Los investigadores de seguridad han encontrado evidencia de que varios gobiernos de Europa, Oriente Medio, África, Asia y Australia pueden haber comprado una tecnología que les permite rastrear de forma remota la ubicación de los teléfonos e interceptar comunicaciones potencialmente más allá de sus propias fronteras.
Citizen Lab, un organismo de control de los derechos digitales de la Escuela Munk de Asuntos Globales de la Universidad de Toronto, publicó un nuevo informe el martes afirmando que encontró evidencia técnica de implementaciones de la tecnología de espionaje de teléfonos de una compañía llamada Circles en 25 países. Circles se fusionó con el controvertido proveedor de malware del gobierno NSO en 2014 y vende la capacidad de rastrear teléfonos a través de la red telefónica SS7. La red SS7 y el protocolo relacionado se utilizan para roaming, pero tiene agujeros de seguridad que permiten que sea explotada tanto por firmas de vigilancia como por delincuentes con motivaciones financieras.
Motherboard no ha confirmado de forma independiente que los países enumerados por Citizen Lab sean de hecho clientes de Circles, pero la evidencia presentada en el informe indica implementaciones conectadas a los distintos países. La noticia destaca la adopción aparentemente generalizada de la tecnología de vigilancia SS7, que se basa en fallas fundamentales en la red SS7 utilizada por los proveedores de telecomunicaciones de todo el mundo que han sido un problema de ciberseguridad durante décadas. El informe de Citizen Lab también muestra que algunos países con un historial de uso de tecnología de vigilancia contra defensores de derechos humanos pueden estar comprando tecnología SS7.
«Puede rastrear cualquier número de teléfono de cualquier país y en cualquier parte del mundo».
«Puede rastrear cualquier número de teléfono de cualquier país y en cualquier parte del mundo», dijo una fuente con conocimiento directo de la tecnología de Circles. La fuente hablaba en general sobre SS7 y no sobre las capacidades de ningún cliente específico de Circles. Motherboard otorgó a la fuente el anonimato ya que no estaban autorizados a hablar con la prensa sobre los problemas de Circles debido a acuerdos de no divulgación.
Según la investigación de Citizen Lab, los investigadores sospechan que los clientes de Circles incluyen gobiernos europeos como Bélgica y Dinamarca. En particular, uno de los clientes sospechosos incluye a un miembro de la asociación de inteligencia Five Eyes: Australia.
En África, Citizen Lab señaló a Botswana, Zimbabwe y Kenia. En América del Sur, los clientes potenciales incluyen El Salvador, Chile y Honduras.
¿Trabaja, o solía trabajar, en Circles o NSO? ¿Tiene más información sobre la vigilancia SS7? Nos encantaría saber de ti. Con un teléfono o computadora que no sea del trabajo, puede comunicarse con Lorenzo Franceschi-Bicchierai de manera segura en Signal al +1917 257 1382, Wire / Wickr lorenzofb, o correo electrónico lorenzofb@vice.com. Puede ponerse en contacto con Joseph Cox en Signal en +44 20 8133 5190, Wickr en josephcox o correo electrónico joseph.cox@vice.com
“Muchos de los clientes gubernamentales descritos anteriormente que parecen haber adquirido y / o desplegado tecnología Circles tienen un historial lamentable de abusos de los derechos humanos y las capacidades de vigilancia técnica”, escribió Citizen lab en su informe. “Muchos carecen de transparencia pública y responsabilidad, y tienen una supervisión independiente mínima o nula sobre las actividades de sus agencias de seguridad”.
La mayoría de los gobiernos nombrados en el informe no respondieron a las solicitudes de comentarios enviadas a través de agencias policiales y de inteligencia o embajadas. La Agencia de Inteligencia Extranjera de Estonia se negó a comentar sobre sus capacidades, la Policía Federal Australiana se negó a comentar y el Ejército danés dijo que no podría dar una respuesta a tiempo para la publicación del informe de Citizen Lab. La embajada de Malasia en Washington DC se negó a comentar «sin la aprobación previa de [the] capital.»
Un mapa de los clientes de Circles, según la investigación de Citizen Lab. (Imagen: Citizen Lab)
Citizen Lab dice que identificó a los clientes sospechosos consultando primero el motor de búsqueda Shodan y examinando una serie de direcciones IP propiedad de Circles. Estos resultados mencionaron un firewall de la firma de ciberseguridad Check Point y contenían un dominio relacionado con Circles. Citizen Lab dice que luego buscó en otros conjuntos de datos las apariencias de ese dominio. Luego, Citizen Lab identificó otras instalaciones aparentes de Circles, que en algunos casos incluían términos como «clientes-círculos-Tailandia» u otras herramientas de firewall que mencionaban el nombre de marcas de automóviles, como «Mercedes» para un firewall en México, «Aston ”En Abu Dhabi y“ Dutton ”en Dubai.
