¡°Mueve el culo y ve a hablar en persona¡±: por qu¨¦ no es seguro ni el WhatsApp de los narcos

El 13 de junio decenas de miles de usuarios de EncroChat recibieron una alerta en su m¨®vil: ¡°Hemos sido infiltrados por entidades gubernamentales¡±, dec¨ªa. ¡°Te aconsejamos que apagues el dispositivo y te deshagas de ¨¦l inmediatamente¡±. La recomendaci¨®n de destrozar tu aparato no es un tipo de notificaci¨®n com¨²n para usuarios de m¨®vil. Pero EncroChat tampoco era una app normal.

EncroChat vend¨ªa comunicaci¨®n cifrada y an¨®nima a trav¨¦s de un m¨®vil encriptado y una aplicaci¨®n de mensajer¨ªa. En una operaci¨®n de al menos tres a?os de las polic¨ªas francesa y holandesa, con la colaboraci¨®n de otras (entre ellas la espa?ola), las autoridades consiguieron infiltrarse en su sistema: ¡°Este es uno de los mayores proveedores de comunicaci¨®n digital encriptada con un alto porcentaje de usuarios presuntamente dedicados a la actividad criminal¡±, dice la nota de prensa de Europol que revel¨® el trabajo policial. Espa?a era uno de los cinco pa¨ªses con m¨¢s m¨®viles de la marca, seg¨²n la nota de prensa de las autoridades francesas.

¡°Un equipo de m¨¢s de 500 personas ha trabajado en la Operaci¨®n Venetic d¨ªa y noche, con miles de agentes m¨¢s vigilando¡±, ha asegurado Nikki Holland, directora de investigaciones de la brit¨¢nica National Crime Agency. No ha sido claramente una operaci¨®n cualquiera: ¡°Ha sido la m¨¢s amplia y profunda operaci¨®n en el Reino Unido contra el gran crimen organizado, la infiltraci¨®n ha sido como tener una persona dentro de cada grupo criminal¡±, ha a?adido. La polic¨ªa brit¨¢nica ha detenido a 746 sospechosos, m¨¢s de 50 millones de euros en met¨¢lico y m¨¢s de dos toneladas de drogas.

EL PA?S ha hablado con un distribuidor de m¨®viles EncroChat en Espa?a. La venta de tel¨¦fonos encriptados es legal: ¡°Dicen que son los tel¨¦fonos de los narcos, pero hay de todo. Yo he vendido tel¨¦fonos de estos a gente con traje y corbata, jueces, abogados o polic¨ªas¡±, explica tras pedir anonimato para hablar con libertad sobre esta empresa, que le debe dinero. Hay muchos perfiles posibles de personas que quieren proteger sus comunicaciones de rivales, enemigos o del Gobierno.

EncroChat no solo ofrec¨ªa que los mensajes fueran imposibles de interceptar, tambi¨¦n que no se vincularan a ninguna identidad. Ese m¨®vil no est¨¢ ligado a ninguna identidad mediante la SIM, el IMEI (el identificador del dispositivo) u otras cuentas que el usuario pueda tener en su m¨®vil. Pero tampoco a su DNI: ¡°Era todo en negro, no hay una factura de nada, no necesitaba saber los nombres¡±, dice el distribuidor. ¡°Se usaban apodos para usuarios: perronegro, cervezafria, darthvader, kawasaki, te los daba el sistema aleatoriamente o t¨² los pod¨ªas pedir y si no estaba cogido te lo daban. ?Te quieres llamar zorronegro? Miro en la base de datos y si est¨¢ pillado, pues te pongo blackfox¡±, a?ade.

