuego usando impuestos para presentar esta demanda estúpida.

  • De acuerdo. Si en una ciudad muy grande no hay nadie que pueda contar una historia distinta, parece que así funciona en general el gobierno local. Todos viven bajo la premisa de que “hicieron lo mejor que pudieron con lo que sabían”, como si eso los eximiera de responsabilidad.
    He visto muchas cosas raras durante años, y eximir de responsabilidad solo con la explicación de la parte involucrada sobre cómo funciona la seguridad es, en el mejor de los casos, ignorancia deliberada. Si vamos a permitir que los gobiernos locales conserven información personal, deben hacerse responsables de esos datos. En 2024, “no sabíamos” no es aceptable, y de hecho no lo ha sido al menos desde hace 10 años.

• Una ciudad avergonzada terminó demandando a la persona molesta que les contó a todos cuántas tonterías habían dicho.
  Demandar a un investigador de seguridad por analizar el contenido de información publicada no protege a nadie.

  • Me recuerda a un episodio de Dark Net Diaries. Unos investigadores contratados por un gobierno estatal estaban haciendo una prueba de intrusión física en un edificio judicial remoto y fueron atrapados. Los pentesters cooperaron con los guardias de seguridad y la policía local, y explicaron la situación.
    Entonces apareció otra persona en el lugar reclamando jurisdicción, hizo un escándalo, llamó a alguien y luego hizo arrestar a los pentesters en el sitio por allanamiento.
    El gobierno estatal los dejó abandonados en una cárcel de condado y, al final, después de quedar en ridículo, parece que intentó impulsar demandas civiles por daños y cargos penales contra la empresa y los pentesters.
    Al final se retiraron los cargos, pero la reputación de los pentesters quedó dañada por un tiempo.

• Este es exactamente el tipo de caso en el que la EFF o la ACLU deberían intervenir para ayudar a defenderse contra esta orden de restricción absurda y usada como arma.

• Este resumen parece mejor:
  https://arstechnica.com/security/2024/08/city-of-columbus-su...

• Grupo de hackers: no demandado.
  Sitio web público que alojó los registros hackeados: no demandado.
  Funcionarios que mintieron: no demandados.
  Persona común que señaló las tres cosas: demandada.

• https://archive.is/dEBJT
  Bloqueado en la UE.

• Viví varios años en Columbus, y esto encaja totalmente. Ser una ciudad demócrata en un estado de mayoría republicana hace que el gobierno se vuelva bastante descarado a la hora de protegerse a sí mismo.

• Si la frase “No se trata de expresión. Se trata de acciones concretas: entrar con un teclado a la dark web, recopilar información, descargarla a una computadora y distribuirla a los medios u otras personas” es correcta, entonces, a menos que falte algo en el artículo, también sería ilegal que Chrome o Firefox avisen sobre posibles filtraciones de contraseñas.
  La realidad es que la ciudad está equivocada.