19 febrero, 2020 / El jefe de seguridad cibernética del periódico Financial Times descubrió que los corresponsales extranjeros están a menudo bajo presiones y espionaje. Narra que un verano reciente estaba de visita en la redacción un corresponsal en Medio Oriente -del que no quiso dar su nombre- y le mencionó que en las últimas semanas habían estado recibiendo misteriosas llamadas de WhatsApp. Los números no fueron reconocidos. Después, la batería de su teléfono se había agotado rápidamente. Y a veces no podían finalizar otras llamadas, porque la pantalla parecía congelarse. Así lo explica un artículo publicado en el Columbia Journalism Review e intitulado “Los Gobiernos del Mundo espían a los periodistas”.
Dice el artículo -en el que se omiten los nombres de los periodistas y del mismo jefe de seguridad cibernética- que habían estado trabajando en una investigación sobre la vigilancia a periodistas y activistas de derechos humanos en una nación el Medio Oriente, y habían estado en contacto con fuentes a las que el gobierno era hostil: Decidimos que sería más seguro para el periodista utilizar un dispositivo separado para investigar esa historia.
Sin embargo, dice el jefe de ciberseguridasd del Financial Times, a la mañana siguiente, cuando me di una vuelta similar en la sala de redacción, otros cuatro corresponsales informaron que ellos también habían tenido el mismo problema con sus celulares. Todos estaban en el mismo escritorio o ayudando en la misma historia. Es muy poco probable que cinco teléfonos se enfrenten a un problema tan específico al mismo tiempo por casualidad. Esto no fue un error común, dice.
Es decir, afirma que el agotamiento de la batería indicó que algo o alguien estaba usando los recursos del teléfono. Hicimos un análisis forense y no pudimos identificar fácilmente este software o persona. Entonces comenzamos a sospechar de un esfuerzo sofisticado, uno que no muchas personas, o incluso compañías, podrían manejar. En pocas palabras, explica, es casi seguro que se trate de un ataque de un gobierno, muy probablemente el que estábamos investigando. No hay una forma real de defenderse de tales ataques. Entonces decidimos usar teléfonos desechables y tarjetas SIM, dice el jefe de ciberseguridad del diario británico.
Narra que ese fue el primer incidente en un verano de ataques implacables y sofisticados contra nuestros periodistas, la mayoría de los cuales tenían el sello distintivo de los actores estatales por lo sofisticado de los ataques a sus móviles. Se informó aproximadamente uno por semana (y no quiero pensar en cuántos no se informaron o se desconocen).
Por ejemplo, dice que una oficina del Financial Times, en una nación asiática, pensó que la ciberseguridad era robusta. Pero posteriormente la burocracia estatal comenzó a realizar llamadas para cuestionar a la redacción el trabajo de los periodistas en historias que nunca habían sido enviadas ni publicadas. Es decir, claramente habían accedido a sus computadoras para saber qué estaban escribiendo mucho antes de que se publicara.
Desde que yo recuerde actores estatales y grandes empresas tratan de intimidar y atacar a los periodistas. Mi experiencia personal tanto como corresponsal en el extranjero -acreditado ante la sala de prensa del Vaticano y de la prensa extranjera en Roma- es que el espionaje incluye no sólo escuchas de celulares o teléfonos sino la infiltración de agentes bajo el perfil de periodistas o periodistas que trabajan para los servicios secretos o que fungen como orejas a sueldo de gobiernos y empresas. Anécdotas al respecto tengo numerosas, durante mis años de corresponsal en Roma.
Al respecto, el jefe de ciberseguridad del Financial Times dice que en su experiencia, los actos de espionaje se han disparado desde las elecciones de 2016 en Gran Bretaña y Estados Unidos, cuando tales actos se multiplicaron sin consecuencias. Los actores estatales parecen sentir que ahora pueden actuar con impunidad. Y esto, diría yo, es cada día más evidente alrededor del mundo.
