En septiembre de 2016, la policía del estado de Victoria, Australia, emitió una advertencia tras recibir denuncias de vecinos del suburbio de Pakenham que encontraron unidades flash sin identificación en sus buzones. El análisis confirmó que los dispositivos contenían software malicioso diseñado para infectar los equipos de los usuarios que los conectaran.
El método del cebo
Los criminales se valieron de la curiosidad humana: al descubrir una USB desconocida, muchos la insertaron en sus ordenadores buscando información del propietario o simplemente por curiosidad. Esa práctica, conocida como baiting o cebo, buscaba que el usuario ejecutara sin saberlo el código dañino.
"Emitimos la alerta para proteger a la comunidad y evitar que se propagara el malware", declaró la policía de Victoria.
Engaño mediante ofertas de streaming
Los archivos presentaban una interfaz que simulaba promociones de servicios de streaming de video, muy populares en 2016. Al intentar acceder a esas supuestas ofertas, se activaba en segundo plano una variante de ransomware que cifraba documentos, fotos y bases de datos, dejando el sistema bloqueado y mostrando una demanda de rescate.
Un estudio universitario que anticipó la vulnerabilidad
Meses antes del caso australiano, en abril de 2016, investigadores de la Universidad de Illinois en Urbana-Champaign y la Universidad de Michigan publicaron un experimento sobre la efectividad del cebo. Distribuyeron 297 USB en el campus y observaron que 48 % fueron recogidas y conectadas a computadoras, evidenciando la predisposición de los usuarios a interactuar con dispositivos desconocidos.
Limitaciones y transición a amenazas remotas
Aunque la táctica demostró ser eficaz, requería recursos logísticos para producir y distribuir físicamente los dispositivos, además de exponer a los atacantes a cámaras de vigilancia. Con el tiempo, los ciberdelincuentes migraron a métodos digitales más escalables, como el phishing automatizado y el ransomware entregado a través de la nube, que hoy dominan la escena de ataques globales.
En 2026, la combinación de inteligencia artificial y redes de extorsión ha ampliado la magnitud de los ciberataques, pero el caso de 2016 sigue recordándonos la importancia de la educación del usuario frente a amenazas físicas.