Un EncroChat costaba 1.400 euros, que inclu¨ªa la suscripci¨®n al servicio durante seis meses. Si alguien quer¨ªa renovarla, costaba 1.600 euros: es decir, usar este servicio un a?o entero sal¨ªa por 3.000 euros. Pero solo con los precios ya se ve que la empresa promov¨ªa la renovaci¨®n del dispositivo, no la suscripci¨®n: ¡°Los que renovaban eran jueces, abogados, polic¨ªas. Gente que los usa para cosas confidenciales pero no tiene que desaparecer. Los otros usan seis meses el tel¨¦fono y lo tiran. Me compraban cuatro nuevos para su gente y los que ten¨ªan los tiraban al mar¡±, dice el distribuidor.

El problema de cambiar de aparato era el cambio de nombre. La agenda de un EncroChat consist¨ªa en nombres, no en n¨²meros. Si ponchonegro quer¨ªa entra en contacto con caracortada deb¨ªa mandarle una petici¨®n y el otro deb¨ªa aceptarla. Si no lo hac¨ªa en 48 horas, la petici¨®n desaparec¨ªa. Los usuarios que quer¨ªan contactar deb¨ªan intercambiarse su usuario por alguna v¨ªa distinta.

Este esfuerzo de anonimato hizo que la polic¨ªa no pudiera ligar f¨¢cilmente identidades, a pesar de la infiltraci¨®n. Seg¨²n las autoridades, analizaron m¨¢s de 100 millones de mensajes. EncroChat ten¨ªa 60.000 usuarios, 10.000 de ellos en el Reino Unido, seg¨²n la polic¨ªa brit¨¢nica. Los mensajes pudieron revelar direcciones, encuentros o env¨ªos. A pesar de la probable candidez de los mensajes entre dos traficantes que creen que nadie les ve, averiguar qui¨¦nes son exactamente es m¨¢s complejo.

Su ¨¦xito fue su final

El ¨¦xito de EncroChat ha sido tambi¨¦n su pozo. La operaci¨®n empez¨® aparentemente en Francia cuando la polic¨ªa descubri¨® el sistema en m¨®viles de varios detenidos. ?C¨®mo dejar¨¢ la polic¨ªa f¨¢cilmente de tratar de infiltrar una herramienta que usan miles de posibles delincuentes? Es como poder mirar desde una ventana a una habitaci¨®n donde se cometen cr¨ªmenes.

¡°En ciberseguridad, si tienes una diana en la frente y eres buscado, de un modo u otro van a llegar¡±, dice Javier Ag¨¹era, cofundador de Barbara IoT y antes de Blackphone, una empresa dedicada precisamente a m¨®viles seguros. ¡°La polic¨ªa ten¨ªa esto en la diana, pero ni siquiera tiraron de la red. Se aprovecharon de la red y los tel¨¦fonos f¨ªsicos. Nada es 100% seguro si van a por ti¡±, a?ade.

Esto es lo que pas¨®. Cuando van a por ti, olvida los chats seguros. ¡°As¨ª que les dec¨ªa que hablen lo que tengan que hablar, pero para cosas delicadas, muevan el culo y hablen en persona¡±, dice el distribuidor de EncroChat. Las conversaciones realmente secretas solo tienen una soluci¨®n: en persona. Para organizaciones con muchos recursos existe la opci¨®n de crearte ad hoc un sistema de comunicaci¨®n al que nadie que no sea del grupo escogido tenga acceso. Pero ni eso es completamente seguro: ¡°La encriptaci¨®n son matem¨¢ticas y programaci¨®n. Requiere contratar a un equipo de expertos y por una fracci¨®n del dinero que mueven muchas de estas redes criminales se lo pueden crear ad hoc y existen¡±, dice Ag¨¹era. ¡°Al mismo tiempo, tambi¨¦n es cierto que cuantos menos usuarios tiene una tecnolog¨ªa, m¨¢s probable es que tenga fallos. En redes m¨¢s comerciales como Signal, los fallos emergen m¨¢s y hay m¨¢s ojos¡±, a?ade.

