El espía en tu bolsillo

 

Nuestro teléfono móvil se ha convertido en el mejor rastreador de nuestras vidas. Es el perfecto testigo de nuestra actividad, porque no sólo nos acompaña allá dónde vamos –incluido el cuarto de baño-, sino que acumula información de nuestro paso por redes sociales, nuestros hábitos de compra, de ocio, patrones de sueño, contactos y, por su puesto, direcciones de dónde vivimos y dónde trabajamos. ¿Y si toda esta información no estuviera tan segura como pensamos y, además, escapara a nuestro control? ¿Y si las mayores vulnerabilidades fueran las técnicas que tienen las propias redes de comunicaciones móviles? Eso es lo que ha querido investigar el The Citizen Lab, perteneciente a la Universidad de Toronto, que ya en el pasado destapó junto a Amnistía Internacional el escándalo de Pegasus.

Según revela The Citizen Lab en un informe de 40 páginas, las redes de telecomunicaciones están diseñadas para depender de conexiones de señalización privadas, aunque abiertas, recurriendo al roaming nacional e internacional para pasar de la red de una empresa a otra. Especialmente cuando viajamos al extranjero y cambiamos de operador, somos más vulnerables a la geolocalización basada en la red.

Y es que, a la luz de este informe, las arquitecturas de red 3G, 4G y 5G cuentan con vulnerabilidades explotables que, no sólo llevan tiempo suponiendo un riesgo sino que se prolongarán en el tiempo, dada la falta de transparencia y la ausencia de medidas de rendición de cuentas de los operadores. Estas vulnerabilidades permiten que seamos víctimas de vigilancia por parte de terceros, ya sean Estados o criminales, que pueden fácilmente monitorizar la ubicación de los teléfonos móviles.

The Citizen Lab advierte que estos hechos no se producen solo en países donde las libertades civiles se da por hecho que está amenazadas, sino en democracias asentadas, si bien es cierto que regiones como Europa oriental y África registran abusos generalizados. Las vulnerabilidades en las redes móviles que detalla el informe están siendo explotadas sistemáticamente como fuente de recopilación de inteligencia o espionaje por parte de los actores de vigilancia, las fuerzas del orden y los grupos de delincuencia organizada que explotan las vulnerabilidades para sus propios fines.

¿Por qué especialmente cuando viajamos al extranjero es cuando estamos más expuestos? Para que se produzca el roaming, las operadoras abren sus redes entre sí y pueden interoperar, de manera que los usuarios puedan seguir haciendo llamadas, enviar y recibir mensajes y conectarse a internet. Estos mensajes de señalización de operador a operador se utilizan para autenticar y gestionar la movilidad del usuario y, sobre el papel, ninguna operadora debería aceptar mensajes enviados por socios que no estén en itinerancia y todas deberían evitar que los mensajes abusivos expongan a los usuarios al seguimiento de su ubicación. Sin embargo, estas prácticas ni son obligatorias ni se aplican, según The Citizen Lab, y, para abaratar los costes de roaming y maximizar su resiliencia, las redes se conectan a múltiples operadoras, ampliando así los riesgos de geolocalización del usuario.

 

Cada tarjeta SIM de los teléfonos cuenta con un código de identificación único, conocido como IMSI (International Mobile Subscriber Identity). En el caso de las redes 5G, en lugar de IMSI, hablamos del SUPI (Subscription Permanent Identifier), que ha supuesto un avance gracias a la incorporación de un identificador oculto con el que se añade cifrado a la transmisión de la identidad de la red del usuario, lo que dificulta que se intercepten las comunicaciones utilizando dispositivos como los IMSI Catchers.

A pesar de ello, The Citizen Lab advierte de que durante los viajes internacionales existe el peligro de que terceros compartan IMSI de usuarios privados, normalmente en la Dark Web. Este tráfico de IMSI es muy habitual y no está contando con la debida vigilancia, según denuncia la investigación realizada. Además, las operadoras no están obligadas por ley a cifrar los detalles únicos del IMSI de un teléfono ni los archivos de datos móviles que lo acompañan, por lo que no suelen hacerlo. Tampoco las autoridades realizan auditorías para comprobar cómo se ha actuado al respecto.

Aunque las redes 4G han experimentado un mayor número de ataques, las sofisticación de los espías es tal que las redes 5G ya están sufriendo también esta vigilancia. The Citizen Lab llama la atención sobre el foco que hace años se puso en los dispositivos y equipamiento del fabricante chino Huawei –de hecho se vetó en numerosos países para los despliegues de 5G- y, sin embargo, la nula inspección realizada en la infraestructura de fabricantes occidentales.

En este sentido, los expertos recomiendan que los responsables políticos, los reguladores de telecomunicaciones, las agencias de ciberseguridad y los legisladores por igual colaboren en el desarrollo de un conjunto de normas obligatorias de seguridad y privacidad neutrales con respecto a los proveedores y las plataformas… y, obviamente, garantizar que se cumplan, porque a día de hoy los usuarios viven en una tranquilidad infundada pensando que su operadora ha implantado la seguridad necesaria para evitar mensajes de señalización asociados a ataques de geolocalización, ataques de identidad u otras actividades maliciosas, y posiblemente no sea así.

El resultado, tal y como se desprende del informe, es la exposición a la vigilancia, estatal o criminal, de nuestros movimientos, mientras los legisladores y reguladores miran para otro lado. A menudo la finalidad de esta vulneración de la privacidad tiene meros objetivos comerciales, pero en otras ocasiones puede afectar gravemente a grupos en riesgo, desde activistas de derechos humanos, a opositores o servidores públicos o militares.

The Citizen Lab es tajante al indicar que se debe exigir a los operadores que adopten y actúen para lograr y demostrar el cumplimiento de directrices y marcos de ciberseguridad, con un enfoque que en el sector se conoce como confianza cero (Zero Trust). Asimismo, deberían informar cuando sufren ataques y someterse a auditorías oficiales. Ese debe ser el camino a seguir, especialmente considerando que el horizonte viene marcado por las ciudades inteligentes y millones de sensores y dispositivos conectados (Internet de las Cosas) remitiendo ingentes cantidades de información.