José Soto Galindo
4 diciembre, 2018
La Suprema Corte dejó sin resolver un tema de primera importancia para el combate a la corrupción en México: la posibilidad de que la autoridad judicial federal rompa el secreto bancario sin autorización judicial previa. Una decisión de la Corte en contra del secreto bancario en materia penal es indispensable para combatir la corrupción, uno […]
Seguir leyendoJosé Soto Galindo
3 diciembre, 2018
Existen indicios de que la Procuraduría General de la República (PGR) violó el principio de responsabilidad y el deber de seguridad que contempla la ley de protección de datos personales aplicable al gobierno federal, a partir del uso del software de espionaje Pegasus. Con esa sospecha fundada, el Inai —la oficina federal de transparencia y […]
Seguir leyendo
#GobiernoEspía es un reflejo fiel del Estado autoritario en México. O, como dice Zaffaroni, la manifestación más clara del poder punitivo. La primera denuncia de un intento de hackeo con Pegasus fue en agosto de 2016. Han pasado dos años y el gobierno no ha hecho nada para sancionar a los responsables. José Soto Galindo celebra en este artículo para BuzzFeed News México que el presidente Enrique Peña Nieto deje el cargo, pero ¿lo que viene será mejor?
Enrique Peña Nieto deja una herencia de espanto relacionada con la libertad de expresión en México. Se va con un récord de asesinatos de periodistas tan alto como el del sexenio anterior, una ley que permite la intervención sin control de las comunicaciones privadas y por lo menos 24 objetivos de espionaje con el software Pegasus, incluidos Carmen Aristegui y su hijo, Carlos Loret de Mola, activistas del impuesto a las bebidas azucaradas e investigadores del caso Ayotzinapa.
Hay motivos para celebrar el término de su mandato. ¿Hay motivos para celebrar lo que viene?
El gobierno mexicano se ha caracterizado como un Estado autoritario que exhibe constantemente su poder punitivo. Peña Nieto fue un ejecutor más de esa característica. El poder punitivo es el que se ejerce contra las personas libres a través de la vigilancia y el control, y no precisamente contra quienes ya han sido castigados, de acuerdo con el jurista Eugenio Raúl Zaffaroni.
Tampoco sorprenden ni el autoritarismo de Peña Nieto ni la falta de repercusiones por criminalizar el disenso y la denuncia. Es México y aquí la impunidad es la regla. Deja la Presidencia con un manto de protección sobre sus responsabilidades o sus negligencias en materia de libertad de expresión.
Y no pasa nada. Porque así se demuestra, precisamente, un Estado autoritario.
¿Darías clic al link que acompaña el siguiente mensaje de texto?
“Se q te falle y prometi alejarme de ti pero esta foto juntos me hizo recordarte mira: link”.
¿O qué tal este otro?
“Has realizado un Retiro/Compra Tarjeta **** monto $21,750 M.N. Verifica detalles de operacion: link”.
El gobierno mexicano ha utilizado un software espía para hackear los teléfonos de periodistas, abogados, activistas anticorrupción y de salud pública, investigadores internacionales y políticos. Para conseguir el hackeo se necesita que el usuario dé clic a un link que provoca a la instalación del software espía. El software se llama Pegasus y es fabricado por la compañía NSO Group, de origen israelí. Si se consigue el hackeo, el teléfono se convierte en un aparato de espionaje a control remoto.
Los intentos de hackeo más recientes ocurrieron en mayo del 2017. Se utilizaron los mensajes de texto descritos arriba para hacer que sus destinatarios dieran clic en los links de instalación de Pegasus.
Los mensajes fueron enviados a Ismael Bojórquez y Andrés Villarreal dos días después del asesinato de Javier Valdez Cárdenas, un reportero sinaloense famoso por investigar el narcotráfico en México. Bojórquez es el director de Ríodoce, el semanario que fundó Javier Valdez hace 15 años en Culiacán. Villarreal es el director de información de la revista.
Todo esto se sabe por el trabajo del centro de investigación canadiense Citizen Lab, de la Universidad de Toronto, que trabaja en México con las organizaciones Article 19, SocialTIC y R3D.
Pegasus es un software malicioso (malware, por su nombre técnico en inglés) que convierte los teléfonos iPhone y Android en zombis. Una vez instalado, Pegasus permite al controlador de este software leer mensajes de texto, revisar fotos o conocer la ubicación en tiempo real del teléfono. Pegasus, según describe Citizen Lab, es capaz de activar micrófonos y cámaras de los teléfonos sin que los usuarios lo detecten.
