Conozca al equipo que investiga cuándo periodistas y activistas son pirateados con software espía del gobierno

Durante más de una década, decenas de periodistas y activistas de derechos humanos han sido atacados y atacados por gobiernos de todo el mundo. Policías y espías en Etiopía, Grecia, Hungría, India, México, Polonia, Arabia Saudita y Emiratos Árabes Unidos, entre otros, han utilizado software espía sofisticado para comprometer los teléfonos de estas víctimas, quienes en ocasiones también han enfrentado violencia en el mundo real al ser intimidadas, acosadas y, en casos extremos, incluso asesinadas.

En los últimos años, en la lucha por proteger a estas comunidades de mayor riesgo, un equipo de una docena de expertos en seguridad digital, en su mayoría con sede en Costa Rica, Manila y Túnez, entre otros lugares, ha desempeñado un papel clave. Trabajan para Access Now, una organización sin fines de lucro con sede en Nueva York, específicamente para su línea de ayuda de seguridad digital.

Su misión es ser el equipo de personas al que periodistas, defensores de derechos humanos y disidentes pueden acudir si sospechan que han sido pirateados, por ejemplo, con software espía mercenario creado por empresas como NSO Group, Intellexa o Paragon.

«La idea es brindar este servicio 24 horas al día, 7 días a la semana, a la sociedad civil y a los periodistas para que puedan comunicarse cuando tengan… un incidente de ciberseguridad», dijo a TechCrunch Hassen Selmi, quien dirige el equipo de respuesta a incidentes en la línea de ayuda.

Según Bill Marczak, investigador principal del Citizen Lab de la Universidad de Toronto que ha estado investigando el software espía durante casi 15 años, la línea de ayuda de Access Now es un «recurso de primera línea» para periodistas y otras personas que pueden haber sido atacadas o pirateadas con software espía.

La línea de ayuda se ha convertido en un embudo fundamental para las víctimas. Tanto es así que cuando Apple envía a sus usuarios una llamada “notificación de amenaza” alertándoles de que han sido atacados con software espía mercenario, el gigante tecnológico ha dirigido a las víctimas durante mucho tiempo a los investigadores de Access Now.

Al hablar con TechCrunch, Selmi describió un escenario en el que alguien recibe una de estas notificaciones de amenazas y donde Access Now puede ayudar a las víctimas.

“Tener a alguien que pueda explicárselo, decirles qué deben hacer, qué no deben hacer, qué significa esto… Es un gran alivio para ellos”, dijo Selmi.

Según varios expertos en derechos digitales que investigaron casos de software espía y hablaron anteriormente con TechCrunch, Apple en general está adoptando el enfoque correcto, incluso si la óptica parece un gigante tecnológico de un billón de dólares descargando su responsabilidad a un pequeño equipo de trabajadores sin fines de lucro.

Ser mencionado por Apple en las notificaciones, dijo Selmi, fue “uno de los hitos más importantes” para la línea de ayuda.

Selmi y sus colegas ahora investigan alrededor de 1.000 casos de presuntos ataques de software espía del gobierno por año. Alrededor de la mitad de esos casos terminan en investigaciones reales, y sólo alrededor del 5% de ellos, alrededor de 25, resultan en un caso confirmado de infección por software espía, según Mohammed Al-Maskati, director de la línea de ayuda.

Cuando Selmi comenzó a hacer este trabajo en 2014, Access Now solo investigaba alrededor de 20 casos de presuntos ataques de software espía por mes.

En ese momento, había tres o cuatro personas trabajando en cada zona horaria de Costa Rica, Manila y Túnez, ubicaciones que les permitían tener a alguien conectado durante todo el día. El equipo no es mucho más grande ahora, con menos de 15 personas trabajando para la línea de ayuda. Según Selmi, la línea de ayuda tiene más personas en Europa, Medio Oriente, África del Norte y la región subsahariana, dado que estos son puntos críticos para casos de software espía.

El aumento de casos, explicó Selmi, se debe a varias circunstancias. Por un lado, la línea de ayuda ahora es más conocida, por lo que atrae a más personas. Luego, a medida que el software espía gubernamental se globaliza y está cada vez más disponible, hay potencialmente más casos de abuso. Finalmente, el equipo de la línea de ayuda ha realizado más actividades de extensión hacia poblaciones potencialmente objetivo, encontrando casos de abuso que de otro modo no habrían encontrado.

Cuando alguien contacta a la línea de ayuda, dijo Selmi a TechCrunch, sus investigadores primero acusan recibo, luego hacen una primera verificación para ver si la persona que los contactó está dentro del mandato de la organización, es decir, si es parte de la sociedad civil y no, por ejemplo, un ejecutivo de negocios o un legislador. Luego, los investigadores evalúan el caso en triaje. Si se prioriza un caso, los investigadores hacen preguntas, como por qué la persona cree que fue atacada (si no hubo notificación) y qué dispositivo posee, lo que ayuda a establecer qué tipo de información los investigadores pueden necesitar recopilar del dispositivo de la víctima.

Después de una verificación inicial limitada del dispositivo realizada de forma remota a través de Internet, los encargados e investigadores de la línea de ayuda pueden pedir a la víctima que envíe más datos, como una copia de seguridad completa de su dispositivo, para realizar un análisis más exhaustivo en busca de signos de intrusiones.

«Para cada tipo conocido de exploit que se ha utilizado en los últimos cinco años, tenemos un proceso sobre cómo verificar ese exploit», dijo Selmi, refiriéndose a las técnicas de piratería conocidas.

«Sabemos más o menos qué es normal y qué no», afirmó Selmi.

Los encargados de Access Now, que gestionan la comunicación y a menudo hablan el idioma de la víctima, también le darán consejos sobre qué hacer, como por ejemplo si deben adquirir otro dispositivo o tomar otras precauciones.

Cada caso que analiza la organización sin fines de lucro es único. «Es diferente de persona a persona, de cultura a cultura», dijo Selmi a TechCrunch. «Creo que deberíamos investigar más, involucrar a más personas, no sólo a técnicos, para que sepan cómo tratar con este tipo de víctimas».

Selmi dijo que la línea de ayuda también ha estado apoyando a equipos de investigación similares en algunas regiones del mundo, compartiendo documentación, conocimientos y herramientas, como parte de una coalición llamada CiviCERT, una red global de organizaciones que puede ayudar a los miembros de la sociedad civil que sospechan que fueron atacados con software espía.

Selmi dijo que esta red también ha ayudado a llegar a periodistas y otras personas en lugares a los que de otro modo no podrían llegar.

“No importa dónde estén, [victims] «Tener personas con las que poder hablar e informar», dijo Selmi a TechCrunch. «Que estas personas hablen su idioma y conozcan su contexto ayudó mucho».