Escuchar
El uso de softwares de espionaje como el programa Pegasus, desarrollado por NSO Group, ha sido documentado en decenas de países. Entre las organizaciones que han identificado, investigado y denunciado dicho uso ilícito se cuenta Red en Defensa de los Derechos Digitales (R3D), que ha seguido el caso de la utilización de Pegasus en México.
Para comprender los alcances del programa y su uso actual, conversamos con José Flores, director de programas de R3D, quien explica que se requiere una legislación más robusta y exigir transparencia en contrataciones relativas a seguridad para impedir la utilización indebida de programas informáticos de intervención digital.
- ¿Cuál es su valoración de este tema para explicarle a la gente? ¿Por qué esto es tan peligroso?
- Llevamos ya casi 10 años documentando el uso de este y otros spywares. Son softwares que, para explicárselo a la gente, infectan un teléfono para obtener permisos de administrador del sistema. ¿Qué quiere decir esto?
“Que ese software tiene acceso a toda la información que está dentro del dispositivo. Puede ver las comunicaciones, por ejemplo, los mensajes que se mandan y las fotos que se envían. Puede intervenir las llamadas y activar de forma remota el micrófono y la cámara.
“Una cosa que hay que decirle a la gente es que este tipo de intromisiones o intervenciones son muy costosas. Acceder a esta tecnología implica gastar varios millones de dólares en adquirir el programa, y una infección puede costar varios cientos de miles de dólares.
“Por eso, normalmente es muy raro que infecten a alguien que no sea de interés para el atacante. La gente puede pensar que cualquiera podría ser víctima u objetivo, pero realizar una infección de este tipo implica un gasto sustancial.
“En segundo lugar, especialmente Pegasus, aunque también otros programas similares, requieren permisos de exportación por parte del Gobierno de Israel. Esto quiere decir que no se pueden vender a cualquiera. Normalmente, su venta se reserva para agencias de inteligencia o fuerzas de seguridad.
“Entonces, si alguien quisiera investigar como periodista las contrataciones o el marco bajo el cual se utiliza esta tecnología, lo más probable es que tendría que empezar por revisar las adquisiciones de programas o equipos de vigilancia realizadas por agencias de inteligencia y de seguridad”.
- Precisamente eso es parte de lo que estamos viviendo en Costa Rica, pues el gobierno decidió declarar secreto de Estado todas las contrataciones relativas a la Dirección de Inteligencia y Seguridad.
- Eso es común en México y en América Latina, que se argumenta que estas contrataciones son reservadas, se reserva la información por motivos, muchas veces, de seguridad nacional.
“No estoy muy familiarizado con la la legislación de Costa Rica, pero en muchas las cadenas de América Latina, la intervención de comunicaciones privadas, que es el delito que se configura o la acción que se configura cuando se accede a las comunicaciones o a los dispositivos de una persona, pues normalmente están sujetas a diferentes estándares, ¿no?
“Es decir, no podría hacerse un pinchazo, como se le conoce habitualmente, sin que hubiera una causa penal, sin que se estuviera investigando un delito. Entonces, si es que se vigiló a opositores o políticos, tendría que haber una causa penal o una causa criminal que se estuviera investigando.
“Normalmente, ese tipo de acciones responden a un control judicial, es decir, que un juez hubiera sido notificado y hubiera aceptado que era necesario utilizar esa medida para obtener esa información.
“Hemos visto que hay países donde este tipo de herramientas tecnológicas se usa presuntamente con fines de investigación del delito, pero al final termina siendo usado para espionaje de políticos, de opositores o de activistas. Entonces, a mí me parece muy importante cuando hay que socializar esto con con la población, pues dejarles muy claro eso.
“Son softwares muy caros, muy sofisticados, que permiten una intromisión muy intensiva, porque puede uno acceder a toda la información del dispositivo y a un control remoto, digamos, del teléfono móvil. Su uso tendría que estar sujeto a ciertos controles o a ciertas condiciones que rara vez, si no es que nunca, creo, se han cumplido”.
- Una persona común y corriente que estuviera siendo víctima de alguna de estas de estos seguimientos, ¿podría darse cuenta de alguna manera?
-Sí y no. La infección ha evolucionado, la forma de ataque ha evolucionado. Hace 10 años, más o menos, cuando se empezaban a documentar, los ataques se hacían a través de mensajes de texto. Te llegaba un mensaje de texto que trataba de engañarte para que hicieras clic en un enlace y, de esa forma, se descargaba el código malicioso y se infectaba el teléfono.
“En los últimos años, a partir de más o menos 2020 o 2021, ha evolucionado este tipo de software a una infección que llamamos ataque de cero clic. Es decir, que ya no requiere interacción del usuario. Pasa inadvertido. Por ejemplo, una de las formas de ataque que se documentó hace unos años es que llegaba una llamada perdida de WhatsApp. Eso permitía la ejecución del código, se inyectaba el código y, una vez que el atacante obtenía control del dispositivo, borraba el historial de esa llamada. Eso fue algo que se identificó por parte de los analistas forenses.
