ILOVEYOU, la carta de amor que abrió el mundo entero

Esto ya es historia: yo ni había nacido cuando empezó a propagarse. El virus del que hablamos es ILOVEYOU, también conocido como Love Bug o VBS/LoveLetter. A algunos os sonará raro de familiar, y no me extraña: probablemente es el virus informático más famoso de la historia. Llegaba como una carta de amor a tu bandeja de entrada, y en cuanto la abrías, se enviaba sola a todos tus conocidos.

El correo

El 4 de mayo de 2000, la gente en Filipinas empezó a recibir un correo con el asunto “ILOVEYOU” (“te quiero”). El mensaje solo decía “kindly check the attached LOVELETTER coming from me.” (“por favor, mira la CARTA DE AMOR adjunta que te envío”) y traía un archivo adjunto llamado:

LOVE-LETTER-FOR-YOU.TXT.vbs

Ese nombre de archivo era el truco. Windows oculta por defecto las extensiones “conocidas”, así que la mayoría veía LOVE-LETTER-FOR-YOU.TXT y pensaba que era un archivo de texto inofensivo. En realidad era un programa en VBScript (.vbs), y Windows lo ejecutaba en cuanto le hacías doble clic.

Y venía de alguien que conocías: un amigo, un compañero de trabajo, tu jefe. ¿Quién no abriría una carta de amor de alguien conocido? Por las zonas horarias, a medida que empezaba la jornada en Asia, luego en Europa y luego en América el 5 de mayo, cada región abría su correo y se encontraba al gusano esperando.

Qué pasaba cuando lo abrías

• Se enviaba a toda tu libreta de direcciones. Usando Microsoft Outlook, mandaba el mismo correo “ILOVEYOU” a todos tus contactos, no solo a uno. Cada uno recibía una carta de amor tuya, y si la abría, pasaba lo mismo desde su PC.
• Sobrescribía algunos de tus archivos. Cambiaba archivos de ciertos tipos por copias de sí mismo, sobre todo imágenes (JPG y JPEG) y archivos de scripts y web (como VBS, JS y CSS). Tus fotos desaparecían, y cada archivo sobrescrito pasaba a ser otra copia del gusano, esperando un doble clic.
• Escondía tu música. Los MP3 y MP2 no se borraban, pero se ocultaban, con copias del gusano al lado.
• También se propagaba por chat. Si usabas el programa de chat mIRC, cambiaba su configuración para enviar el gusano a otras personas de los mismos canales.
• Intentaba robar contraseñas. Cambiaba la página de inicio de Internet Explorer para que descargara un programa que robaba contraseñas, que enviaba las contraseñas guardadas a su autor.
• Se configuraba para arrancar con Windows, copiándose en carpetas del sistema y añadiéndose al registro.

Diez días, decenas de millones de PCs

Nunca se había visto nada igual. Como cada PC infectado enviaba el correo a toda su libreta de direcciones, las cifras crecían de forma exponencial. En unos diez días, las estimaciones dicen que se infectaron decenas de millones de ordenadores (las cifras van de unos 10 millones a más de 45 millones), y se suele decir que fue uno de cada diez ordenadores conectados a internet en aquel momento.

Las oficinas fueron las más afectadas, porque ahí todo el mundo usaba Outlook y tenía libretas de direcciones enormes llenas de compañeros. Los servidores de correo se inundaron con millones de cartas de amor, y muchas organizaciones directamente apagaron el correo para pararlo, incluidos el Pentágono, la CIA, el Parlamento británico y grandes empresas como Ford. Los daños y la limpieza se calcularon en unos 10.000 millones de dólares en todo el mundo.

Quién lo hizo y por qué nunca lo castigaron

Los investigadores rastrearon rápido el gusano hasta Manila y hasta Onel de Guzman, un estudiante de 24 años del AMA Computer College. Antes, había propuesto como proyecto de fin de carrera un programa que robaba contraseñas de internet. Su universidad lo rechazó por ilegal.

Lo más raro de toda la historia: nunca lo condenaron. En 2000, Filipinas no tenía ninguna ley contra escribir o propagar virus informáticos, así que se retiraron los cargos. El país aprobó una enseguida, pero las leyes no pueden castigar cosas hechas antes de que existieran.

Durante veinte años estuvo callado. En 2020, el periodista de la BBC Geoff White lo encontró llevando un puesto de reparación de móviles en Manila. De Guzman admitió que lo escribió. Dijo que su objetivo era robar contraseñas de internet, porque no se podía pagar la conexión, y que solo quería propagarlo entre gente de Filipinas. Nunca esperó que diera la vuelta al mundo, y dijo que se arrepentía del daño.

Un script simple que jugaba con los sentimientos

Técnicamente, ILOVEYOU no era nada impresionante. Era un script corto que los investigadores de seguridad de la época describieron como mal escrito, y no usaba ningún agujero de seguridad ingenioso. Lo que explotaba era a las personas. Casi nadie puede ignorar una carta de amor, sobre todo si viene de alguien conocido, y el “.TXT” del nombre hacía que pareciera el tipo de archivo más seguro que existe. Encima, en 2000 un script adjunto podía leer tu libreta de direcciones y enviar correos sin preguntarte nada.

Por eso sigue siendo el ejemplo de manual de la ingeniería social: engañar a la persona en vez de al ordenador.

¿Podría pasar hoy?

No de la misma forma. Después de ILOVEYOU, Microsoft cambió Outlook para bloquear adjuntos peligrosos como los archivos .vbs y avisarte cuando un programa intenta enviar correos en tu nombre. Los proveedores de correo ahora analizan los adjuntos, los antivirus detectan estos scripts al instante, y Microsoft anunció en 2023 que va a quitar VBScript de Windows por completo.

Pero la idea de fondo nunca desapareció. Los correos de phishing de hoy usan exactamente los mismos trucos: una factura falsa, un “documento compartido” de un compañero, un paquete que no has pedido. Los tipos de archivo cambiaron; la debilidad humana, no.

El hábito que me quedaría de esta historia: activa las extensiones de archivo. En el Explorador de archivos, ve a Vista → Mostrar → Extensiones de nombre de archivo, y algo como .TXT.vbs o .pdf.exe se ve a la primera. Y si te llega de un amigo un adjunto que no esperabas, pregúntale antes de abrirlo. Puede que sea su cuenta la que lo está enviando.