Hace meses, un ex empleado de NSO proporcionó a Motherboard una lista de clientes de NSO, algunos de los cuales incluyen marcas de vehículos como nombres en clave de clientes. En agosto, Haaretz publicó nombres de códigos de vehículos asociados con varios clientes de NSO.
En algunos casos, Citizen Lab cree que puede haber identificado la agencia particular involucrada en el despliegue de Circles. En un caso, un firewall de Check Point identificó al cliente como el “PDI de Chile”, la principal agencia de aplicación de la ley del país, según el informe. En otro, los datos de WHOIS incluían un número de teléfono que está vinculado al ejército danés, dice el informe.
En un correo electrónico, el jefe de relaciones públicas de Check Point, Ekram Ahmed, dijo que “Circles NO es un cliente o socio de Check Point. Además, me gustaría enfatizar que cualquier dato identificable que se muestra en cualquier servicio web es configurado por el administrador de red que lo posee, y no por Check Point. Por lo tanto, no podemos confirmar el vínculo realizado por el nombre que se muestra en Shodan y la entidad en cuestión «.
“Normalmente, nunca comentamos quién es o no cliente de Check Point. Sin embargo, esta vez hicimos una excepción para subrayar que no estamos afiliados a este tipo de empresas ”, agregó Ahmed. A veces, los usuarios finales u otras empresas obtienen herramientas de ciberseguridad a través de otras partes.
El problema subyacente con la red SS7 es que no verifica quién envió una solicitud a través de ella. Esto significa que otras partes que obtienen acceso a la red, como un proveedor de vigilancia como Circles o delincuentes, pueden potencialmente encontrar la ubicación de los teléfonos o redirigir los mensajes de texto como cualquier otra persona. Varias empresas ofrecen defensas contra estos ataques, pero SS7 sigue siendo vulnerable a la explotación.
La fuente familiarizada con Circles explicó que la compañía brinda a los clientes la capacidad de rastrear teléfonos celulares a través de SS7 en su territorio local y, por un precio adicional, también teléfonos en otros países. Por lo general, los clientes compran la opción más cara para poder rastrear personas a través de las fronteras, dijo la fuente.
El logo de Circles. (Imagen: Citizen Lab)
Un ex empleado de NSO le dijo anteriormente a Motherboard que el matrimonio entre los productos de NSO y Circle tenía problemas.
“Nuestra solución táctica nunca funcionó realmente […] debido a la pésima integración con Circles ”, dijo el ex empleado. Motherboard les otorgó el anonimato porque temían represalias de la empresa por hablar con un periodista. “La idea era que la suma fuera mayor que sus partes. Que aumentarán el vector de ataque, pero en realidad hubo pocos éxitos en la integración. Exageraron en sus habilidades de sistema ”, dijo la fuente. Pero dijeron que el sistema de geolocalización de Circles en México funcionó «muy bien».
Motherboard compartió la lista de clientes sospechosos de Circles y la metodología de Citizen Lab utilizada para recopilarlos con NSO para que la compañía pudiera proporcionar una declaración más informada.
“Como hemos dicho anteriormente, Circles está involucrado en la búsqueda y rescate y la tecnología de geolocalización táctica. No podemos comentar sobre un informe que no hemos visto. Dado el historial de CitizenLab, imaginamos que esto una vez más se basará en suposiciones inexactas y sin un dominio completo de los hechos. Como siempre, nos piden que comentemos sobre un informe no publicado de una organización con una agenda predeterminada ”, dijo un portavoz de NSO a Motherboard en un correo electrónico. La mención de NSO del historial de CitizenLab se refiere al hecho de que Citizen Lab ha publicado en repetidas ocasiones pruebas del trabajo de NSO con regímenes autoritarios.
“NSO y Circles son compañías separadas dentro de la misma familia corporativa, las cuales lideran sus industrias en un compromiso con los negocios éticos y se adhieren a leyes y regulaciones estrictas en todos los mercados en los que operan”, agrega el comunicado.
Sin embargo, NSO y Circles no están completamente separados. En agosto, Motherboard informó que NSO había cerrado la oficina de Circles en Chipre y había despedido a varios empleados que trabajaban allí. En una declaración en ese momento, NSO dijo: “Para asegurarnos de que estamos operando de la manera más eficiente posible, recientemente reestructuramos el desarrollo de uno de nuestros productos tácticos de búsqueda y rescate, y trasladamos recursos a otras ubicaciones de grupos existentes. Estos cambios promoverán nuestra misión de prevenir el terrorismo y los delitos graves «.
Suscríbase a nuestro zine emergente The Mail.
