¿Por qué si chuzaron WhatsApp no es noticia mundial?

El más reciente escándalo por “chuzadas” ilegales involucra a varias firmas de consultoría que ofrecían servicios de investigación y seguridad comercialmente.

Estas empresas fueron creadas por exoficiales del Ejército y la Policía que hoy están siendo acusados de concierto para delinquir, utilización ilícita de redes de comunicación, acceso abusivo a sistemas informáticos, interceptación de datos informáticos, uso de software malicioso y violación de datos informáticos.

En medio del frenesí informativo de estas semanas, hay algo muy positivo: ¡el escándalo se descubrió y se está investigando! Ahora bien, los detalles que conocemos sobre las personas que cometieron estos posibles delitos y las que fueron víctimas son bastantes, pero cuando queremos entender cómo se realizaron las “chuzadas” y aprender algo de esto, las descripciones de los medios son escasas y dejan muchas preguntas abiertas.

Me gustaría explorar dos: ¿hackearon WhatsApp? y ¿cómo usaron esquemas legales en una empresa ilegal?

¿Hackearon WhatsApp? Esta afirmación debería generarnos como mínimo suspicacia. A la fecha, no hay evidencia en el mundo de que el sistema de cifrado que esta herramienta usa haya sido vulnerado. Informar correctamente sobre este tema es importante, pues cuando se comprueba la inseguridad de un sistema de cifrado, el efecto es la desconfianza en la integridad y confidencialidad de las comunicaciones. Entonces, si hasta ahora la seguridad del cifrado de WhatsApp no parece estar en la lista de los problemas de las descripciones de los medios, lo que podemos deducir no es que chuzaron WhatsApp, sino que conocían las conversaciones que se hicieron por este servicio. Esto puede indicar que comprometieron los aparatos desde donde se realizaban las conversaciones y así extrajeron los mensajes e incluso controlaron los dispositivos para grabar a futuro.

Valdría la pena que los medios fueran más precisos sobre la forma como funciona la tecnología, pues haciéndolo no solo informan mejor, sino que pueden incluso dirigir sus investigaciones y preguntar mejor. Que WhatsApp hubiera sido atacado con éxito sería una noticia mundial y deberíamos estar haciendo preguntas a sus responsables. Si lo que se comprometieron fueron los aparatos de las personas, la pregunta es ¿cómo “hackeaban” esos aparatos? Hay muchas formas de hacerlo: uso de malware muy complejo —como el que Colombia compró a la empresa Hacking Team—, o tácticas de ingeniería social que consisten en engañar a las personas para entregar claves y dar accesos que debían ser secretos.

Probablemente haya una combinación de varias formas de ataques, pero es importante saber qué papel jugó cada una en estos escándalos para saber qué se puede mejorar y a quién le corresponde tomar qué medidas.

La otra pregunta: ¿cómo se usaron esquemas legales para la interceptación ilegal de comunicaciones? De acuerdo con la descripción de los medios, estas personas podrían haber usado las redes y servicios que habían conocido cuando formaban parte del Ejército y la Policía para obtener información e interceptar las comunicaciones.

Si es verdad que tuvieron acceso al sistema Esperanza, que usa la Fiscalía y gestiona el CTI, y a la información de los celulares y comunicaciones que, por obligación legal, conservan las empresas de telefonía (por cinco años) y deben entregar a las autoridades por solicitud, ¿cómo conseguían acceder a esos sistemas y a esa información?, ¿cuál fue la participación de funcionarios o empleados actuales?, ¿qué falló para que estos procedimientos legales sirvieran a una actividad ilegal?, ¿cómo llevaron a las empresas a entregar las sábanas de información de metadatos?, ¿hay casos de corrupción en todo esto? Todo esto importa porque, a futuro, lo interesante sería saber ¿cuáles son los ajustes que se deben hacer al sistema para evitar estos fallos?

Aunque el trabajo detrás de descubrir interceptaciones ilegales y llevarlas a luz pública que han hecho varios periodistas en Colombia ha sido excepcional, seguimos conociendo escándalo tras escándalo sin saber exactamente qué es lo que hacen estas personas para obtener información confidencial de las personas que atacan. Una cosa es acceder a la red de WhatsApp, otra es espiar por encima del hombro una conversación. Ambas pueden tener el mismo efecto, pero las respuestas de autoridades, el Poder Judicial y potenciales víctimas de estos ataques es distinta.  En algunos casos, una reforma legal puede servir; en otros, es completamente inocua. Lo cierto es que también hay que desmitificar la tecnología y los periodistas están en una situación privilegiada para hacerlo.

Por último, me pregunto cuántos escándalos de este tipo tendrán que suceder hasta que se considere que crear registros y bases de datos con información personal es un riesgo. Hay que pensar en la posibilidad de que el legítimo encargado de estos sistemas abuse de su posición. Como mínimo, más vigilancia y sistemas de seguridad deben venir acompañados de mejores controles.

