AIDS Trojan (1989): el primer ransomware de la historia

En 1989, los ordenadores personales eran herramientas aisladas, sin conexión permanente a redes globales y con un nivel de confianza casi ingenuo en todo aquello que llegaba a través de medios físicos. La seguridad informática apenas era una preocupación y la idea de que alguien pudiera secuestrar el acceso a un ordenador para exigir dinero resultaba, sencillamente, impensable. Ese mismo año, sin embargo, tuvo lugar un episodio que con el paso del tiempo se convertiría en el origen de uno de los modelos de extorsión digital más devastadores de la historia: el primer ransomware documentado.

Un disquete que parecía inofensivo

Todo comenzó con un envío postal. Miles de médicos, investigadores y profesionales del ámbito sanitario recibieron en sus oficinas y domicilios un disquete acompañado de una carta explicativa. El contenido prometía ser informativo y educativo: un programa con datos sobre el SIDA, una enfermedad que en aquel momento concentraba una enorme atención mediática y científica.

El nombre del software, AIDS Information Introductory Diskette, no despertaba sospechas. En una época en la que el intercambio de programas por correo era habitual, nadie vio motivos para desconfiar. El disquete se insertaba, el programa se instalaba y el ordenador seguía funcionando con total normalidad.

Durante un tiempo.

Quién estaba detrás del programa

El autor del software era Joseph L. Popp, un biólogo con doctorado por la Universidad de Harvard y con experiencia profesional en proyectos relacionados con la investigación del SIDA. No se trataba de un perfil marginal ni de un delincuente habitual, sino de alguien con formación académica y conocimiento del entorno al que se dirigía.

Popp no se presentaba como un atacante. Al contrario, su mensaje estaba cuidadosamente envuelto en una apariencia legal y administrativa. Hablaba de licencias de uso, de pagos formales y de una supuesta empresa llamada PC Cyborg Corporation. Su planteamiento no era destruir ni robar información, sino condicionar el acceso a ella.

La idea era sencilla, pero radical para su época: si controlas el acceso a un sistema, puedes pedir dinero por devolverlo.

El momento en que todo se detiene

Tras un número determinado de reinicios del ordenador, el programa activaba su verdadera función, la de ransomware. El usuario se encontraba de repente con un sistema inutilizable. Los archivos parecían haber desaparecido y el ordenador dejaba de ser operativo.

En pantalla aparecía un mensaje claro y aparentemente razonable. La licencia del software había caducado y era necesario regularizar la situación. Para recuperar el acceso, se solicitaba el pago de 189 dólares, que debían enviarse por correo postal a un apartado en Panamá.

No había amenazas explícitas ni un lenguaje agresivo. No se hablaba de rescate, sino de renovación. El tono era casi burocrático, lo que hacía el mensaje aún más inquietante.

Sin saberlo, aquellos usuarios estaban experimentando el primer caso de extorsión digital basado en la indisponibilidad de sistemas.

Un experimento que no salió como se esperaba

El plan de Joseph Popp no funcionó a largo plazo. Especialistas y analistas comenzaron a investigar el comportamiento del programa y descubrieron que, aunque el acceso al sistema estaba bloqueado, los datos no habían sido destruidos. Con el tiempo, se desarrollaron herramientas que permitían restaurar el funcionamiento del ordenador sin necesidad de pagar.

El impacto económico del ataque fue limitado y la operación fracasó como modelo de negocio. Sin embargo, la idea ya había sido lanzada y no desaparecería jamás.

Por primera vez, alguien había demostrado que era posible utilizar un ordenador como rehén.

Detención, juicio y silencio

Cuando las autoridades identificaron a Joseph Popp como responsable del ataque, fue detenido en el Reino Unido. El proceso judicial nunca llegó a resolverse de forma clara. Popp mostró comportamientos erráticos y fue declarado no apto para afrontar un juicio, por lo que el caso se cerró sin una condena firme.

No hubo una reflexión pública profunda ni una respuesta coordinada. El episodio quedó relegado a una curiosidad histórica, una anécdota extraña en los primeros años de la informática personal.

Ese silencio resultaría, con el tiempo, especialmente significativo.

El verdadero legado del AIDS Trojan

El AIDS Trojan no fue especialmente sofisticado ni causó un daño masivo. No colapsó hospitales ni paralizó infraestructuras críticas. Sin embargo, introdujo un concepto que hoy sigue siendo el núcleo del ransomware moderno: bloquear el acceso a un sistema y exigir un pago para restaurarlo.

En 1989, la idea estaba limitada por la tecnología de la época. No existían pagos digitales anónimos, ni conectividad global, ni capacidad de escalar ataques de forma masiva. Aun así, el modelo conceptual ya estaba completo.

Décadas después, ese mismo planteamiento se ha perfeccionado y amplificado hasta convertirse en una de las principales amenazas para empresas, administraciones públicas y servicios esenciales.

Una lección que sigue vigente

El nacimiento del ransomware no fue el resultado de una gran innovación técnica, sino de una observación muy simple: cuanto más dependemos de la tecnología, más vulnerables somos a perder el acceso a ella.

El AIDS Trojan fue el primer aviso. Pasó casi desapercibido, pero dejó claro que la extorsión digital no necesitaba destruir nada para ser eficaz. Bastaba con impedir el acceso.

Treinta y cinco años después, el ransomware sigue explotando exactamente la misma debilidad. Lo único que ha cambiado es la escala.