Exanalista condenado por extorsionar a Brightly Software

Dos años de prisión por la campaña de extorsión

Cameron Curry, de 27 años, ciudadano de Carolina del Norte conocido en Internet como «Loot», ha sido condenado a dos años de prisión por extorsionar a Brightly Software, una empresa de SaaS adquirida por Siemens.

La sentencia se dio a conocer el 14 de agosto de 2026. Curry fue declarado culpable en marzo, tras una investigación del FBI y del Departamento de Justicia de Estados Unidos.

El caso se refiere a un ataque interno perpetrado por un antiguo colaborador con acceso legítimo a información corporativa. Curry trabajaba para Brightly como analista de datos contratado. Su contrato, de seis meses de duración, no habría sido renovado.

Tras la finalización del contrato, el 10 de diciembre, habría comenzado a utilizar datos obtenidos durante su actividad laboral para presionar a la empresa.

Los correos firmados como «Loot» y la exigencia de 2,5 millones

Entre el 11 de diciembre de 2023 y el 24 de enero de 2024, Curry habría enviado numerosos correos electrónicos a empleados de Brightly. Para comunicarse utilizaba el alias «Loot» y la dirección [email protected].

El mensaje incluía una exigencia de rescate de 2,5 millones de dólares en criptomonedas. A cambio, el extorsionador amenazaba con publicar documentos sustraídos a la empresa e información personal de sus empleados.

Las amenazas contemplaban una divulgación progresiva. Curry afirmaba que comenzaría a publicar datos salariales el 1 de enero de 2024 y que incrementaría gradualmente la cantidad de información difundida.

El chantaje también incluía una penalización: el importe aumentaría en 100.000 dólares por cada mes de retraso en el pago. Curry afirmaba además haber detectado discrepancias contables superiores a 16 millones de dólares y amenazaba con denunciar a Brightly ante la Comisión de Bolsa y Valores de Estados Unidos (SEC) por una supuesta falta de notificación de la brecha.

Los correos contenían capturas de pantalla con información personal identificable. Entre los datos aparecían nombres, fechas de nacimiento, domicilios y datos salariales.

Finalmente, Brightly transfirió 7.540 dólares en bitcoines a una cartera controlada por Curry. El pago no coincidía con la exigencia inicial, mucho más elevada, pero aun así constituyó una transferencia de fondos al extorsionador.

No se sabe si los datos llegaron a publicarse ni qué cantidad de documentos fue sustraída o consultada.

El riesgo para los empleados y la empresa

El incidente combina tres elementos distintos: abuso de accesos legítimos, sustracción de documentos sensibles y extorsión basada en la amenaza de divulgación.

Para los empleados, la posible exposición afecta a datos personales, residenciales y laborales. La información salarial también puede facilitar fraudes dirigidos, campañas de phishing o intentos de suplantación de identidad contra el personal.

Para Brightly, el posible daño no se limita a la privacidad. Las amenazas podían provocar consecuencias reputacionales, litigios y la atención de los organismos reguladores. Las supuestas anomalías contables superiores a 16 millones de dólares añadían un elemento adicional de presión, aunque el proceso judicial se refiere a la extorsión y al robo de datos.

El caso también muestra una característica habitual de las amenazas internas: el atacante no tiene necesariamente que superar un sistema de autenticación ni explotar una vulnerabilidad de software. Puede utilizar permisos asignados para desempeñar su trabajo, recopilar información durante la relación profesional y conservarla después de que esta termine.

El riesgo aumenta cuando el acceso a los datos de nóminas no se limita a las actividades estrictamente necesarias o cuando la revocación de cuentas y la supervisión de las copias locales no se realizan con rapidez.

El registro y el papel de las autoridades

Tras la denuncia, el FBI registró el domicilio de Curry el 24 de enero y confiscó varios dispositivos electrónicos. Los dispositivos contenían pruebas que lo vinculaban con la campaña de extorsión.

El análisis forense proporcionó a los investigadores material digital útil para reconstruir las comunicaciones, el uso de la identidad «Loot» y la posesión de documentos corporativos.

Brightly declaró haber colaborado plenamente con el FBI y el Departamento de Justicia de Estados Unidos. La información divulgada señala como medidas documentadas la denuncia, la cooperación con los investigadores y el análisis forense de los dispositivos.

No se conocen, en cambio, otras medidas técnicas adoptadas por la empresa en este caso concreto. Tampoco se han comunicado públicamente detalles sobre la revocación de credenciales, la rotación de secretos, la segmentación de accesos, la conservación de registros o la supervisión específica de las cuentas utilizadas por el antiguo colaborador.

Para las organizaciones, la respuesta a un caso similar debería incluir al menos la preservación de las pruebas, el análisis de los accesos realizados, la verificación de los datos copiados y la evaluación de las obligaciones de notificación. Sin embargo, estas actividades no se han atribuido públicamente a Brightly más allá de su colaboración con las autoridades.

Un incidente distinto de la brecha de SchoolDude

Brightly Software ofrece herramientas para gestionar y mantener activos a más de 12.000 clientes en todo el mundo y cuenta con más de 700 empleados. La empresa se denominaba anteriormente SchoolDude y fue adquirida por Siemens en agosto de 2022.

El caso de Curry no coincide con la brecha de seguridad que Brightly hizo pública en mayo de 2023. En ese incidente, unos atacantes no identificados sustrajeron credenciales y datos personales de la base de datos de la plataforma online SchoolDude.

La información afectada incluía nombres, direcciones de correo electrónico, contraseñas de cuentas y números de teléfono. El incidente afectó a casi 3 millones de clientes y usuarios.

Los dos hechos son de naturaleza diferente. La brecha de SchoolDude consistió en un ataque contra una base de datos online atribuido a agresores no identificados. La investigación sobre Curry se refiere, en cambio, a un antiguo colaborador identificado, al uso de accesos obtenidos durante la relación laboral y a una posterior exigencia de extorsión.

Para quienes gestionan datos sensibles, el precedente refuerza una conclusión práctica: proteger el perímetro externo no es suficiente. También es necesario controlar quién puede consultar, exportar y conservar la información interna, especialmente en los sistemas que gestionan nóminas y datos personales.