Operador del mercado Rydox se declara culpable en EE. UU.

Ardit Kutleshi, uno de los hombres acusados de gestionar el mercado ciberdelictivo Rydox, se ha declarado culpable en Estados Unidos de usurpación de identidad agravada y blanqueo de capitales.

Este joven de 28 años fue extraditado el año pasado desde Kosovo, su país natal. Según la fiscalía estadounidense, él y su hermano mayor gestionaban Rydox, una plataforma ilícita en la que los ciberdelincuentes compraban datos personales robados, accesos no autorizados a dispositivos y otras herramientas para cometer fraudes.

La sentencia se conocerá en febrero. El delito de usurpación de identidad agravada conlleva una pena mínima obligatoria de dos años de prisión. El de blanqueo de capitales, una pena máxima de 20 años.

Una tienda de identidades robadas y kits de fraude

Según la fiscalía, Kutleshi ayudó a gestionar Rydox durante casi una década. En ese tiempo, la web tramitó más de 7.600 transacciones, que generaron 232.000 dólares.

El mercado tenía unos 18.000 usuarios. Podían comprar números de la Seguridad Social estadounidense, el identificador vinculado al empleo, los impuestos y el crédito, además de manuales que explicaban cómo crear páginas fraudulentas y otros productos. Esa combinación de datos robados y guías prácticas hacía que los compradores obtuvieran tanto la materia prima para el fraude como las instrucciones para utilizarla.

Rydox no estaba abierto a cualquiera que se presentara sin más. Los usuarios tenían que depositar dinero en la web antes de obtener la aprobación para comprar cualquier artículo de la plataforma. Probablemente, este requisito servía para filtrar a los visitantes ocasionales y garantizaba que los compradores ya hubieran comprometido fondos antes de acceder a la mercancía.

El fiscal federal Troy Rivetti afirmó que los hermanos ganaron "cientos de miles de dólares con el mercado en el que los ciberdelincuentes podían comprar información y herramientas para llevar a cabo y ampliar sus delitos en internet".

Rivetti también se refirió al daño que sufren las víctimas más allá del dinero que pierden.

"Este tipo de ciberdelitos no solo provocan pérdidas económicas, sino también un daño psicológico continuado a las víctimas, que pierden tanto dinero como la confianza en las instituciones y en la infraestructura del mercado en línea", declaró.

Brett Leatherman, subdirector de la División Cibernética del FBI, señaló que la plataforma daba a cualquiera acceso a grandes colecciones de identidades robadas y credenciales de acceso de miles de personas.

Una operación en cuatro países

La actuación contra Rydox se remonta a diciembre de 2024. Ese mes, el FBI y otras fuerzas de seguridad incautaron el dominio que alojaba el mercado. Al mismo tiempo, la policía de Kosovo detuvo a Kutleshi.

La operación no se limitó a Estados Unidos y Kosovo. Las fuerzas de seguridad de Albania detuvieron a otra persona implicada en la gestión de Rydox, y la policía de Malasia incautó varios servidores utilizados para mantener la web.

Esta actuación coordinada atacó la plataforma desde varios frentes a la vez: el dominio que los usuarios utilizaban para acceder a la web, las personas que la gestionaban y los servidores que la mantenían en línea.

El hermano, condenado y deportado

El hermano mayor de Kutleshi ya se había declarado culpable antes que él. Según Rivetti, fue condenado al tiempo que ya había pasado en prisión y deportado después a Kosovo en diciembre.

No está claro si Ardit Kutleshi seguirá el mismo camino. Recorded Future News preguntó si también sería deportado. Un portavoz del Departamento de Justicia remitió al medio al Departamento de Seguridad Nacional (DHS), la agencia estadounidense encargada de hacer cumplir la normativa de inmigración. El DHS no respondió a las solicitudes de comentarios.

El Departamento de Justicia tampoco aclaró si Kutleshi sigue bajo su custodia.

Nuestro análisis

El caso Rydox demuestra lo pequeñas que pueden parecer sobre el papel las cifras de un mercado delictivo con muchos años de actividad. 232.000 dólares por más de 7.600 transacciones supone importes modestos por venta. El verdadero coste recae en las personas cuyos números de la Seguridad Social y credenciales se revendieron, y en quienes después fueron objetivo de las páginas fraudulentas que los compradores aprendieron a crear. Los comentarios de Rivetti sobre la pérdida de confianza apuntan precisamente a ese daño posterior.

El caso encaja además en una tendencia constante: la fiscalía estadounidense persigue a sospechosos de ciberdelitos en el extranjero mediante extradiciones y operaciones conjuntas, algo que también se observa en casos como las acusaciones contra directivos de Oxygen Forensics. Incautar el dominio, detener a los operadores y requisar los servidores al mismo tiempo apunta a un esfuerzo por dificultar que la plataforma reaparezca sin más en otro lugar.

Para los defensores, la lección es conocida. Los datos personales obtenidos en brechas de datos y estafas telefónicas suelen acabar a la venta en webs como esta, donde alimentan nuevos fraudes.

Conviene estar atentos a la pena que reciba Kutleshi en febrero y a si, como su hermano, acaba siendo devuelto a Kosovo. El resultado podría indicar cómo valoran los tribunales estadounidenses el tiempo ya pasado bajo custodia en casos de extradición de este tipo.