Podemos se f¨ªa m¨¢s de Telegram, pero el esc¨¢ndalo brasile?o del juez Moro prueba que se equivoca

Uno de los grandes desencuentros en la infructuosa negociaci¨®n de investidura, seg¨²n la cr¨®nica de EL PA?S, fue por la app de mensajer¨ªa que usa cada partido: "Se vive un momento surrealista propio de la hora, el estr¨¦s y cierto salto generacional. Podemos vive en Telegram. [La vicepresidenta en funciones, Carmen] Calvo en WhatsApp, como casi todo el PSOE", narra el texto.

El secretario de Acci¨®n Pol¨ªtica de Podemos, Pablo Echenique, apenas usa WhatsApp y tard¨® en ver un mensaje relacionado con las negociaciones, lo que provoc¨® la ¨²ltima ruptura. Como parece que no hay Gobierno, entre otras cosas, por culpa de una app, es hora de advertir a Podemos de que Telegram tampoco es milagroso. De cara a las pr¨®ximas negociaciones, igual ayuda.

Desde sus inicios Podemos opt¨® por Telegram. La fundaci¨®n del partido y la compra de WhatsApp por Facebook coincidieron a principios de 2014. Entonces esa red social no ten¨ªa la mala fama de ahora, pero Telegram hab¨ªa nacido en agosto de 2013 y ven¨ªa con el sello de ser m¨¢s segura. A esto se sumaba la opci¨®n de poder suscribirse a canales. Todo ello parec¨ªa encajar mejor con la formaci¨®n liderada por Pablo Iglesias.

Desde hace unos meses, los pol¨ªticos espa?oles van apareciendo en Signal

La percepci¨®n de seguridad de las aplicaciones de mensajer¨ªa var¨ªa. Desde hace unos meses, los pol¨ªticos espa?oles se est¨¢n apuntando a Signal, la ¨²ltima moda en encriptaci¨®n. Esta y Telegram permiten ver qu¨¦ personas de la lista de contactos se dan de alta en el servicio. Un periodista con la agenda llena de tel¨¦fonos de pol¨ªticos puede ver c¨®mo miembros de todos los partidos van apareciendo en Signal, con la presunta esperanza de que all¨ª nada se filtrar¨¢. (Aviso: todo puede pasar).

El ¨²ltimo esc¨¢ndalo en Brasil es una prueba de que las apps de mensajer¨ªa son tan hackeables como su eslab¨®n m¨¢s d¨¦bil. El juez Sergio Moro mandaba consejos por Telegram a fiscales del caso Lava Jato para que apuntalaran mejor el caso contra el expresidente Lula da Silva. Los jueces deben mantenerse al margen de ese proceso. El caso car wash impidi¨® a Lula seguir en la carrera de las ¨²ltimas elecciones, lo que convirti¨® autom¨¢ticamente en favorito al actual presidente, Jair Bolsonaro. Una vez en la presidencia, Bolsonaro nombr¨® ministro de Justicia al juez Moro.

El periodista del 'caso Snowden'

Una filtraci¨®n a Glenn Greenwald, el periodista que public¨® la exclusiva de Edward Snowden en The Guardian y que vive en Brasil, permiti¨® que el medio digital The Intercept sacara en junio una serie de reportajes con los mensajes y la presunta corrupci¨®n del magistrado brasile?o.

La semana pasada, la polic¨ªa del pa¨ªs detuvo a cuatro sospechosos del hackeo, tres hombres y una mujer. En su declaraci¨®n, el principal acusado, Walter Delgatti Neto, explica c¨®mo accedi¨® progresivamente a cientos de mensajes en el Telegram de altos cargos.

El objetivo es que el c¨®digo que dar¨¢ acceso a Telegram en otro dispositivo acabe en el buz¨®n de voz

Empez¨® con un fiscal local que lo hab¨ªa metido en la c¨¢rcel por tr¨¢fico de drogas. El m¨¦todo de hackeo es relativamente sencillo. Despu¨¦s de conseguir el n¨²mero de tel¨¦fono del fiscal, entraba en Telegram y ped¨ªa que le mandara un c¨®digo para abrir sus mensajes en la versi¨®n web. Telegram permite que ese c¨®digo se mande con una llamada y un mensaje de audio al n¨²mero provisto. El hacker entonces inunda de llamadas el tel¨¦fono del interceptado y el c¨®digo acaba en el buz¨®n de voz. Otra opci¨®n es mirar en su agenda p¨²blica o en Twitter y ver cu¨¢ndo el objetivo prev¨¦ tomar un vuelo, y tendr¨¢ por tanto el modo avi¨®n conectado. Y en ese momento lanzar la operaci¨®n.

