El ladrón de los dos céntimos

Fecha: 2026-10-26 20:59:51 Autor: Alex Rubio

Una historia real sobre cómo una función legítima, multiplicada miles de veces, se convirtió en un agujero de 50.000 dólares.

Imagina un salón cualquiera en Plumas Lake, un pueblo tranquilo del norte de California. Es noviembre de 2007. Un chaval de 22 años mira la pantalla mientras su ordenador trabaja solo, sin descanso, abriendo cuentas en brokers online a una velocidad que ningún humano podría igualar.

Cada cuenta nueva le deja en el bolsillo unos céntimos. Uno, dos, a veces algo más. Calderilla. El tipo de dinero que nadie se agacha a recoger de la acera.

Se llamaba Michael Largent. Y durante unos seis meses, esa calderilla se fue amontonando hasta rozar los 50.000 dólares.

El truco de los céntimos de prueba

Si alguna vez has vinculado tu cuenta bancaria a una plataforma online, conoces el ritual. La plataforma te ingresa una o dos cantidades minúsculas y te pide que le digas cuánto has recibido. Así comprueba que la cuenta existe y que es tuya.

En el sector se llaman microdepósitos. En el caso de Largent oscilaban entre un céntimo y dos dólares. Son un mecanismo honesto, barato y eficaz para verificar datos bancarios. Para la empresa, es un coste de captación de clientes tan pequeño que ni aparece en los informes.

Y ahí estaba la pregunta que Largent se hizo: si cada cuenta nueva regala unos céntimos, ¿qué pasa si abres miles?

58.000 cuentas y un vaquero de dibujos animados

Largent escribió un script que automatizaba el alta de cuentas en dos de los brokers online más conocidos de Estados Unidos: E*Trade y Charles Schwab. Según la Fiscalía, entre noviembre de 2007 y mayo de 2008 abrió o intentó abrir más de 58.000 cuentas.

Cada una necesitaba un titular, y el script se los inventaba: nombres, direcciones, números de carné de conducir y de la Seguridad Social falsos. Para los nombres, Largent tiró de su cultura televisiva. Entre sus "clientes" figuraban Hank Hill y Rusty Shackleford, personajes de la serie de animación King of the Hill, y Johnny Blaze, de los cómics de Marvel. Solo en Schwab, más de 11.000 cuentas se abrieron a nombre de un tal "Speed Apex".

Todas esas cuentas falsas se vinculaban a un puñado de cuentas bancarias y tarjetas prepago que sí controlaba él. Los brokers hacían su ingreso de prueba, él movía el dinero y lo gastaba en gastos personales. Repetido miles de veces, los céntimos sumaron unos 50.000 dólares.

No contento con eso, aplicó el mismo truco a Google Checkout, el antiguo sistema de pagos de Google , del que sacó más de 8.000 dólares. Cuando su banco le preguntó por tantas transferencias diminutas, respondió que había leído las condiciones de Google y que no prohibían tener varias cuentas.

Le delataron los nombres, no el dinero

El dinero nunca levantó sospechas: eran céntimos, y los céntimos no hacen saltar alarmas. Lo que falló fue la identidad. La ley estadounidense obliga a las entidades financieras a verificar quiénes son sus clientes, y en enero de 2008 Schwab detectó más de 5.000 cuentas con datos inventados.

A partir de ahí, el Servicio Secreto y el FBI tiraron del hilo. Las miles de cuentas de "Speed Apex" se habían abierto desde solo cinco direcciones IP , y todas apuntaban a la conexión a Internet de Largent. E*Trade también detectó el fraude por su cuenta y lo denunció.

El desenlace llegó en septiembre de 2009: 15 meses de prisión, una restitución de 200.073,44 dólares y tres años de restricciones estrictas para usar ordenadores e Internet. Al dictar sentencia, el juez reconoció que el plan tenía cierta sofisticación y se preguntó por qué no había usado ese talento de forma legal.

Un detalle importante: a Largent no lo condenaron por "aprovechar" los ingresos de prueba, sino por crear miles de identidades falsas para conseguirlos. Lo que hizo fue un delito, no una travesura ingeniosa.

Conclusiones: el agujero no estaba en el código

Lo más inquietante de esta historia es que no hubo ninguna intrusión. Nadie robó contraseñas ni encontró un bug en los servidores. Largent usó una función pública, documentada y legítima exactamente como estaba diseñada. Solo cambió una variable: la escala.

De ahí salen tres lecciones que siguen vigentes casi veinte años después:

Lo pequeño multiplicado deja de ser pequeño. Un coste de dos céntimos por alta es irrelevante. Multiplicado por 58.000 altas automáticas, es una hemorragia. Cualquier proceso que entregue algo de valor de forma automática, sea dinero, saldo, créditos o descuentos, es un objetivo.
Diseñamos pensando en usuarios humanos. Los procesos de alta se piensan para personas que se registran una vez. Un script no se cansa, no duerme y no se aburre. Si tu sistema no distingue entre ambos, el script gana.
Las alarmas miran donde esperamos el problema. Nadie vigilaba los céntimos porque nadie imaginaba que fueran un botín. Lo que finalmente lo destapó fue un control de identidad pensado para otra cosa.

Hoy esta idea tiene nombre en ciberseguridad : abuso de lógica de negocio. No ataca la tecnología, ataca las reglas del juego. Y es especialmente peligroso porque los antivirus, cortafuegos y escáneres de vulnerabilidades no lo ven: para ellos, todo funciona correctamente.

Advertencias para tu negocio

Puede que tu empresa no regale céntimos, pero seguramente tiene su propia versión del microdepósito. Un cupón de bienvenida, una prueba gratuita, puntos por registro, un formulario que envía SMS o correos, un regalo por recomendar a un amigo. Revisa estos puntos:

Haz inventario de lo que regalas. Lista cada acción de tu web o app que entregue algo de valor sin pago previo. Ese es tu mapa de riesgos.
Pon límites de velocidad. Restringe cuántos registros, envíos o solicitudes se aceptan por IP , dispositivo o franja de tiempo. 11.000 altas desde cinco IP no deberían pasar nunca desapercibidas.
Frena a los bots. Usa verificaciones anti-bot, confirmación por correo o teléfono y huella de dispositivo en los procesos de alta.
Vigila patrones, no solo importes. Una alerta por importe no detecta mil operaciones de dos céntimos. Monitoriza volúmenes, repeticiones, nombres similares y picos de actividad.
Valida los datos que te dan. Nombres de personajes de ficción, direcciones inexistentes o datos repetidos son señales claras de altas falsas.
Calcula el peor caso. Pregúntate cuánto costaría tu promoción si alguien la explotara 50.000 veces en una noche. Si la respuesta asusta, ponle tope.
Revisa los registros con regularidad. Los logs del servidor y de tu tienda online cuentan historias. Alguien tiene que leerlas.

Y como usuario, una advertencia más: si te llega un microdepósito que no has solicitado, no lo ignores. Puede ser señal de que alguien está usando tus datos bancarios para abrir cuentas a tu nombre.

¿Y tú? ¿Lo habrías visto venir?

La historia de Michael Largent no es la de un genio del hacking. Es la de alguien que miró un proceso cotidiano desde un ángulo que nadie había considerado. Esa es la mirada que conviene aplicar a tu propio negocio antes de que lo haga otro.

En Seoxan Tech revisamos webs, tiendas online y servidores buscando no solo fallos técnicos, sino también esos procesos legítimos que, a gran escala, pueden volverse en tu contra. Si quieres saber cuál es tu "microdepósito", hablemos.

Fuentes