El ojo del Gran Hermano, ese dictador de un futuro imaginado por George Orwell, ya está aquí. Aunque suene a ciencia ficción, algún oscuro funcionario puede estar leyendo lo que escribimos, o nuestro teléfono o computadora ser convertidas en zombies.

Virus como los que instala el “Sistema de control remoto  Galileo” (o Da Vinci) ya pueden hacerlo. Este programa de espionaje o spyware fue creado por la empresa italiana Hacking Team (HT)  para ser vendido a gobiernos permite el acceso a nuestros archivos y comunicaciones: correos, llamadas de voz por Skype, y conversaciones de chat, en computadores y teléfonos, incluyendo WhatsApp. Y sin dejar rastros.

No se vende a individuos, sino a organismos oficiales, y personalizado a la medida de sus necesidades. El paquete que compra el cliente puede ser utilizado para espiar 100 o 5000 objetivos. Una vez comprado, y terminado el entrenamiento de los espías virtuales -que toma dos semanas-  el cliente pasa a ser dueño del software y a usarlo con quien y cuando quiera.

Hacking Team fue fundada por dos jóvenes programadores italianos que, en el 2003, crearon una herramienta para verificar si las redes eran seguras. Y tan buena era que la policía de Milán los terminó contratando para poder escuchar llamadas. Desde entonces no paró de crecer y extendió sus tentáculos por buena parte del mundo. Su director ejecutivo se llama David Vincenzetti, quien ahora es un hombre adinerado de 47 años.

Hacking Team salió del anonimato cuando el instituto universitario canadiense, Citizen Lab, los denunció públicamente. También lo hizo Wikileaks, el grupo de Julian Assange. Irónicamente, en su juventud más idealista Vincenzetti participaba en los mismos foros donde Assange y otros activistas debatían cómo el internet podía ser una herramienta de libertad para cambiar el mundo.

Hoy, los activistas de Wikileaks son enemigos declarados de la empresa. La acusan de ser la causante de que su software sea utilizado para reprimir a los activistas por derechos humanos. Citan –con pruebas- los casos de un bloguero de Emiratos Árabes golpeado y luego detenido, y de periodistas etíopes y marroquíes espiados por sus gobiernos. 

Reporteros Sin Fronteras calificó a Hacking Team como uno de los “enemigos de Internet” por vender sus servicios a estados opresores.

Hacking Team tiene clientes en más de 40 países, incluyendo a la DEA y el FBI estadounidense, y también a gobiernos que no precisamente se destacan por su respeto a los derechos humanos como Arabia Saudita, Egipto, Nigeria, Kazajstán y Sudán. Apenas en marzo pasado la ONU investigó si le vendían tecnología a este último país. Lo negaron.

Sin embargo, el conocimiento ya no es patrimonio de pocos, y en el mundo de la tecnología digital existe una feroz carrera armamentista virtual. En la noche del domingo 5 de julio Hacking Team fue hackeada. Un grupo sin identificar había burlado su sistema de seguridad, descargado y subido a la red más de 400 gigabytes de información, incluyendo miles de correos electrónicos entre la empresa y sus clientes. Ahora, esa enorme información es pública y está siendo sacada a la luz por activistas del mundo entero. Coincidentemente, Julian Assange, refugiado por tres años en la embajada del Ecuador en Londres, pidió asilo al gobierno de Francia dos días del ataque cibernético que permitió conocer que HT trabajaba para el gobierno ecuatoriano.

Así, se conoció que Hacking Team prestaba sus servicios a la Secretaría de Inteligencia del Ecuador (SENAIN) y que desde mediados de junio del 2015 estaba ofreciendo sus servicios al Ministerio del Interior, presuntamente para activar una red de vigilancia de redes sociales, a través de un Centro de Monitoreo, que empezaría a funcionar en octubre del año próximo.

Hacking Team en Ecuador

En un listado hecho público en la red, se muestra que Hacking Team y el Estado ecuatoriano tienen un contrato desde el año 2013 para la Secretaría de Inteligencia (SENAIN). En ese mismo resumen se anota que el país gastó 535 mil euros por el software de vigilancia, y que el mantenimiento del mismo cuesta otros 75 mil euros al año.

Un año atrás Kaspersky, la prestigiosa empresa de seguridad, informó que se habían detectado en todo el mundo 326 computadores-servidores recolectando información de sus víctimas por medio de estos virus. 35 de ellos –más que Rusia, India y China sumados- estaban en Ecuador.

