Hay errores de principiante, y luego hay errores de nivel olímpico. Sohaib y Muneeb Akhtar, gemelos que trabajaban en recursos humanos para la empresa Opexus, lograron la hazaña de grabarse a sí mismos planeando y ejecutando un esquema de sabotaje informático contra su propio ex-empleador, todo porque uno de ellos olvidó terminar la grabación de una llamada de Microsoft Teams. El 18 de febrero de 2025, la empresa programó una reunión con los hermanos — ya despedidos para entonces — y Sohaib activó la grabación desde el minuto 4:48 de la llamada. Lo que no calculó es que esa grabación siguió corriendo mucho después de que la reunión "oficial" terminó, capturando todo lo que vino después: la conversación entre ambos hermanos donde discutían sus planes, sus métodos y sus motivaciones con una franqueza digna de una confesión notarial. La ironía es tan densa que casi se puede masticar: dos individuos acusados de hackear sistemas ajenos, derrotados no por un firewall ni por un investigador forense, sino por un botoncito de "Stop Recording" que nadie presionó.
Para entender el nivel del desastre, hay que contextualizar qué estaban haciendo los gemelos Akhtar más allá de olvidar cerrar aplicaciones. Según la acusación, después de ser despedidos de Opexus — empresa de software gubernamental con sede en Washington D.C. — los hermanos accedieron de forma no autorizada a los sistemas internos de la compañía. No fue un acceso de curiosidad o de despecho casual: el esquema incluía manipulación de datos, acceso a cuentas que ya no les pertenecían, y presuntamente intentos de causar daño operacional a la empresa que los había cortado. Este tipo de represalia post-empleo no es nueva en el mundo de la ciberseguridad — existe incluso terminología específica para el fenómeno del "insider threat" que persiste después de la separación laboral — pero la torpeza documental con la que ejecutaron el plan es, francamente, extraordinaria.
Lo que hace este caso particularmente interesante desde el ángulo técnico y legal es la naturaleza de la evidencia. Los fiscales no necesitaron reconstruir logs de servidor ni batallar con cifrado: tenían audio. Conversación directa, en voz de los propios acusados, describiendo lo que hicieron o planeaban hacer. En términos de cadena de custodia y admisibilidad, es prácticamente el sueño de cualquier fiscal. Microsoft Teams, como la mayoría de las plataformas de videoconferencia empresarial, guarda las grabaciones en la nube del tenant corporativo o en el almacenamiento configurado por la organización. Esto significa que Opexus tenía acceso completo al archivo desde el momento en que la grabación terminó — o más bien, desde el momento en que alguien la detuvo, lo cual en este caso fue mucho, mucho después de lo que los Akhtar hubieran querido.
Aquí vale la pena detenerse en algo que el caso ilustra con brutal claridad: la brecha cognitiva que existe entre saber hackear sistemas y entender las implicaciones operacionales de las herramientas que uno usa cotidianamente. Los gemelos, si las acusaciones son correctas, tenían suficiente conocimiento técnico para acceder a sistemas sin autorización. Pero ese conocimiento coexistía con un punto ciego monumental respecto a cómo funcionan las grabaciones de Teams en un contexto empresarial. No es una contradicción tan rara como parece — la especialización técnica raramente es uniforme, y hay hackers sofisticados que cometen errores de OpSec (seguridad operacional) elementales. La historia de la ciberseguridad está llena de operadores capaces que se traicionaron a sí mismos por descuidos análogos.
El ángulo laboral también merece atención. Opexus desarrolla software para agencias gubernamentales, lo que coloca este incidente en una categoría de sensibilidad elevada. El acceso no autorizado a infraestructura de una empresa que sirve al gobierno federal estadounidense no es equivalente a hackear la base de datos de una tienda de ropa. Las implicaciones regulatorias y de seguridad nacional, aunque los detalles públicos del caso no sugieren que se comprometió información clasificada, añaden capas de gravedad que los fiscales seguramente están explotando al máximo en la construcción de sus cargos.
Desde la perspectiva de cualquier organización, el caso es un recordatorio involuntario pero poderoso sobre la gestión de accesos post-separación. El vector de ataque que presuntamente usaron los Akhtar — credenciales o accesos que no fueron revocados oportunamente tras el despido — es uno de los más comunes y prevenibles en el catálogo de amenazas internas. El protocolo de offboarding digital debería ser tan riguroso como el de onboarding, y en muchas empresas simplemente no lo es. Cada cuenta activa de un ex-empleado es una puerta entreabierta.
En el balance final, este caso va a vivir en el folclore de la ciberseguridad durante años, no por la sofisticación del ataque sino exactamente por lo contrario. Los gemelos Akhtar posiblemente enfrentan cargos federales serios, con evidencia de audio que ellos mismos produjeron, por no saber que Teams seguía grabando. Es el equivalente digital de robar un banco y dejar tu INE en el mostrador. La tecnología que pretendían explotar los expuso; la tecnología que usaban todos los días los hundió.