El “paraíso del cibercrimen” está en un archipiélago del Pacífico, pero sus habitantes quieren limpiar su nombre

Los anales de Internet esconden innumerables historias sobre lo que ocurre cuando la occidentalizada gestión de los dominios web se cruza con algunos países del Sur Global. Lo más habitual, como en el caso de Tuvalu –una isla polinesia que gestiona el dominio .tv– o Anguila –la isla caribeña que gestiona el .ai tan codiciado por las empresas de inteligencia artificial– es que esa pequeña pieza de la digitalización, que personaliza las direcciones de las páginas web, se convierta en una mina de oro para estas comunidades.

Pero un dominio de éxito también puede mostrar otra cara. La del peor “colonialismo digital”, advierten en Tokelau. Este archipiélago del Océano Pacífico, habitado por unas 1.500 personas, tiene asignado el dominio .tk. La guarida preferida por el cibercrimen internacional desde el siglo pasado.

Tokelau ha sido la peor pesadilla de las fuerzas de seguridad y de millones de usuarios durante años. “Ver un dominio .tk es prácticamente lo mismo que ver un dominio .ru, que es el de Rusia. Sabes que lo que hay por detrás, sea lo que sea, no va a ser bueno”, avisa Rafa López, experto en ciberseguridad de Perception Point. “Se utiliza sobre todo para lanzar estafas masivas”.

Tokelau está formado por tres atolones que suman una superficie total de 12 kilómetros cuadrados. Sin embargo, su extensión digital sería inabarcable en una sola vida. “Ahora mismo tiene registrados más de 19 millones de dominios. Es el segundo en la lista mundial, solo por detrás de .com”, detalla López. Los dominios .es, por ejemplo, suman poco más de dos millones.

Cómo este remoto archipiélago logró convertirse en una megalópolis digital se entiende con una de las premisas básicas de la red: registrar dominios .tk es gratis. Cómo pasó a estar gobernada por el sindicato del phishing se explica con otra: para tener una web .tk solo se necesita un nombre y no hace falta que sea real.

“Por eso se le llama el paraíso del cibercrimen”, dice el experto en seguridad: “Primero por ser gratis, ya que lanzar campañas de ataque masivas, suplantaciones, etc. no cuesta nada. Y segundo porque se puede hacer de manera completamente anónima. No te hace falta irte a la dark web para anonimizarlo todo. Para terminar, como hay una empresa de por medio que es la que hace todos los registros, estás protegido de cualquier requerimiento internacional”.

Esa empresa es Freenom, que gestionó el registro de dominios .tk hasta 2023, cuando todo explotó. Una demanda de Meta (propietaria de Facebook, WhatsApp e Instagram) paró la actividad de la compañía, que no estaba registrada en Tokelau. Los tokelauenos dicen que no supieron nada de sus actividades hasta que fue demasiado tarde. Ahora pelean para recuperar el .tk.

El vaquero de las redes holandés

Además de a Freenom, la demanda de Meta apunta a dos personas. Una es Joost Zuurbier, el empresario de Ámsterdam que los tokelauanos señalan como el causante de todo en una reciente investigación publicada en Technonoly Review, la revista del Instituto Tecnológico de Massachusets (MIT), la primera que consigue aportar su versión de la historia.

Tokelau es un territorio dependiente de Nueva Zelanda, que dista 3.500 kilómetros y financia muchos de sus servicios básicos. Posee una de las economías más pequeñas del mundo. “Sin embargo, tiene sus propias instituciones políticas, sistema judicial, servicios públicos (incluidas telecomunicaciones y transporte marítimo) y pleno control de su presupuesto”, explica el Ministerio de Exteriores neozelandés.

“Tokelau tiene una estructura política única”, continúa el organismo: “El cargo de Ulu-o-Tokelau, Jefe Titular del Gobierno, rota anualmente entre el líder (Faipule) de cada atolón. El Fono General (órgano legislativo nacional) se reúne tres veces al año y está compuesto por representantes elegidos de cada atolón”.

Ante ellos se presentó en el año 2001 Joost Zuurbier. Quería usar el recién asignado dominio .tk a Tokelau por parte del Icann (la Corporación de Internet para la Asignación de Nombres y Números, una organización sin fines de lucro estadounidense) para proponerles una idea de negocio.

El empresario holandés quería ofrecer la posibilidad de registrar páginas web de manera gratuita. Pensaba que después de los correos electrónicos, el siguiente paso sería que cada persona tuviera su portal en la world wide web. Faltaban años para que Mark Zuckerberg creara Facebook, pero Zuurbier ya pensaba que había dinero en la posibilidad de ofrecer a los usuarios un espacio digital propio a cambio de insertar publicidad en ellos. El dominio .tk le parecía el ideal.

A los representantes de Tokelau, a donde la radio había llegado en 1970 y el teléfono en 1997, no les sonó mal. Ni siquiera sabían que el Icann les había concedido un dominio. “Descubrimos el .tk”, recuerda en la Technology Review Aukusitino Vitale, que en aquel momento era director general de Teletok, el único operador de telecomunicaciones del archipiélago. Zuurbier “pagaría a Tokelau una determinada cantidad de dinero para que Tokelau le permitiría utilizar el dominio”, continúa.