Mapa de los servidores que reciben información de los virus sembrados por Hacking Team. (Kaspersky)

Curiosamente, en el listado de organismos que contratantes de Hacking Team subido a la red aparece repetido el nombre del mismo gerente de cuentas de Ecuador para la DEA y organismos policiales de México y Chile. Se llama Alex Velasco, y además de trabajar para Hacking Team tiene su propia empresa llamada CICOM USA, que figura como contratista de inteligencia para el Departamento de Defensa de los Estados Unidos. Habría renunciado días antes del ataque informático.

En los correos filtrados aparece también el nombre del encargado técnico de la empresa que hace el mantenimiento en la SENAIN. Es un ingeniero colombiano llamado Eduardo Pardo Carvajal y que reside en Bogotá. Pardo es también el encargado de hacer un trabajo similar en la SIPOL de Colombia bajo contrato de consultoría por valor de 115 millones de pesos anuales.

La próxima cita de mantenimiento de Pardo en la SENAIN estaba fijada para el 9 de julio de este año, aunque los acontecimientos de los últimos días hacen prever que esa fecha puede haberse postergado… o adelantado. Porque una fuente de seguridad sostiene que Hacking Team ha pedido a sus clientes que desactiven sus sistemas dado que corren el peligro de que los hackers que la atacaron puedan entrar a sus sistemas “por la puerta trasera” y robarles toda la información de su espionaje.

La conexión holandesa

El jefe de Pardo en las oficinas de Milán es un español con el muy hidalgo nombre de Sergio Rodríguez-Solís y Guerrero, ex empleado de CICOM-España. Todos sus correos están ahora en la red, y  los reportes que le enviaba Pardo están guardados en dos carpetas llamadas “EC” y “ECU”. Una contiene un archivo llamado SENAIN y la otra MDI. Esta última sigla correspondería a “Ministerio del Interior”.

Porque la cita que el ingeniero Pardo tenía para el 9 de julio en la SENAIN iba a ser aprovechada para hacer la demostración del funcionamiento de un sistema de vigilancia de redes sociales que esta dependencia oficial estaría intentando implementar para mediados del año próximo.

En esa reunión también estaría presente  el intermediario entre el gobierno y Hacking Team: Karel Coors, hombre de negocios holandés y cónsul honorario en Quito. Coors tiene una empresa de comunicaciones y de seguridad filial de Providence, una compañía holandesa. Y también buenos contactos en Ecuador. Al menos así lo dice una carta de recomendación para Hacking Team titulada “Oportunidad en Ecuador” fechada el 22 de junio y firmada por Peter Stolwerk, un ex policía de élite y copropietario de la empresa.

A partir de ahí, todo se mueve muy rápido. Ese mismo día Marco Bettini, gerente de ventas de Hacking Team se pone en contacto con Coors para pedirle que le dé el nombre del posible cliente, ya que ellos tienen algunas operaciones abiertas en Ecuador y quieren evitar que overlaps o superposiciones de actividades.

Dos horas más tarde Karel Coors responde textualmente desde Quito: “Hola Marco. Este es un nuevo grupo formado por el Ministerio del Interior (MDI) para ser usado por una serie de organismos activos en el ámbito policial. La atención está centrada en el tráfico de redes sociales. Como el MDI está detrás de esto, será la parte contratante.”

El 24 de junio Bettini pone a Coors  en contacto con el colombiano Pardo para que durante su visita a Quito coordinen una demostración a funcionarios ecuatorianos. Le adjunta un Acuerdo de confidencialidad que debe ser firmado por la parte interesada. Luego pasan diez días sin avances porque el texto se tuvo que traducir al español o de lo contrario no se iba a firmar. Cuando finalmente está listo, en el acuerdo se menciona como contraparte a la Fiscalía General del Estado y la Policía Nacional.

Mientras tanto, Coors mantiene comunicaciones por Skype con Pardo para explicarle “los parámetros y actores en el proyecto”, que ya tiene nombre: Proyecto Galileo.

El Proyecto Galileo

La negociación con el gobierno se demoró porque, además, un funcionario debió llenar  un cuestionario para que Hacking Team sepa exactamente qué software necesitarían: número de personas a ser espiadas, si computadores, teléfonos y tablets, el tipo de plataforma que usan, etc. Son los servicios “a la medida del usuario” que ofrecen.