NSO Group es la compañía fabricante de este software espía. NSO Group asegura que sólo vende su juguete a gobiernos dedicados a hacer el bien. O sea, es una compañía buena que diseña herramientas para que los gobiernos buenos investiguen y persigan acciones terroristas y del crimen organizado.
Si eso fuera cierto, jamás le habría vendido licencias de Pegasus a un gobierno como el de México, reprobado en rendición de cuentas, estado de derecho e impunidad, según los rankings del Banco Mundial.
NSO Group también dice que si descubre que un gobierno utilizó Pegasus para hacer el mal le retira la licencia del software. O sea, lo castiga y le deja de hablar, por malo. Su eslogan es “Make the World a Safer Place” (“Hacer del mundo y un lugar más seguro”).
Si eso fuera cierto, habría deshabilitado el uso de Pegasus en México desde la primera denuncia de su utilización contra periodistas, en agosto de 2016.
Pero no se burlen: cada quien se construye la identidad que quiere. Otra cosa es que les creamos.
La organización de investigación periodística Mexicanos Contra la Corrupción y la Impunidad (MCCI) documentó que la PGR (Procuraduría General de la República) adquirió licencias de Pegasus por lo menos desde octubre de 2014, cuando aún encabezaba esa oficina Jesús Murillo Karam.
El costo de las licencias fue de 32 millones de dólares, de acuerdo con esa investigación. El contrato lo firmó Tomás Zerón de Lucio, actual Secretario Técnico del Consejo de Seguridad Nacional.
Nada.
Apenas el 23 de noviembre se anunció la primera acción concreta. El Inai, la oficina de protección de datos personales en México, ordenó iniciar una investigación sobre el uso de Pegasus en México. El Inai utilizará sus facultades para investigar de oficio y visitará las oficinas de la PGR para encontrar pistas. Si encuentra algo, iniciará acciones contra los responsables de alguna infracción.
O sea, el Inai hizo público que buscará responsables… ¿para que los responsables tengan tiempo de borrar las huellas?
Y más: la investigación del Inai se realizará más dos años después de la primera denuncia del uso de Pegasus en México. Lo que sobra es tiempo, ¿o cómo dice el dicho?
Pero quizá utilizó con rudeza innecesaria: el presidente Peña Nieto sí emprendió acciones. Fue en junio de 2017. Y fue una advertencia contra los blancos de Pegasus:
“Resulta muy fácil apuntar y convocar para que se señale al gobierno como alguien que espía. Nada más falso que eso, porque ninguna de las personas que se sienta agraviada puede afirmar o evidenciar que su vida se haya visto afectada por ese supuesto espionaje”, dijo Peña Nieto en la inauguración de un parque industrial en Lagos de Moreno, Jalisco.
Y recomendó a los ciudadanos su propia medida contra el espionaje:
“A veces recibo mensajes cuya fuente u origen desconocido, pero procuro en todo caso ser cuidadoso en lo que hablo telefónicamente”.
Celebremos pues que terminó su mandato. Pero ¿lo que viene será mejor? Más nos vale que así sea.
Periodista. Desde 2010 edita la versión digital de El Economista en la Ciudad de México. Maestro en Transparencia y Protección de Datos Personales por la Universidad de Guadalajara. Tiene especialización en derecho de las telecomunicaciones y las tecnologías de la información. Contacto: soto.galindo@gmail.com https://twitter.com/holasoto https://economicon.mx
Contactar a José Soto Galindo en soto[arroba]economicon.mx
José Soto Galindo
26 noviembre, 2018
La Corporación Mexicana de Investigación en Materiales S.A. de C.V. (Comimsa), una entidad pública dependiente de la oficina federal de ciencia y tecnología Conacyt, contrató una membresía anual para utilizar listas negras de trabajadores durante sus procesos de selección de candidatos y tener elementos para rechazar a supuestos empleados problemáticos. Las listas negras, también conocidas […]
Seguir leyendoJosé Soto Galindo
5 noviembre, 2018
Los ciberataques seguirán ocurriendo y serán cada vez más frecuentes. Desde nuestra trinchera, como usuarios de los servicios de la economía digital, más nos vale mantener nuestras propias precauciones.
Seguir leyendoJosé Soto Galindo
1 octubre, 2018
En 2016 un grupo de hackers accedió a los sistemas tecnológicos de Uber y robó datos personales de 57 millones de sus clientes y conductores. Uber —una compañía que ofrece servicios de transporte a través de un software instalado en teléfonos móviles— ocultó este incidente de ciberseguridad durante un año. Entre los afectados hubo casi 1 millón de mexicanos, se supo en marzo de 2018.
