Hacking Team en Yucatán

Carlos Macías

La empresa italiana Hacking Team no es una compañía que oculte sus fines de interceptación informativa en medios digitales encriptados.

Como lo hacen al menos una docena de compañías de desarrollo de software, Hacking Team es un proveedor tecnológico que anuncia y promueve sus soluciones, basadas en programas que burlan los canales de cifrado instalados en -digamos- el código génesis de los sistemas operativos y las aplicaciones. Hacking Team tiene su sede en Milán, pero posee representación en Estados Unidos y en Singapur.

Los tiempos de sigilo en las misiones, tal como las apreciamos en las aventuras del Agente 007, han cedido ante la socialización y accesibilidad de la tecnología de seguimiento, manejo e interceptación de comunicaciones digitales.

Así como Hacking Team anuncia con bombo y platillos su producto estrella dirigido esencialmente a los gobiernos (Galileo), otras compañías como Gamma, Trovicor, Amesys y Blue Coat, prometen hoy en la red idénticas bondades y prestaciones de interceptación digital.

En las crecientes actividades de interceptación en el mundo, muchas veces realizadas al margen de las leyes (por ejemplo, en momentos previos a procesos electorales), el único límite para el uso de esa tecnología no es la imaginación. Es su alto costo y, por extraño que parezca, son las complicaciones fiscales (para los gobiernos) al elaborar los contratos y convenios para obtener la suite, así como para realizar la instalación y capacitación al personal para ser configurada.

La mayor oferta de Hacking Team (desafiante nombre para una empresa que promueve seguridad), es el software de control remoto Galileo, un paquete de hacking para la interceptación gubernamental de teléfonos móviles (mensajes, voz, whatsApp) y de internet (búsquedas, consultas, intercambio documental, correo electrónico).

Su oferta de software incluye la venta directa y, desde luego, la instalación y capacitación de técnicos gubernamentales para que operen por su cuenta la captura y clasificación de información en asuntos diversos, esencialmente de seguridad.
De acuerdo con versiones periodísticas del martes 7 de julio, el gobierno de Yucatán negó haber adquirido alguna licencia de esa empresa.

Con frecuencia, Hacking Team se asocia con empresas de seguridad privadas, locales. Por ejemplo, en muchos correos electrónicos en que se menciona a Yucatán, Durango y otros estados del norte, se advierte que el agente distribuidor de Galileo en México es una empresa privada (ubicada en Tijuana, vinculada a las importaciones), que es a su vez la mayor proveedora de equipos y accesorios de defensa y seguridad policial para las corporaciones.

De acuerdo con los correos electrónicos, la negociación de Hacking Team y de su agencia comisionada tijuanense con las representaciones institucionales de Yucatán y Durango se dio casi al mismo tiempo; las platicas, la instalación de los equipos y la capacitación local, transcurrieron en el último trimestre del 2014.

Por ello, no es difícil imaginar cómo llegaron los diversos gobiernos estatales mexicanos a conocer y a adoptar gradualmente a Galileo, en los más recientes tres años. Esto es, bien puede verse como un escalamiento explicable en el proceso de adquisición de equipo destinado a reforzar la seguridad interior.

Los 400 GB que fueron extraídos de Hacking Team empezaron a dispersarse con dificultad desde el miércoles 8 de julio, a través de BitTorrent, pero debido a que este medio requiere que los usuarios instalen un intrusivo programa “punto a punto”, no fue sino hasta el jueves 9 que los contenidos empezaron a conocerse mejor, a través de -¿dónde más?- WikiLeaks.

Si uno escribe la palabra Yucatan (sin acento), aparecen 551 menciones en correos electrónicos, entre los 400 GB. Es obvio que no se van a encontrar transcripciones de actividades de asuntos internos de Yucatán, pues se trata de emails cruzados por la compañía en el -al parecer- proceso de contratación, instalación y capacitación.

Los suscriben los ingenieros de Hacking Team, así como los representantes de la mencionada compañía mexicana de la frontera norte.

