Ya no es necesario vulnerar el celular de los usuarios para conocer su ubicación y comunicaciones. La nueva modalidad de espionaje consiste en engañar a las empresas mundiales de telecomunicaciones y telefonía. Así lo revela una investigación de The Citizen Lab, la misma organización que descubrió el uso de Pegasus por gobiernos de Estados Unidos, México, España y otros para espiar a periodistas, políticos y líderes de ONG.
Infraestructura como plataforma de vigilancia
La investigación encontró que la infraestructura de los operadores de telecomunicaciones, diseñada para facilitar la conectividad internacional, se utiliza de manera sistemática para respaldar operaciones de vigilancia encubierta sumamente complejas. Estas operaciones son difíciles de monitorear, atribuir y regular bajo los marcos legales vigentes.
Swantje Lange, coautora de la investigación e investigadora del Instituto Hasso Plattner, explica que los hallazgos resaltan un problema sistémico en el corazón de las telecomunicaciones globales. El espionaje no requiere infectar dispositivos, sino manipular las venas mismas de la red internacional.
Método invisible y revolucionario
A diferencia de los ataques cibernéticos convencionales que explotan vulnerabilidades en los sistemas operativos de los teléfonos, este método de espionaje es revolucionario por su naturaleza invisible. Las fallas analizadas no responden a un error imprevisto del sistema, sino a la propia naturaleza del ecosistema de interconexión inalámbrica.
“Estas debilidades en la tecnología y la gobernanza permiten que las redes móviles se utilicen como plataformas de vigilancia encubierta”, comenta Lange. El problema radica en los protocolos esenciales de enrutamiento y en las prácticas comerciales de la industria global, donde la confianza ciega entre operadores interconectados facilita que datos de localización e identidad de los usuarios sean extraídos de forma automatizada por actores maliciosos.
Proveedores de vigilancia comercial
En el centro de esta infraestructura de espionaje se encuentran las empresas de servicios compartidos o proveedores de vigilancia comercial (CSV). Estas corporaciones privadas desarrollan, empaquetan y comercializan sofisticados servicios de interceptación y seguimiento dirigidos exclusivamente a clientes gubernamentales.
Estas empresas no hackean los teléfonos de las víctimas mediante malware tradicional, sino que compran accesos legales a la red de interconexión global, como los canales de roaming internacional, para emitir solicitudes de datos falsificadas que revelan la ubicación precisa y la identidad de los objetivos en cualquier parte del mundo.
Firmas involucradas
En esta industria multimillonaria destacan firmas globales que operan bajo fachadas de consultoría tecnológica o servicios de red. Los casos documentados revelan firmas de origen israelí como Circles (vinculada al ecosistema de NSO Group, creadora de Pegasus) o Rayzone Group, también israelí, las cuales se han especializado en la explotación de vulnerabilidades en los protocolos de señalización SS7 y Diameter de las redes móviles.
El negocio de estas CSV consiste en empaquetar soluciones "listas para usar" destinadas a ministerios de defensa y agencias de seguridad interna que carecen de capacidad técnica para desarrollar herramientas propias. Al firmar contratos de arrendamiento de los llamados Global Titles (direcciones de red equivalentes a códigos postales dentro del sistema telefónico mundial), estas empresas canalizan solicitudes maliciosas que simulan ser operaciones cotidianas de enrutamiento telefónico.
Vigilancia invisible para el usuario
“A diferencia de las campañas convencionales de ciberespionaje, la vigilancia a escala de telecomunicaciones es casi enteramente invisible”, advierte Lange. La proliferación de los proveedores comerciales ha transformado la seguridad internacional al convertir las redes de telefonía civil en armas de inteligencia de señales accesibles al mejor postor.
La persistente coexistencia de infraestructura antigua y de nueva generación facilita que estas corporaciones sigan lucrando con el rastreo masivo. “Los riesgos también surgen porque los protocolos 3G, 4G y 5G se utilizan junto con los demás”, resume la investigación, evidenciando que el modelo financiero de las CSV prospera gracias a las fallas inherentes de un diseño interconectado que prioriza la continuidad del servicio global por encima de la privacidad del suscriptor.
La investigación técnica determinó que los servicios de inteligencia vinculados a determinados Estados soberanos ejecutan complejas operaciones de señales sin dejar un rastro evidente para las operadoras locales ni para el usuario final. “Para el suscriptor móvil es matemáticamente imposible percatarse de que su ubicación geográfica está siendo enviada a un tercer país mediante mensajes de señalización falsificados que el teléfono procesa de forma automática en segundo plano”, agrega Lange.
Redes móviles señaladas
Las investigaciones presentadas en el informe exponen tres redes móviles que aparecen repetidamente como puntos de entrada y tránsito para la vigilancia dentro del ecosistema de las telecomunicaciones:
- 019Móvil (Israel): Operador de telefonía móvil israelí de propiedad privada que opera bajo la marca “Telzar 019”. Comenzó a ofrecer servicios móviles en 2013 y es el único proveedor de servicios de roaming de entrada y salida en el aeropuerto internacional de Israel.
- Airtel Jersey/Sure (Islas del Canal): Del Grupo Sure, opera dentro del territorio insular autónomo de Jersey, ubicado en las Islas del Canal, una jurisdicción que ha sido objeto de reportajes de investigación sobre la vigilancia de las telecomunicaciones y el abuso de la señalización.
- Tango Networks Reino Unido: Filial de propiedad absoluta de Tango Networks, Inc., una corporación con sede en Estados Unidos que ofrece servicios móviles a clientes empresariales.
La investigación concluye que el espionaje a través de las telecomunicaciones es un problema sistémico que requiere una revisión profunda de los protocolos y prácticas de la industria para proteger la privacidad de los usuarios.