Los hackers robaron nombres, correos electrónicos y números telefónicos. 25.6 millones de las cuentas hackeadas pertenecían a usuarios en Estados Unidos. Los números de las licencias de conducir de 600,000 conductores estadounidenses también fueron robados. Uber dijo que pagó 100,000 dólares a los hackers para que borraran la información sustraída. Ajá.
El incidente provocó investigaciones judiciales contra Uber en todo Estados Unidos. “Al fallar en la protección de información personal y sensible —a pesar de que es su obligación legal hacerlo— y al ocultar la brecha de seguridad por más de un año —a pesar de que es su obligación legal informar sobre este tipo de incidencias— Uber expuso de manera deliberada e intencional a los ciudadanos de Chicago y de Illinois al robo de identidad y al fraude financiero, a estafas relacionadas con la devolución de impuestos y a otros daños potenciales”, se lee en la demanda del Ayuntamiento de Chicago contra Uber.
Uber tiene en México 8 millones de usuarios activos y más de 250,000 socios conductores en 43 ciudades de 23 estados. Hace un par de años presumió que México representaba su tercera mayor operación global. La Procuraduría General de la República (PGR) informó en marzo que colaboraba con Uber para “buscar” que “los datos plagiados no pongan en riesgo la integridad ni el patrimonio de los usuarios”. Aseguró que a través de la Agencia de Investigación Criminal (AIC) y su Unidad de Investigaciones Cibernéticas y Operaciones Tecnológicas (UICOT) “trabaja en prevenir que la información filtrada llegue a internet, particularmente al mercado negro en la Deep y Dark Web”. (¿En qué quedamos: se puede confiar en que los hackers retribuidos por Uber borraron la información?).
La autoridad de protección de datos personales de México, el Inai, informó a través de una solicitud de acceso a la información en enero de 2018 que había recibido una denuncia relacionada con el incidente, “la cual derivó en una orientación”. Antes había dicho que pediría información a Uber “que permita conocer cuántos usuarios, choferes y empleados mexicanos fueron afectados, así como las medidas implementadas para evitar vulneraciones futuras y, en su caso, mitigar los daños de la ocurrida en 2016”. Y ya.
El 26 de septiembre pasado se informó que Uber llegó a un acuerdo en Estados Unidos para pagar 148 millones de dólares y detener las investigaciones en su contra. Uber se comprometió a implementar medidas para reducir la posibilidad de ataques cibernéticos que pongan en riesgo la información personal de sus consumidores. También se comprometió a adoptar mecanismos de transparencia: cada tres meses entregará un reporte a las autoridades sobre incidentes de ciberseguridad durante los próximos dos años.
“La decisión de Uber de encubrir esta brecha de seguridad fue una flagrante violación de la confianza de los consumidores. (…) En coincidencia con su cultura corporativa de ese momento, Uber ocultó la brecha de seguridad bajo la alfombra en una deliberada falta de respeto a la ley”, dijo en un comunicado el fiscal general de California, Xavier Becerra.
¿Uber será sancionado en México por esta filtración de datos personales de sus consumidores? ¿Llegará a un acuerdo económico como apercibimiento por su negligencia y el ocultamiento del incidente? Apuesto que no. Aunque deseo equivocarme.
Este artículo originalmente se publicó en El Economista el 30 de septiembre de 2018.
José Soto Galindo
30 septiembre, 2018
La conversación misógina del senador Ismael García Cabeza de Vaca nada tiene que ver con una “comunicación privada” si ocurre a la vista de todos. Este artículo se publicó en Buzzfeed News el 26 de septiembre de 2018. Al senador Ismael García Cabeza de Vaca le urge “zumbarse” a la mujer de la foto que […]
Seguir leyendoEconomicón
24 septiembre, 2018
El periodista Marco Lara Klahr preparó el informe Tribunales Paralelos y Exposición Mediática de las Personas, para reflexionar sobre las “sentencias mediáticas” a las que son sometidos presuntos responsables de delitos sin que medie un proceso judicial en su contra y mucho menos una sentencia.
Seguir leyendoJosé Soto Galindo
24 septiembre, 2018
El despacho contable Enconta dejó expuestos 384,519 archivos relacionados con sus clientes en los servidores de Amazon. Los documentos contenían estados de cuenta bancarios, facturas, recibos de compras y pagos, declaraciones fiscales para el SAT e incluso cotizaciones de servicios de Enconta para sus propios clientes.
Seguir leyendoJosé Soto Galindo
17 septiembre, 2018
El Imaip inició el procedimiento de verificación de oficio el martes 11 de septiembre, cuatro semanas después de que el investigador Bob Diachenko revelara que información personal sensible de los pacientes del Seguro Popular estaba disponible sin protección en internet. El procedimiento es de oficio porque nadie presentó denuncia ante el Imaip.
Seguir leyendo