Hubo acuerdo. Una parte de lo que pasó después se incorporó al lado más oscuro de Internet. La otra salió a la luz ahora. “Él proporcionó todo el equipo, conectó los tres atolones y luego también puso algunos fondos que yo solía compartir con la comunidad”, dice Vitale. Aparecieron los cibercafés gratuitos en Tokelau, impulsados con el dinero del .tk.

“Fuimos a ciegas”

“Escuchamos el éxito que tuvo .tk. Éramos más grandes que China”, recuerda el ex director general de Teletok. “Nos sorprendió, pero no sabíamos lo que significaba para Tokelau. Lo que fue más significativo en ese momento fue que estábamos recibiendo dinero para ayudar a las aldeas. Entonces no sabíamos nada del otro lado”, asegura: “Fuimos a ciegas. No sabíamos que sería tan popular”.

Un ciclón de estafas, suplantaciones de identidad y cibercrimen se levantaba alrededor del paradisíaco Tokelau mientras sus habitantes vivían ajenos a él. Pero esa situación tenía fecha de caducidad. Ocurrió 10 años después, cuando el Gobierno de Nueva Zelanda dio un toque a los responsables del archipiélago respecto al .tk, que ya tenía un millón de páginas registradas.

Se pusieron en contacto con Zuurbier, quien intentó agasajarlos invitándolos a Ámsterdam con todos los gastos pagados para que visitaran la sede de la empresa. Después los llevó a un partido de Samoa en la Copa Mundial de Rugby. Pero poco después de ese viaje, empezó a retrasarse en los pagos a Tokelau y las quejas por el .tk se intensificaron.

Aunque la posibilidad de primar el anonimato por encima de todo y tener una web propia resonaba muy bien en el primer Internet, la práctica fue quedando aparcada con la aparición de las redes sociales y la necesidad de identificar a los responsables de los actos delictivos de la red. “Al final quien no quiere dar sus datos quiere hacer algo que no debe”, opina Rafa López.

TeleTok se puso en contacto con Zuurbier para intentar que cambiara la gestión de los .tk y limpiara el nombre de Tokelau. El holandés dijo que lo haría, pero nunca ocurrió. elDiario.es se puso en contacto con Joost Zuurbier y con Freenom, pero ni la empresa ni su fundador contestaron a los requerimientos.

Colonizando dominios web

En el archipiélago la situación se enquistó. Sus responsables temían que si rompía a las malas el pacto con Zuurbier, este retirara toda la infraestructura digital que conectaba el archipiélago con el mundo.

Mientras, el empresario colonizó otros dominios web. Se hizo con la gestión del .ga de Gabón, el .ml de Mali, el .gq de Guinea Ecuatorial y el .cf de República Centroafricana. En todos aplicó la misma política que en el .tk.

Todo siguió igual hasta marzo de 2023, cuando Meta llevó a Freenom y Zuurbier ante los tribunales. “Los demandados registraron, traficaron y utilizaron más de 5.000 nombres de dominio que son idénticos o confusamente similares a las marcas de los demandantes”, acusa la corporación, que cita ejemplos como “faceb00k.ga, fb-lnstagram.cf, facebook-applogin.ga, instagrams-help.cf, instaqram.ml, chat-whatsaap.gq, chat-whatsaap-com.tk”.

“Los cinco dominios a los que Freenom presta sus servicios son los elegidos por los ciberdelincuentes porque Freenom ofrece servicios gratuitos de registro de nombres de dominio y protege la identidad de sus clientes, incluso después de que se les presenten pruebas de que los nombres de dominio se están utilizando para fines ilegales”, dice la demanda de Meta.

La actividad de Freenom parece haber cesado tras la demanda. No existe información oficial de cuánto paga (o pagaba) a Tokelau. Teletok no informa de ello en sus cuentas ni sus representantes lo aclaran en la revista del MIT, aunque dicen que “no nos da mucho dinero. El .tk no fue nada para nuestros ingresos”. Zuurbier dice en su Linkedin que su aportación representaba el 10% del PIB de Tokelau.

Para los tokelauanos, lo importante es recuperar la gestión del .tk, algo que consideran clave para consumar la descolonización de Nueva Zelanda, cuyo Gobierno se comprometió a organizar un referéndum antes de 2025. “No lo tendrán fácil”, opina López, de Perception Point.

“La gente de Tokelau está intentando, para limpiar su nombre, recuperar el control del dominio y que los ciberdelincuentes no puedan usarlo anónimamente. Pero como es un dominio de segundo nivel, que no están tan estandarizados ni protegidos como nacionales como el .es por ejemplo, se considera que la empresa lo compró y ya está. La gente de Tokelau no puede recuperarlo y los ciberdelincuentes lo saben”, sigue el experto.

A la espera de saber qué ocurre con Freenom y la demanda de Meta, López recuerda que situaciones como las de Tokelau se podrían evitar. “Se podría solucionar si hubiese intención tanto de las operadoras como de los gobiernos de perseguir y sancionar este tipo de acciones de las empresas que amparan a los ciberdelincuentes. Si no sacan tarjeta les permiten seguir jugando”, recuerda.

“La Unión Europea tendría que poder vetar que empresas como Freenom actuaran así desde su territorio. A veces será como poner puertas al campo, pero cuantas más puertas pongamos más difícil lo tendrán”.

CDC