De nuevo, la intenci¨®n es que el c¨®digo que dar¨¢ acceso a Telegram en otro dispositivo acabe en el buz¨®n de voz. Luego, llega el momento de hackear ese buz¨®n. "La seguridad de un sistema tan robusto como Telegram con su cifrado punto a punto es tan fuerte como el pin de tu buz¨®n de voz", explica Mart¨ªn Vigo, investigador en seguridad y fundador de Triskel Security. "El agujero de las aplicaciones de mensajer¨ªa no es en el buz¨®n de voz como tal, m¨¢s bien es el permitir que una acci¨®n sensible (como es migrar tu cuenta a un dispositivo nuevo) se pueda llevar a cabo a trav¨¦s de una l¨ªnea insegura como es una llamada telef¨®nica", a?ade.

Seg¨²n cuenta el detenido Walter Delgatti, lo que hizo fue conseguir el ID del tel¨¦fono del interceptado, y suplantarlo. Las tecnolog¨ªas de llamada por IP permiten falsear ese identificador. Es un m¨¦todo de estafa com¨²n. Una vez hecho eso, Delgatti utilizaba el n¨²mero del fiscal como si fuera el suyo y se llamaba a s¨ª mismo. "Ciertos operadores no piden el pin del buz¨®n de voz si uno se llama a s¨ª mismo. Se asume que es el propio usuario el que est¨¢ intentando acceder al buz¨®n de voz y se le da acceso directamente. El problema es que suplantar un identificador de llamada es muy sencillo y servicios por Internet te lo ofrecen sin necesidad de ninguna capacidad t¨¦cnica", dice el investigador en seguridad.

Ni pin ni nada

Pero aunque hubiera pin, Mart¨ªn Vigo es especialista en averiguar esa cifra con unos cuantos intentos. En una presentaci¨®n p¨²blica que hizo con WhatsApp, demostr¨® que a¨²n con contrase?a o incluso cuando el contestador pide pulsar alguna tecla ¨Ccomo hace Paypal¨C es t¨¦cnicamente posible burlarlo.

Telegram, WhatsApp y Signal tienen un agujero que no depende de su encriptado

Una vez dentro del Telegram del fiscal local, Delgatti vio que hab¨ªa n¨²meros de figuras de mayor renombre. Con el mismo m¨¦todo, fue escalando hasta llegar al ministro. All¨ª vio que hab¨ªa un buen l¨ªo pol¨ªtico y decidi¨® pasar los mensajes a Greenwald, siempre seg¨²n su versi¨®n.

Hay dudas razonables sobre si esta versi¨®n es precisa, porque la polic¨ªa federal sospecha que hay unas mil personas que han sido v¨ªctimas de hackeo y Delgatti dice que todo esto lo ha hecho en unos meses este a?o. Es dif¨ªcil que con este m¨¦todo llegaran a un volumen as¨ª.

Pero m¨¢s all¨¢ de si el camino ha sido este o el sim swapping (el uso de una sim duplicada), Telegram, WhatsApp y Signal tienen un agujero que no depende de su encriptado, sino de la contrase?a del buz¨®n de voz. Las operadoras tambi¨¦n son responsables de no reforzar la protecci¨®n de sus buzones. Las contrase?as de cuatro d¨ªgitos suelen venir de f¨¢brica, coincidir con cifras del n¨²mero de tel¨¦fono o ser f¨¢cilmente adivinables (?qui¨¦n no se ha puesto alguna vez el a?o de nacimiento?).

Podemos puede seguir confiando en Telegram y tardar en ver los mensajes de la vicepresidenta en funciones. Pero deben saber tambi¨¦n que alguien malintencionado podr¨ªa haber filtrado toda la estrategia de Echenique, Pablo Iglesias e Irene Montero, en un rato.

Adem¨¢s de usar el modo conversaci¨®n secreta para los mensajes muy privados, donde se autodestruyen, hay un par de soluciones razonables que pocos usuarios emplean: uno, activar los dos factores de autenticaci¨®n. Las apps de mensajer¨ªa permiten activar una contrase?a que complemente el c¨®digo que mandan por tel¨¦fono. Nadie podr¨ªa entonces acceder desde fuera. Dos, tener un segundo n¨²mero de tel¨¦fono para estas aplicaciones. As¨ª, por ejemplo, quien tenga uno de los dos n¨²meros no ve tan f¨¢cilmente qu¨¦ hace alguien con el otro. Son pr¨¢cticas que llevan tiempo, pero ejemplos como el brasile?o ir¨¢n ense?ando el camino.