Contiene información sobre, por ejemplo, en qué hotel de Mérida se alojaron sucesivamente los consultores italianos, los socios norteños y el ingeniero español responsable de la instalación, cómo viajaron y cuándo, y cómo se realizaron los pagos. Quizá lo más “comprometedor”, si puede decirse así, sea la dirección del inmueble de Mérida donde -se sugiere- se instaló, se configuró y se impartió la capacitación.

El software Galileo fue diseñado para eludir el cifrado de las comunicaciones digitales a través de un archivo ejecutable que se instala en los equipos móviles (celulares, tablets y laptops), así como en las computadoras de escritorio.

Al evadir el cifrado, es posible intervenir a control remoto la transmisión de voz, datos, imágenes; es decir, desde el dispositivo hasta el lugar donde se ubica el servidor del control remoto -¡como en las películas!-, que resulta a su vez ilocalizable.

Lo que pasa con Galileo es que puede establecer conexión con un equipo remoto desde el arranque, sin el conocimiento del usuario, y logra sincronizarlo en promedio cada 20 minutos. Los movimientos e instrucciones del teclado son suficientes para lograr capturas de pantalla y recuperar textos generados.

Depende el sistema operativo que los equipos tengan, pero por lo general se requiere tener permisos de root en el equipo a interceptar (en el caso de Android).

Sin embargo, resulta curioso que cuando Apple incluyó jailbreak para otorgar esos permisos equivalentes de root, el servicio de interceptación de Galileo empezó a fallar y el negocio de Hacking Team empezó a ser cuestionado en el país (en particular en el 2014, a juzgar por el contenido de los emails).

En los correos electrónicos se percibe incluso la frustración del consultor hispano (antes de viajar a Yucatán) frente al blindado sistema operativo de Apple, debido a que jailbreak no permitía superar la encriptación. Uno de sus párrafos para justificarse, muy rescatables, ilustra todo el candor y tenacidad que sólo un buen vendedor de muebles puede transmitir:
“Es una razón técnica y las limitaciones las impone la tecnología desarrollada por Apple. Por poner un ejemplo sencillo, es como si un cliente que compra placas fotovoltaicas se quejase de que no generen energía por la noche. El sistema funciona, pero sólo en las condiciones que le son propicias. En otras no”.

¿Cómo está procediendo HackingTeam para controlar los daños? Según su información, está “trabajando día y noche para proporcionar la actualización correspondiente del software de control remoto, que permitirá a los clientes reanudar sus investigaciones criminales y de inteligencia.”

Por lo pronto, recomendó a todos sus clientes suspender el uso del sistema, a la vez que desmintió los rumores de que Hacking Team disponga de lo que en términos informáticos se define “puerta trasera” remota, es decir un acceso intrusivo, velado, con acceso a las investigaciones confidenciales sobre seguridad interior que sus clientes nacionales y regionales realizan. “Esto simplemente no es verdad”, subrayó.

Eso sí sería grave, diríamos nosotros, porque el contrato de Hacking Team garantiza no intromisión en el curso de acopio de las bases de datos de sus clientes:

“Los clientes operan nuestra tecnología –aseguró en su boletín del miércoles- dentro de sus propios sistemas informáticos.”

En suma, no puede uno dejar de plantear su punto de vista ante tan embarazoso trance.

Podemos plantearlo así: el imperativo de la seguridad interna, obliga a los responsables institucionales a tomar las medidas más adecuadas para preservar las condiciones de gobernabilidad.

En lo personal, no me parece que incorporar los sistemas tecnológicos más avanzados para atender esa prioridad, deba ser juzgado o adjetivado a priori.

En este como en otros asuntos espinosos de la agenda nacional, lo aconsejable siempre será procurar el acompañamiento de las organizaciones ciudadanas más estables y comprometidas con el impulso de la democracia y la transparencia, particularmente en el área sensible de la procuración de justicia y la seguridad de la población.