“A primera vista, no es posible identificar si un teléfono está siendo intervenido o fue víctima de un ataque. Pero hay organizaciones como R3D o Citizen Lab, de la Universidad de Toronto, entre otras, Access Now y Amnistía Internacional, que conducimos revisiones periódicas de dispositivos de personas que creen que pudieron haber sido comprometidas. En este caso, un caso muy sonado es el de los periodistas de El Faro, en San Salvador.
“Y otra forma es que Apple, como este ataque vulnera la seguridad de los dispositivos, especialmente de los dispositivos de Apple, tiene un programa proactivo de notificar a las personas que han sido infectadas. De hecho, el día de ayer lanzó nuevas alertas.
“Si tú tienes un teléfono iPhone y te llega esta alerta que dice algo como: “Pudiste haber sido víctima de un ataque patrocinado por el Estado”, quiere decir que se utilizó una de estas herramientas altamente sofisticadas para acceder a tu teléfono. Y de ahí, pues, digamos que lo que empieza es una investigación, en donde ya las personas que reciben esa notificación contactan justo con estas organizaciones que conducimos análisis forense y ya se empieza a hacer la documentación.
“Pero, a priori no hay un indicio o un indicador directo de infección, pero sí hay mecanismos en los que, posteriormente, ya sea a través de un análisis independiente o de una notificación de Apple, las personas puedan saber o, al menos, sospechar si fueron atacadas con estos programas”.
- Al existir esta necesidad de permisos con el gobierno israelí, ¿hay relación con él?
- Tiene que haberlo. Hay una relación muy cercana entre el gobierno israelí y NSO Group, que es la empresa desarrolladora. Eso es muy cierto.
“Incluso en las investigaciones que se han hecho, investigaciones judiciales en otros países, por ejemplo, en España o en Polonia, se ha identificado que el gobierno israelí ha tratado de proteger a a la empresa o incluso de obstaculizar los esfuerzos por tratar de esclarecer los abusos que hayan hecho otros gobiernos con estos softwares, porque hay que entender que la industria de la vigilancia israelí es una industria central para para para dicho país”.
- ¿Cuáles medidas legales se han tomado en algunos otros países para impedir, limitar o restringir eh la utilización de este tipo de software por parte de los gobiernos?
-Pues hay varias iniciativas. Por un lado, están los litigios de transparencia. Hay varios países, incluyendo México, donde se ha litigado para que las dependencias que han adquirido este tipo de software hagan públicos los contratos, las capacidades y los anexos. Son peleas legales que siguen abiertas.
“Hay otros casos en los que se ha explorado la jurisdicción internacional, como el de los periodistas de El Faro, donde en El Salvador no se ha encontrado una solución y han logrado llevar este litigio a cortes estadounidenses. Entonces, ahí también hay otro camino.
“También, desde las relatorías de Naciones Unidas, la relatoría especial por el derecho a la privacidad, la relatoría especial de libertad de expresión, entre otras, se han expresado varias veces pidiendo que exista una moratoria a la venta y adquisición de estos sistemas. Es decir, que se suspendan hasta que se cuente con un marco legal claro.
“Existe otro proceso, por ejemplo, que están encabezando países como Francia y Reino Unido, que se llama Pall Mall Process. Busca también establecer reglas para Estados y empresas sobre el uso de este tipo de tecnologías.
“Hay varios esfuerzos. En Argentina también se habla de cómo introducir controles al uso de esto bajo la figura del allanamiento digital. Así le llaman: utilizar este tipo de herramientas para investigaciones criminales.
“Es decir, es un problema global del cual ahora hay muchos frentes abiertos, pero como tal todavía no hay una regulación modelo que diga: ‘Bueno, esto sí, esto sí’. Incluso desde Estados Unidos, por ejemplo, durante la administración de Joe Biden, hubo principalmente sanciones que pueden incluir el retiro de visas a empresarios vinculados con la venta de estos softwares”.
- El gobierno de Israel había anunciado una investigación también en el 2021, a la vez que Joe Biden anunció otra. ¿Eso paró en algo?
- Sí. Digamos que a algunos empresarios se les impusieron sanciones, se les quitó el visado o no se les permitió el ingreso al país. Ahora, esto ha sido gradualmente retirado por parte del gobierno de Trump.
“E incluso, hace un par de días, Trump sacó uno de estos memorándums ejecutivos que suele emitir, en donde también habla sobre el uso de estas herramientas, pero por parte de las agencias de seguridad de Estados Unidos con fines de combate al terrorismo. Como que él se está viendo un poco más flexible en autorizar el uso de estas herramientas en cierto tipo de operaciones”.