El Sistema de Control Remoto Galileo buscaba controlar en Ecuador 500 dispositivos o usuarios de redes sociales al mismo tiempo; pero el sistema puede controlar hasta 5000 dispositivos simultáneamente. Este es uno de los requerimientos del cuestionario de Hacking Team, que habría sido llenado por un funcionario ecuatoriano, previo a una cita de demostración del proyecto de vigilancia, que según lo señala en el documento, debiera estar listo y operando en octubre del 2016, justo en plena campaña electoral para renovar Presidente y Vicepresidente de la República y la Asamblea Nacional.

El nombre del organismo del Estado al que se refiere el cuestionario es: Subsistema de Investigación Técnica y Electrónica, y el convenio a punto de celebrar es un sistema de intercepción y hacking.

La primera pregunta del cuestionario fue a qué se dedica la organización; la respuesta fue: a anticorrupción, antinarcóticos y crimen organizado. Se trata, se responde en el cuestionario, de blancos desconocidos, pero se detalla que los posibles dispositivos son Windows, Mac OS, Linux, en lo que son PC y laptops; y en cuanto a móviles y tabletas son: Androi, iOS y Windows pone.
Ante la pregunta de cuáles son las aplicaciones más usadas por sus blancos de inteligencia, la entidad responde: Facebook, Twitter, Skype, WhatsApp, Line y Telegram.

Hay un siguiente punto bajo el título: escenarios de ataque. Son tres preguntas. La primera se refiere a que si el organismo puede tener acceso a los dispositivos del blanco, sea su casa, oficina o en la frontera. La respuesta es no. La siguiente pregunta se refiere a si puede estar físicamente cerca del blanco, por ejemplo en el mismo hotel, aeropuerto, cafetería o restaurante. La respuesta es que “la solución debe estar enfocada a tener un Centro Nacional de Monitoreo a nivel país”. Los  contratantes no contestaron directamente la siguiente pregunta: describa el tipo de información que puede saber de sus blancos (email, número telefónico…). La respuesta fue otra pregunta: ¿qué información puede proveer el sistema? Y según las funcionalidades se establecerá el alcance del proyecto. Y en este punto finalmente se pregunta: “¿Pueden obtener colaboración con algún proveedor de servicios de internet? Se contesta que: sí, pero si se requieren actividades de parte de los ISP, deben ser explícitas y detalladas para canalizarlas.

Los requerimientos de la oficina estatal para el proyecto, según el cuestionario que llenaron, son que “se deben interceptar legalmente comunicaciones que utilicen el servicio de internet como plataforma, en dispositivos móviles y computadores”.  La fecha deseada para la instalación del proyecto se estableció entre abril y junio del 2016 y en octubre del 2016 para tenerlo funcionando. Y señalaron se esperaba poder monitorear simultáneamente 500 dispositivos.

Cuando Hacking Team pidió al Subsistema que describa su organización, este respondió que tenían 90 usuarios y 70 analistas, con bajas habilidades en seguridad informática y tecnologías de la información, (TI) y unidades de campo variables.

Para HT era importante que su cliente definiera quién será responsable de proveer el hardware, como los servidores, los equipos Switch, Firewall, etc… La respuesta fue que “El hardware y sistemas operativos deben ser indicados por Hacking Team para buscar los proveedores que correspondan y no libera de responsabilidad a Hacking Team del funcionamiento integral de la plataforma. Se puede explorar una solución completa también”.

Los contratantes señalaron explícitamente que estaban dispuestos a compartir con HT qué tipo de centro de monitoreo se usaba actualmente, pero que se consultará con las autoridades, más bien para que desean conocer el tipo de centro de monitoreo.

También queda claro en el documento que Hacking Team es una opción entre varias, pues el Subsistema le aclara que puede evaluar otras ofertas.

Finalmente, como pedido relevante, HT preguntó qué le interesaría al Subsistema para la demostración, y se respondió que “Las funcionalidades de su solución en cuanto a la interceptación de servicios que trabajan sobre Internet, para determinar cuáles aplican a nuestro caso”.
Al final del  cuestionario hay varias preguntas, las cuales se quedan con los casilleros de respuesta vacíos:
¿El sistema debe tener un perfil de auditoría?
¿El sistema debe ser certificado o reconocido en el ámbito legal internacional para que los jueces en el Ecuador no tengan problema en aceptar su validez?
¿La extracción de evidencia debe tener una integridad y seguridad para que no termine en manos que no correspondan?
¿Toda la plataforma equipos y software debe ser instalado en un Data Center no se contemplan equipos tácticos, a no ser de que sean imprescindibles para la operación del sistema y sea demostrado por el fabricante?
¿Se deben enfocar en aspectos relevantes como: Confidencialidad, Integridad de la información, Autentificaciones y Disponibilidad de la plataforma?