“¿Qué tienen de comer?”, preguntan dos clientes sentados a la mesa de un restaurante inmundo. La camarera, desde la barra, enumera el menú con voz chillona: “Bueno, tenemos huevos y panceta. Huevos, salchichas y panceta. Huevos y spam. Huevos, panceta y spam. Huevos, panceta, salchichas y spam. Spam, panceta, salchichas y spam. Spam, huevos, spam, spam, panceta y spam. Spam, spam, spam, huevos y spam. Spam, spam, spam, spam, spam, spam, alubias y spam. Spam, spam y spam. O langosta termidor aux crevettes con salsa mornay, paté de trufa, un huevo encima y ¡spam!” Este sketch, de los Monty Python (1970), no tenía nada que ver, aún, con los cientos, miles, millones de mensajes basura que circulan por Internet intentando abrirse camino hasta nuestras cuentas de correo electrónico. Se refería a una marca de lomito de cerdo llamada Hormel Spiced Ham (jamón especiado Hormel), o Spam, que se hizo famosa en la Segunda Guerra Mundial por ser el alimento básico de los soldados británicos durante el conflicto. Muchos años más tarde, a alguien se le ocurrió el símil, por lo pesado y molesto.

Las cifras son astronómicas. A medida que la red de redes fue conectando el mundo, el correo electrónico se ha convertido en el medio de comunicación con mayúsculas. Cada segundo se envían más de dos millones de mails, en verdad 193.200 millones por día. La mayor parte, sin embargo, es spam, correo electrónico enviado de forma masiva, con fines comerciales o fraudulentos, y generalmente indeseado por sus destinatarios. Me-ssageLabs, una de las empresas antispam de primer nivel (entre sus clientes se encuentran la OTAN, Citigroup y la corona británica), asegura que el 74 por ciento de los mensajes que surcan la red es basura. Hotmail, el proveedor de correo gratuito de Microsoft, uno de los mayores del mundo, eleva este porcentaje al 98 por ciento. Y para entender la magnitud del problema basta un detalle: la policía detuvo en enero de este año a dos spammers coreanos de 20 y 26 años. Los acusaba de haber enviado 1600 millones de mensajes spam en cuatro meses.

Afortunadamente, no todo llega a su destinatario. Una parte es detectada y filtrada por los servidores o las empresas antispam. Pero al final de cada jornada se acaba colando una media de 78 mil millones de correos basura. El simple cálculo provoca dolor de cabeza: si cada persona emplea seis segundos en leer y borrar un mensaje, se desperdician casi 130 millones de horas diarias en esta molesta tarea. Los hay de todo tipo y para todos los gustos: los que anuncian Viagra, alargamientos de pene, relojes o que ofrecen empleo, los que te cuentan que hay un chico o una chica loco/a por tener una cita contigo, los que prometen hot babes (nenas calientes) o boys, dietas milagrosas, la solución a una hipoteca impagable.

Claro que los orígenes fueron mucho más humildes. Todo comenzó ocho años después del sketch de Monty Python, cuando Gary Thuerg, jefe comercial de Digital Equipment Corporation, tuvo una feliz idea. La sede de su compañía se encontraba en un viejo molino de la costa este de Estados Unidos, y pensó en la mejor forma de publicitar el último modelo de ordenador de su empresa al otro lado del país. El 3 de mayo de 1978, un chispazo recorrió Arpanet, el primitivo sistema de computadoras en red al que hoy llamamos Internet. Thuerg acababa de enviar un inesperado e indeseado mensaje a unos 600 usuarios de la red en California y alrededores, a través de un incipiente medio de comunicación, el correo electrónico. Todos desde una única dirección, la suya. “Los invitamos a venir a ver el Decsystem2020 y a informaros del resto de la familia Decsystem20”, decía.

Ha llovido mucho desde entonces. Sobre todo en 2003. Hasta esa fecha, los niveles de correo basura se mantenían por debajo del 30 por ciento del total. Los spammers eran esa gente molesta que enviaba un correo a tres mil usuarios y poco más. “En los últimos cuatro años, sin embargo, la lucha contra el spam ha sido una auténtica carrera armamentística”, asegura Mark Sunner, jefe de seguridad de MessageLabs. Y sitúa el punto de inflexión en enero de 2003. Primero, unos pocos; luego, cientos, miles, cientos de miles de usuarios de correo electrónico empezaron a recibir el mismo mensaje. Asunto: Thank you! o My details!, e invitaba a abrir un archivo adjunto, que muchos descargaron. Se trataba del virus informático Sobig, capaz de instalarse en el disco duro del incauto sin que éste se diese cuenta. El programa recorría la PC buscando más direcciones y se autodisparaba hacia ellas. Me-ssageLabs llegó a detectar un millón de mensajes en un solo día. “Con el Sobig, por primera vez, los spa-mmers se sirvieron de un virus informático para adueñarse de los ordenadores infectados”, añade Sunner. Se trataba de un troyano, en honor al caballo de Troya: un programa que abre una puerta trasera del ordenador infectado, se cuela, sin que el dueño lo sepa, y convierte a la PC en una marioneta, un zombi, listo para que su pastor, desde cualquier lugar del mundo, ordene al rebaño. Ese rebaño se denomina botnets (redes de robots), y los spa-mmers, a partir de entonces, empezaron a utilizarlos como plataformas para enviar sus correos basura, multiplicando su capacidad de bombardeo. Fue una epidemia ingobernable: el nivel de spam alcanzaba el 60 por ciento a fines de año, mientras Microsoft, en noviembre, ofrecía 250 mil dólares a quien diese una pista sobre el autor del desastre. Nadie lo ha encontrado y los niveles de spam han seguido aumentando a un ritmo del 10 por ciento anual.