La gran pregunta que queda por hacer es c¨®mo hicieron las fuerzas de seguridad para desmontar la red. Y aqu¨ª no existe un camino solo. La discreta explicaci¨®n en la nota oficial de Europol sosten¨ªa que la polic¨ªa francesa descubri¨® que ¡°la compa?¨ªa operaba desde servidores en Francia¡± y que, ¡°eventualmente, fue posible poner un dispositivo t¨¦cnico que fuera m¨¢s all¨¢ de la encriptaci¨®n y tuviera acceso a la correspondencia de los usuarios¡±.

Los expertos consultados por EL PA?S coinciden en creer que un paquete de malware enviado mediante una actualizaci¨®n a los dispositivos es el m¨¦todo m¨¢s probable. Eso tambi¨¦n puede hacerse de varias maneras, explican. Hay, sin embargo, al menos otras dos posibilidades que pueden tenerse en cuenta.

La primera, que el cifrado estuviera mal hecho y fuera accesible. Las f¨®rmulas que permiten cifrados seguros requerir¨ªan a?os de ordenadores potentes para resolverlas. Eso, si est¨¢ bien hecha. No hay que olvidar que, al final, EncroChat no deja de ser una empresa que se ha enriquecido ofreciendo un servicio que ha acabado fracasando.

El distribuidor espa?ol apenas ha tenido reclamaciones: ¡°Solo me ha llamado un cliente y tampoco muy cabreado. Le dije que hab¨ªa habido una peque?a brecha de seguridad. Pero a la semana le dije que tirara ya el tel¨¦fono a la alcantarilla. Me lo hab¨ªa comprado hace tres semanas y nunca m¨¢s supe de ¨¦l¡±, explica. El propio distribuidor, por su parte, tambi¨¦n qued¨® colgado: ¡°Cuando llam¨¦ a la gente de Madrid ya no me cog¨ªan el tel¨¦fono, y cuando fui a entrar al portal para administrar mis clientes, ya no exist¨ªa. Se piraron con la pasta¡±.

La segunda posibilidad es que alg¨²n empleado mosqueado, infiltrado o chivato dentro de la organizaci¨®n pueda colocar directamente el malware. Por si fuera poco, el propio dispositivo podr¨ªa llevar ya de serie el malware. EncroChat us¨® durante una temporada los m¨®viles espa?oles BQ Aquarius, antes de fabricarse unos expresamente llamados Carbon. Tanto unos como otros pod¨ªan ser infectados. EL PA?S ha escrito repetidamente a BQ sin obtener respuesta.

?Puede haber un tel¨¦fono seguro?

El reto fallido de EncroChat lleva a la pregunta de si es posible un tel¨¦fono seguro. ¡°La mayor¨ªa de estos tel¨¦fonos seguros no est¨¢ funcionando¡±, dice Sim¨®n Roses, experto en ciberseguridad y profesor en el curso online de C1b3rwall. Estos aparatos no son propios del mundo del hampa. Puede ser que a miembros del consejo de administraci¨®n de una gran empresa les interese comunicarse as¨ª. La polic¨ªa francesa ha ofrecido un email por si hay ciudadanos ¡°de buena fe¡± que usaron EncroChat sin cometer delitos y quieren pedir que se borren sus mensajes de la base de datos.

Desde el momento que un sistema tiene ¨¦xito, va a llamar la atenci¨®n. Y van a aparecer agujeros: ¡°Si tienes sistemas con un fallo que puede explotar por la polic¨ªa con autorizaci¨®n de un juez, ese mismo fallo puede usarlo un atacante con intenciones distintas¡±, recuerda Ag¨¹era. Es una asignatura pendiente con una soluci¨®n muy compleja. Pero tiene su modelo de negocio claro y ya hay empresas esperando ocupar el espacio de EncroChat.

Puedes seguir a EL PA?S TECNOLOG?A RETINA en Facebook, Twitter, Instagram o suscribirte aqu¨ª a nuestra Newsletter.