The Cuckoo's Egg: Tracking a Spy Through the Maze of Computer Espionage es un libro de no ficción en inglés escrito por Clifford Stoll. Doubleday lo publicó en Estados Unidos en 1989. La edición impresa tiene 326 páginas, ISBN 0-385-24946-2 y número OCLC 43977527. Stoll, astrónomo de formación, cuenta la investigación en primera persona.

En 1986, Stoll administraba los ordenadores del Lawrence Berkeley National Laboratory, en California. Su supervisor le pidió que revisara una diferencia de 75 centavos en las cuentas de uso. El importe correspondía a nueve segundos de tiempo informático consumidos por un usuario no autorizado. Stoll vinculó el acceso con una vulnerabilidad de movemail, una función del GNU Emacs original, que había permitido obtener privilegios de superuser.

Durante un fin de semana largo, Stoll conectó unos cincuenta terminales y teleimpresores a las cincuenta líneas telefónicas entrantes del laboratorio. Buena parte del equipo procedía de los escritorios de compañeros ausentes. Cuando el intruso volvió a llamar, Stoll localizó la línea. El servicio de encaminamiento Tymnet la llevó hasta un centro de llamadas de MITRE en McLean, Virginia. Paul Murray y Lloyd Bellknap colaboraron con el trabajo sobre las líneas telefónicas.

Stoll devolvió después casi todo el equipo, pero dejó un teleimpresor conectado a la línea de la intrusión. Así pudo registrar las acciones del atacante. La conexión funcionaba a 1200 baudios mediante un módem telefónico. El intruso buscaba entrar en instalaciones militares y rastreaba términos relacionados con lo nuclear o con SDI, la Strategic Defense Initiative. Copiaba archivos de contraseñas para realizar ataques de diccionario. También instalaba troyanos para obtener credenciales. Varios sistemas protegidos todavía usaban contraseñas predeterminadas. En algunas bases militares bastaba con entrar como guest sin contraseña.

La investigación se convirtió en uno de los primeros casos de intrusión informática documentados con detalle. Stoll mantuvo un registro diario y contactó con el FBI, la CIA, la NSA y la United States Air Force Office of Special Investigations. Al principio, las agencias no tenían clara la jurisdicción y compartían poca información. El FBI mostró escaso interés porque no había una gran pérdida económica ni un equipo con información clasificada implicado.

Los registros indicaban que el intruso conocía VAX/VMS y AT&T Unix. Solía actuar hacia el mediodía, según la hora del Pacífico. Stoll dedujo que estaba en una zona horaria más oriental, ya que las llamadas por módem eran más baratas de noche y el atacante podía tener clases o un empleo durante el día. Con ayuda de Tymnet y de investigadores públicos, siguió la conexión por satélite hasta Alemania Occidental. La Deutsche Bundespost, responsable entonces de la red telefónica del país, localizó las llamadas en una universidad de Bremen y después en una vivienda de Hannover.

Para atraer al atacante, Stoll inventó un departamento del LBNL supuestamente creado por un contrato de SDI. El contrato también era ficticio. Llenó la cuenta SDInet con archivos extensos de lenguaje burocrático y la atribuyó a una secretaria inventada llamada Barbara Sherwin. El intruso se interesó especialmente por ese señuelo. La maniobra ayudó a localizarlo.

El atacante era Markus Hess. Según el relato de Stoll, llevaba años vendiendo al KGB, el servicio de inteligencia civil de la Unión Soviética, los resultados de sus intrusiones. Más tarde, un agente húngaro escribió al falso SDInet para comprobar información que aparentemente solo podía haber recibido a través de Hess. Stoll viajó a Alemania Occidental para declarar en el juicio. El título del libro trasladó al malware la imagen del huevo de cuco, tomada del parasitismo de cría de estas aves.

El caso llegó después al episodio de NOVA producido por WGBH, The KGB, the Computer, and Me. Varias emisoras de PBS lo emitieron el 3 de octubre de 1990. Yorkshire Television produjo otro documental, Spycatcher. Una secuencia numérica del capítulo 48 se convirtió en el acertijo conocido como Cuckoo's Egg, secuencia de Morris o secuencia look-and-say. En el verano de 2000, el nombre Cuckoo's Egg se aplicó a un ataque contra Napster y otras redes de intercambio que sustituía canciones legítimas por ruido blanco o efectos de sonido. Cory Doctorow también aludió al caso en su relato The Things that Make Me Weak and Strange Get Engineered Away.