Los spammers, hoy, no necesitan usar su propia cuenta de correo. Les basta con poner sus botnets a funcionar. Controlan las computadoras a distancia, desde un cuadro de mandos similar al que vería el administrador de un chat. Localizarlos es una hazaña. Y no sirve de mucho. Robert Soloway, un estadounidense de 27 años apodado El rey del spam, fue detenido en mayo acusado de robo de identidad, lavado de dinero y fraude postal y electrónico; desde hacía cuatro años figuraba en la lista de los más buscados de la red por la cantidad de mensajes que enviaba a través de sus botnets. Las autoridades se frotaron las manos. Aseguraban que habían dado el gran golpe y que los niveles de spam se reducirían. ¿Alguien ha notado el cambio? El 90 por ciento del correo basura surge de estas redes de robots, según los expertos. Y todo el mundo es susceptible de formar parte de ellas. La mayoría ni lo sabe, aunque se calcula que un 11 por ciento de las computadoras mundiales está secuestrado. Hace poco, a los creadores del blog Security Fix, del periódico The Washington Post, les dio por preguntarse de dónde venía el spam. La sorpresa fue mayúscula cuando tras pasar un mes analizando mensajes y rastreando las direcciones IP desde las que se enviaron, descubrieron que la mayoría provenía de PC de grandes compañías: desde los equipos del Dow Jones salieron mensajes que proponían remedios para alargarse el pene; se enviaron anuncios de medicamentos desde una terminal de la compañía de videojuegos Electronic Arts; hubo ofertas irresistibles para participar en operaciones de Bolsa fraudulentas desde, ¡ay!, HewlettPackard.

Estados Unidos, con todas esas computadoras secuestradas funcionando a coro, lleva años ocupando el primer puesto de los países emisores de spam (más del 20 por ciento mundial, según Sophos). España ostenta el nada desdeñable quinto puesto. En Europa sólo le supera Francia, y entre ambos se reparten cerca del 11 por ciento del spam mundial. El dato no deja de sorprender, pues apenas existen spa-mmers españoles. La clave reside en la cantidad de equipos infectados por troyanos de puerta trasera: un 4,4 por ciento (al menos 600 mil computadoras), según datos del Instituto Español de Tecnologías de la Comunicación (Inteco). Sólo Telefónica, el mayor proveedor español de conexión a Internet de banda ancha, recibe decenas de miles de notificaciones al mes de gente de todo el mundo que le recrimina: “Oiga, me están bombardeando con correo basura desde las IP que usted administra”. Así lo cuenta Joaquín Castillejos, director general de TBSecurity, una empresa que cubre los fallos de seguridad informática de las administraciones públicas españolas, incluido el Centro Nacional de Inteligencia. “No me gusta meter miedo. Es la realidad”, añade junto con una anécdota ilustrativa: en enero de este año fueron detenidos dos holandeses veinteañeros que controlaban 1,5 millón de PC en todo el mundo; en seis meses habían obtenido 60 mil euros por alquilar sus servicios de spam.

“Por eso, esta batalla no se puede ganar. Existen demasiados incentivos para convertirse en spammer”, comenta José Nazario. “A lo único que podemos aspirar es a encauzarla.” Este bioquímico reconvertido en ingeniero de seguridad de Arbor Networks es una de las autoridades mundiales en redes de bots. Desde hace años, su trabajo consiste en seguirles la pista. Finge ser una computadora infectada y va tirando del hilo hasta que da con el hacker que intenta mover a la PC marioneta. Quizá por eso, Nazario se muestra pesimista: “Sólo la compraventa de direcciones de correo es un negocio de mucho dinero”.

Luis Corrons, informático autodidacta de 31 años y director técnico de Panda Security, una de las empresas antispam españolas más potentes, brinda otro ejemplo. Hace poco encontró una web rusa que anunciaba sus ofertas a granel: 100 dólares por cada millón de mensajes enviados; 1500 dólares por 32 millones de mails. El cliente podía elegir de una lista de 192 millones de usuarios de correo electrónico. “Sin ser especialmente inteligente es posible ganar una millonada haciéndote spammer”, dice Corrons. La mayoría de proveedores de cuentas de correo (Hotmail, Yahoo!, Gmail) o de empresas antispam usan una táctica similar. Buscan, rastrean y bloquean cualquier mensaje sospechoso. Es una estrategia defensiva. Crean cuentas de correo llamadas honeypots (cántaros de miel), para atraer el mayor número de correos basura posible, con un doble propósito: desviar la atención de los spammers y analizar novedades y patrones de comportamiento. Hotmail emplea 180 mil honeypots para afinar cada día mejor su puntería, según recogía un artículo de The New Yorker. Un ejemplo típico, pero real: primero intentarán enviar un mensaje anunciando “Viagra”, y cuando los filtros de detección morfológica rechacen cualquier correo con esa palabra, probarán con v1agra, realmente similar a la vista; luego viagra@, v1agr@, o v i a g r a, y así indefinidamente. (En Estados Unidos llegaron a registrarse quejas de personas que aseguraban apellidarse Viagra –mister Viagra– ya que sus correos legítimos eran rechazados sistemáticamente.)

Entonces, los spammers pasaron a enviar imágenes en las que había un texto escrito, más complicado de rastrear. Y agotada esta vía, la última moda consiste en mandar el spam con un archivo adjunto de los que uno se suele fiar: un documento de Word, un PDF, con encabezamientos dirigidos específicamente al destinatario. Los expertos lo llaman el spam polimórfico. Evolución, evolución, evolución. Ya lo escribió Brad Templeton, gurú de Internet: “Los spammers usarán técnicas nuevas y más ruines. Quienes lo filtran afinarán su tecnología. Pero el problema del spam empeorará antes de que mejore”.

* De El País de Madrid. Especial para Página/12.