Ex empleado de Disney condenado a tres años de prisión por hackear menús y alterar información crítica

En un caso que ha captado la atención del mundo empresarial y tecnológico, un ex empleado de Disney, identificado como Michael Scheuer, fue declarado culpable y condenado a 36 meses de prisión, además de una multa cercana a los 688,000 dólares, tras realizar manipulaciones maliciosas en los sistemas informáticos de la compañía. Scheuer, quien trabajó como Gerente de Producción de Menús para Disney, perpetró una serie de ataques que afectaron la aplicación utilizada por la empresa para crear y gestionar sus menús en restaurantes, provocando interrupciones significativas y poniendo en riesgo la seguridad de los clientes. Este caso subraya la relevancia de contar con sólidos controles internos y protocolos de seguridad, especialmente en compañías de alta visibilidad y con grandes volúmenes de datos críticos. La cronología de los hechos comenzó con la destitución de Scheuer en junio de 2024 debido a conductas inapropiadas. La salida de Scheuer no fue amigable, y poco después, en julio, inició sus acciones de represalia aprovechando su conocimiento y acceso previo a los sistemas de Disney.

Utilizando credenciales administrativas y herramientas tecnológicas como la VPN comercial Mullvad, accedió sin autorización a la aplicación Menu Creator, un software alojado por un proveedor externo en Minnesota que Disney empleaba para configurar y actualizar sus menús en múltiples locales. Uno de los primeros ataques consistió en modificar la configuración de fuentes tipográficas de los menús a nivel de base de datos, reemplazándolas por la fuente Wingdings, una tipografía inusual y prácticamente ilegible para el público general. Esta alteración tuvo como resultado que todos los menús mostraran un formato homogéneo y genérico, en lugar de los estilos temáticos personalizados que Disney solía aplicar, lo cual también volvió la aplicación inaccesible durante una o dos semanas mientras se realizaban las reparaciones correspondientes. Pero las manipulaciones no se limitaron solo a fuentes: Scheuer también modificó las imágenes de fondo de los menús, sustituyéndolas por páginas en blanco que interferían con la legibilidad y el atractivo visual de las ofertas gastronómicas. A raíz de estos incidentes, Disney tomó medidas inmediatas para reducir los riesgos de acceso indebido, restringiendo permisos en la aplicación y restableciendo contraseñas.

No obstante, Scheuer implementó un tercer método para continuar con sus actividades ilícitas, que consistió en explotar servidores SFTP (protocolo de transferencia de archivos segura) manejados por el proveedor externo de Menu Creator. Tras conseguir acceso administrativo a estos servidores, logró modificar directamente los archivos de los menús antes de que éstos fueran impresos o exhibidos, generando complicaciones adicionales para la empresa. Entre las alteraciones más graves realizadas en esta etapa, Scheuer manipuló la información sobre alérgenos en los menús, señalando erróneamente que ciertos platillos eran seguros para personas con alergias específicas. Esta clase de falsificación podría haber causado consecuencias fatales para consumidores que dependieran de tales advertencias para tomar decisiones de salud. Además, modificó los precios y añadió grafismos inapropiados, incluyendo la inserción de símbolos ofensivos y referencias controversiales en las regiones vitivinícolas descritas, así como gráficos con connotaciones racistas y políticas.

No contento con afectar únicamente los contenidos del menú, Scheuer también lanzó ataques de denegación de servicio (DoS) contra las cuentas corporativas de Disney, generando más de 100,000 intentos fallidos de inicio de sesión para provocar bloqueos y afectar el acceso de los empleados a sus cuentas corporativas. Esto impactó a al menos catorce personas dentro de la compañía, complicando las operaciones regulares y elevando la tensión interna. La investigación conducida por el FBI concluyó con el registro del domicilio de Scheuer en septiembre de 2024, la confiscación de sus equipos computacionales y el hallazgo de múltiples máquinas virtuales usadas para los ataques, así como archivos con información personal detallada de empleados de Disney y sus familiares, configurando un caso de doxxing que amplificó las preocupaciones de seguridad dentro del entorno laboral. Finalmente, la justicia federal decidió imponer una condena severa para Scheuer, considerando tanto el daño material causado como las posibles implicaciones para la seguridad y confianza de los clientes. La sentencia incluye un periodo de tres años de libertad supervisada tras el cumplimiento de la prisión, con condiciones estrictas como la prohibición de cualquier contacto con Disney o con las víctimas individuales.

Este episodio pone en evidencia varios aspectos preocupantes en las organizaciones grandes y tecnológicamente sofisticadas. En primer lugar, destaca la vulnerabilidad interna que representa un ex empleado con conocimientos privilegiados y medios para causar daño desde adentro. La accesibilidad no controlada a sistemas críticos y la dependencia de aplicaciones alojadas por terceros pueden generar brechas significativas que deben ser gestionadas de manera proactiva para evitar incidentes similares. Además, el caso subraya la importancia de establecer protocolos robustos de monitoreo y detección temprana que permitan identificar comportamientos anómalos o maliciosos, especialmente cuando se detectan accesos a través de redes VPN que podrían ocultar la verdadera identidad o ubicación del intruso. También, la modificación en la información crítica de productos, como lo son los menús para clientes con alergias, resalta la necesidad de asegurar la integridad y autenticidad de los datos mostrados al público, pues un error o sabotaje puede transformar un simple acto malicioso en un problema de salud pública.

Desde el punto de vista legal, la resolución contra Scheuer vuelve a poner sobre la mesa el alcance y rigor con el que las leyes contra el fraude informático y el robo de identidad pueden aplicarse en el entorno corporativo. La condena también sirve como advertencia a posibles insiders que puedan contemplar acciones similares, demostrando que los sistemas de justicia están preparados para actuar contra estos delitos que, aunque a veces pueden parecer triviales o “bromas” internas, tienen consecuencias reales y severas. Para las empresas, especialmente las del sector tecnológico y de entretenimiento con alta exposición pública, la historia de Scheuer es un llamado a evaluar y fortalecer sus defensas internas. Se recomienda implementar una estrategia integral de seguridad que incluya controles de acceso estrictos, segmentación de redes, autenticación multifactor, auditorías continuas, y formación constante a los empleados sobre los riesgos ligados a la manipulación interna. En definitiva, el caso de Michael Scheuer resalta la creciente complejidad de los desafíos asociados a la ciberseguridad en entornos corporativos y la necesidad imperiosa de mantener una postura preventiva y reactiva ante amenazas internas.

Disney, una de las multinacionales más grandes del mundo, evidencia que nadie está exento de enfrentar estas situaciones, y que «proteger la experiencia mágica» también significa proteger las herramientas digitales que la hacen posible, asegurando la confianza tanto de su público como de sus colaboradores.