Otro ejemplo: Un grupo de corresponsales extranjeros del Financial Times, que estaban trabajando en historias delicadas, descubrieron que sus llamadas telefónicas a algunas fuentes se redirigían automáticamente. Eso no es algo fácil de hacer, lo que me sugirió que esos números, asegura, estaban siendo observados en todo momento. Nadie más que un gobierno tiene acceso a tales capacidades de control y espionaje, afirma.
Otros, añade, en la sala de redacción tenían códigos de autenticación de SMS falsos, que normalmente actuarían como una contraseña de un solo uso para iniciar sesión en Instagram o Telegram o WhatsApp, la que se les envió sin aviso. Algunos fueron engañados para descargar software cuestionable. A otros les quitaron sus teléfonos físicamente, en puntos de control o conferencias, solo para descubrir posteriormente que se estaban comportando de manera extraña sus celulares cuando se los regresaron.
Señala que cada región o nación tiene su propio estilo característico de ataque a los periodistas. En algunas partes de Europa del Este, las amenazas se manifiestan comúnmente en forma de ataques de phishing creativos, como impostores que intentan conectarse en LinkedIn o que buscan suplantar correos electrónicos de contactos conocidos. Alguien que finja ser una fuente puede enviar archivos adjuntos o vincular al periodista con material que contenga malware. El enrutador de la oficina de Moscú resultó tener la combinación predeterminada del nombre de usuario y contraseña.
Asimismo, dice que en Asia, los periodistas son atacados con mayor frecuencia por personas en el terreno. Los agentes estatales a menudo aparecen inexplicablemente donde los corresponsales y sus fuentes tienen previsto reunirse. Algunos países tienen una base de datos centralizada de identificaciones de residentes, incluido el reconocimiento facial, por lo que la policía federal y la policía regional están en gran medida sincronizadas. En algunas áreas, las aplicaciones de mensajería se pueden deshabilitar en función de dónde se encuentre el periodista u objetivo.
Cabe señalar que las empresas privadas no son ajenas, ni mucho menos, a los juegos de espionaje e intimidación de los periodistas.
Como señala el jefe de ciberseguridad del Financial Times hace varios meses estábamos investigando a un banco. A la hora de almuerzo, los miembros del personal que cruzaban el puente sobre el Támesis desde la oficina hacia la ciudad de Londres captaron en un vídeo una figura sombría que señalaba descaradamente lo que parecía ser un micrófono láser directamente hacia el piso editorial del diario desde el otro lado del río.
Insiste en que las grandes corporaciones como los bancos y las compañías tecnológicas ahora tienen mayores recursos inclusive que los actores estatales para espiar a periodistas o activistas de derechos humanos; incluyendo datos específicos sobre los individuos y sus finanzas para desplegar sus tácticas de intimidación con relativa impunidad.
Por último, algunos consejos: Lo que los periodistas pueden hacer para ayudarse a sí mismos está determinado por la paranoia individual. Pero al menos, es esencial garantizar que la autenticación de dos factores esté activada en todas partes, especialmente en las redes sociales personales y en cualquier aplicación de mensajería. La suplantación de identidad es la forma más fácil de comprometerse, y ahora está muy extendida no solo en el correo electrónico, sino también en aplicaciones de mensajes de texto. Es inminentemente sensato asumir que se está bajo vigilancia y evitar la comunicación digital para temas muy delicados, si sus fuentes están disponibles en persona. De lo contrario, quizás valga la pena los cinco minutos adicionales para cifrar el contenido de un correo electrónico. Mientras viaja a una ubicación de alto riesgo, puede llevar sus dispositivos en una bolsa de Faraday, que bloquea sus señales, añade.
Y advierte: La verdad es que algo como WhatsApp probablemente esté bien para la mayoría de las comunicaciones. Sin embargo, las cosas sensibles deberían incluir algo más confiable, como Signal. La aplicación es de código abierto, lo que significa que su código está disponible para cualquier persona. También puede valer la pena separar su trabajo en dos dispositivos: material habitual y más crítico, con el último dispositivo desechable.