El más reciente escándalo por “chuzadas” ilegales involucra a varias firmas de consultoría que ofrecían servicios de investigación y seguridad comercialmente.

Estas empresas fueron creadas por exoficiales del Ejército y la Policía que hoy están siendo acusados de concierto para delinquir, utilización ilícita de redes de comunicación, acceso abusivo a sistemas informáticos, interceptación de datos informáticos, uso de software malicioso y violación de datos informáticos.

En medio del frenesí informativo de estas semanas, hay algo muy positivo: ¡el escándalo se descubrió y se está investigando! Ahora bien, los detalles que conocemos sobre las personas que cometieron estos posibles delitos y las que fueron víctimas son bastantes, pero cuando queremos entender cómo se realizaron las “chuzadas” y aprender algo de esto, las descripciones de los medios son escasas y dejan muchas preguntas abiertas.

Me gustaría explorar dos: ¿hackearon WhatsApp? y ¿cómo usaron esquemas legales en una empresa ilegal?

¿Hackearon WhatsApp? Esta afirmación debería generarnos como mínimo suspicacia. A la fecha, no hay evidencia en el mundo de que el sistema de cifrado que esta herramienta usa haya sido vulnerado. Informar correctamente sobre este tema es importante, pues cuando se comprueba la inseguridad de un sistema de cifrado, el efecto es la desconfianza en la integridad y confidencialidad de las comunicaciones. Entonces, si hasta ahora la seguridad del cifrado de WhatsApp no parece estar en la lista de los problemas de las descripciones de los medios, lo que podemos deducir no es que chuzaron WhatsApp, sino que conocían las conversaciones que se hicieron por este servicio. Esto puede indicar que comprometieron los aparatos desde donde se realizaban las conversaciones y así extrajeron los mensajes e incluso controlaron los dispositivos para grabar a futuro.

Valdría la pena que los medios fueran más precisos sobre la forma como funciona la tecnología, pues haciéndolo no solo informan mejor, sino que pueden incluso dirigir sus investigaciones y preguntar mejor. Que WhatsApp hubiera sido atacado con éxito sería una noticia mundial y deberíamos estar haciendo preguntas a sus responsables. Si lo que se comprometieron fueron los aparatos de las personas, la pregunta es ¿cómo “hackeaban” esos aparatos? Hay muchas formas de hacerlo: uso de malware muy complejo —como el que Colombia compró a la empresa Hacking Team—, o tácticas de ingeniería social que consisten en engañar a las personas para entregar claves y dar accesos que debían ser secretos.

Probablemente haya una combinación de varias formas de ataques, pero es importante saber qué papel jugó cada una en estos escándalos para saber qué se puede mejorar y a quién le corresponde tomar qué medidas.

La otra pregunta: ¿cómo se usaron esquemas legales para la interceptación ilegal de comunicaciones? De acuerdo con la descripción de los medios, estas personas podrían haber usado las redes y servicios que habían conocido cuando formaban parte del Ejército y la Policía para obtener información e interceptar las comunicaciones.

Si es verdad que tuvieron acceso al sistema Esperanza, que usa la Fiscalía y gestiona el CTI, y a la información de los celulares y comunicaciones que, por obligación legal, conservan las empresas de telefonía (por cinco años) y deben entregar a las autoridades por solicitud, ¿cómo conseguían acceder a esos sistemas y a esa información?, ¿cuál fue la participación de funcionarios o empleados actuales?, ¿qué falló para que estos procedimientos legales sirvieran a una actividad ilegal?, ¿cómo llevaron a las empresas a entregar las sábanas de información de metadatos?, ¿hay casos de corrupción en todo esto? Todo esto importa porque, a futuro, lo interesante sería saber ¿cuáles son los ajustes que se deben hacer al sistema para evitar estos fallos?

Aunque el trabajo detrás de descubrir interceptaciones ilegales y llevarlas a luz pública que han hecho varios periodistas en Colombia ha sido excepcional, seguimos conociendo escándalo tras escándalo sin saber exactamente qué es lo que hacen estas personas para obtener información confidencial de las personas que atacan. Una cosa es acceder a la red de WhatsApp, otra es espiar por encima del hombro una conversación. Ambas pueden tener el mismo efecto, pero las respuestas de autoridades, el Poder Judicial y potenciales víctimas de estos ataques es distinta.  En algunos casos, una reforma legal puede servir; en otros, es completamente inocua. Lo cierto es que también hay que desmitificar la tecnología y los periodistas están en una situación privilegiada para hacerlo.

Por último, me pregunto cuántos escándalos de este tipo tendrán que suceder hasta que se considere que crear registros y bases de datos con información personal es un riesgo. Hay que pensar en la posibilidad de que el legítimo encargado de estos sistemas abuse de su posición. Como mínimo, más vigilancia y sistemas de seguridad deben venir acompañados de mejores controles.