El acceso a los que tenemos en los móviles es una de las informaciones más codiciadas por las fuerzas de seguridad a la hora de desempeñar su tarea. El último ejemplo de ello son las presiones del FBI en EEUU, cuyas quejas sobre sus problemas para romper el cifrado de los dispositivos han sido sistemáticamente exageradas en el Congreso estadounidense.

Tal y como desvela el diario The Washington Post, el FBI ha estado proporcionando de forma continuada datos inflados sobre el alcance de los problemas planteados por los teléfonos celulares cifrados. Tanto ante el Congreso de EEUU como de forma pública, la oficina ha estado asegurando que se ha visto incapaz de descifrar y extraer información de casi 7.800 dispositivos relacionados con delitos el año pasado, aunque el diario asegura que el número real de casos es mucho menor, “probablemente entre 1.000 y 2.000”.

El citado diario remarca que durante un período de siete meses, el director del FBI Christopher A. Wray citó esta cifra completamente inflada como la prueba más convincente de la necesidad de abordar lo que el FBI llama ‘Going Dark’, a saber, el bloqueo del acceso de los investigadores a datos digitales, tengan o no orden judicial.

Pese a reconocer que han estado sobredimensionando las cifras, el FBI insiste desde hace años en que se trata de un problema que puede comprometer la seguridad pública, y ha estado pidiendo cambios tanto a los fabricantes como a los legisladores para ‘facilitarles’ la labor de registro de dispositivos.

El perito judicial especializado en nuevas tecnologías Juan Carlos Ruiloba explica a Público que “hace unos años, la información de los teléfonos era fácilmente accesible”, pero ahora ese acceso se ha complicado en los móviles con sistema iOS (los iPhone) y los que funcionan con las últimas versiones de Android, ya que llevan cifrado de contenido.

“El acceso a un teléfono se realiza, normalmente, mediante la averiguación del código de entrada, de modo que por fuerza bruta, y si la clave es débil, acabas accediendo a la información en unos días o una semana”, comenta este experto, que apunta: “Si la clave es fuerte, eso sí, puedes tirarte años hasta que puedes entrar”. “Y eso no es romper el cifrado, sino la clave de paso; para romper el cifrado necesitaríamos ordenadores cuánticos”, añade. Esos ordenadores que, de momento, nadie sabe si existen en realidad.

En Europa, los ministros del Interior han ido presionando en los últimos tiempos a la Comisión Europea para que se introduzcan nuevas normas que ayuden a las fuerzas policiales a romper los cifrados en las comunicaciones privadas para sus investigaciones.

Para empresas y particulares, una eventual imposición de obligaciones tales como la habilitación de cifrados débiles, el uso de productos con puertas traseras (aunque existir, existen en todas partes) y otras medidas para ayudar a los policías a acceder a un móvil les dejaría en una situación de vulnerabilidad; sin embargo, si hablamos de un delincuente o de una organización criminal, obviamente no seguirán esas normas y utilizarán el cifrado —probablemente, el más robusto— para sus comunicaciones. “En cualquier caso”, recuerda este experto, “hasta ahora me he encontrado pocos dispositivos cifrados en España”.

“En el fondo”, comenta Ruiloba, quien además fue hace unos años jefe del grupo de Cibercrimen de la Jefatura Superior de Policía de Cataluña, “hay un choque entre privacidad y la seguridad, y hay que buscar un equilibrio”. “Si confiáramos en que los gobiernos, los servicios de inteligencia, se comportasen de forma ética siempre, entonces la habilitación de una entrada en los móviles para ellos sería, hasta cierto punto, lógico, pero las extralimitaciones siempre se han dado, bien para espiar al partido de la competencia, o para otros fines menos loables. ¿Quién controla a los controladores?”.

El marco español

En España, el registro de dispositivos de almacenamiento masivo de información se regula en los artículos 588 sexies a y siguientes de la Ley de Enjuiciamiento Criminal (LeCrim). El abogado especializado en tecnología Carlos Sánchez Almeida recuerda que la propia ley prevé que, de entrada, “tiene que ser un juez el que autorice el registro del móvil, ya sea en el marco de un registro policial domiciliario o fuera de éste”. “Es decir, un policía no puede mirar un móvil sin orden judicial, nunca”.

Eso sí, la misma ley obliga “a cualquier persona que conozca el funcionamiento del sistema informático o las medidas aplicadas para proteger los datos informáticos contenidos en el dispositivo” a facilitar “la información que resulte necesaria” para acceder a la información del móvil, “bajo apercibimiento de incurrir en delito de desobediencia”. O sea, el fabricante podría ser obligado a proporcionar herramientas para saltarse la clave de acceso y el cifrado. En cualquier caso, dice literalmente la ley, “esta disposición no será aplicable al investigado o encausado”.

A Ruiloba, el baile de cifras que maneja el FBI respecto de los móviles a los que no han podido acceder en el curso de investigaciones criminales no le sorprende. Este experto reconoce que, a veces, los cuerpos de seguridad “exageran más” para conseguir medios o para justificar que no pueden solucionar investigaciones porque no tienen recursos para dar un servicio. “Las estadísticas son lo que son, y puedes tomar los datos conocidos o hechos proyectados o extrapolados, para reflejar una realidad u otra, por eso cualquier tipo de dato hay que cogerlo con pinza”, remarca, “se manipulan datos a veces casi como una técnica de ingeniería social para obtener algún beneficio”.

En cualquier caso, este perito y ex jefe policial recuerda que en cualquier investigación hay más datos, contenidos e indicios que investigar aparte del contenido de un dispositivo. “Puede suceder que incluso el contenido de ese móvil se sincronice automáticamente con un servicio tipo Google Drive”, razona, “y el juez también puede requerir esa información”.

Es decir, que se obligue a facilitar el acceso a los datos de un móvil puede ser un atajo para la investigación policial pero, como recuerda Ruiloba, en una investigación hay que buscar todas las vías. “Parece incluso que se recurre a la excusa de no poder registrar un móvil para justificar la ineficacia en una investigación”, ironiza.

“Al final, la privacidad es un derecho fundamental, hay que mantenerla”, concluye este perito, y razona: “Si no podemos confiar en que el móvil es seguro, los datos confidenciales terminaremos guardándolos en otra parte”.