Cómo comprometieron una red de teléfonos cifrados en una operación contra el crimen organizado

Repasamos el caso de EncroChat y la operación conjunta que llevaron adelante las autoridades de distintos países para desmantelar una plataforma de comunicación utilizada principalmente por grupos criminales.

A principios de mes, autoridades judiciales y policiales de Francia y Holanda junto a Europol y Eurojust comunicaban a través de una conferencia de prensa los resultados de una investigación contra el crimen organizado, en la que participaron también agencias nacionales de investigación de otros países, que permitió el arresto de más de 700 criminales en distintos países, el secuestro de millonarias sumas de dinero, drogas y armas. El éxito de esta operación conjunta fue posible gracias a que lograron vulnerar una aplicación de mensajería cifrada utilizada por criminales llamada EncroChat.

Autoridades en el Reino Unido, que tuvo en la Agencia Nacional del Crimen (NCA) su representante en esta operación conjunta con agencias y la policía de distintos países, han calificado esta operación contra el crimen organizado como “la más amplia y profunda que el Reino Unido haya llevado adelante en su historia”.

¿Qué ocurrió?

Si bien los detalles no se han hecho públicos, según explica un artículo de Vice, las autoridades lograron tomar control de un dominio que la aplicación de chat cifrado utilizaba, lo que les permitió redirigir el tráfico de red a servidores controlados por las autoridades que fueron utilizados para distribuir malware a los teléfonos cifrados de EncroChat en manos de criminales. Finalmente, el malware implantado fue capaz de interceptar mensajes en texto plano, pines de bloqueo, etc. Se presume que las autoridades contaron con la colaboración de distintas empresas, como el registrante del dominio y el fabricante de las tarjetas SIM que eran utilizados en los teléfonos de EncroChat. De esta forma, la información recopilada fue utilizada para dar con las identidades de distintas bandas criminales y oficiales cómplices en los delitos. Cabe destacar que luego de la operación, el servicio de EncroChat fue dado de baja.

¿Qué era EncroChat?

EncroChat era un proveedor que de comunicaciones cifradas que además ofrecía un teléfono móvil modificado que incluía un servicio de mensajería instantánea. Los mismos contaban con algunas medidas de seguridad que los teléfonos normales no suelen tener. Por ejemplo, estos teléfonos que se comercializaban por aproximadamente USD 1.000, no cuentan con cámara, micrófono ni GPS. Además, utilizan un sistema operativo modificado que cumple diversas funciones; por ejemplo, contaban con un código PIN “de pánico” que al ingresarlo borraba todo el contenido del teléfono.

Por otro lado, contaba con varios servicios, siendo los más populares una aplicación de chat cifrado y un servicio de VoIP para realizar llamadas de manera segura. Una de las principales ventajas que los proveedores de este servicio ofrecían a sus clientes es la no-colaboración en investigaciones policiales, a diferencia de otras compañías que ofrecen servicios de comunicación que suelen revelar datos cuando son sometidas a presión, u otras en las cuales servicios de inteligencia o gobiernos son accionistas (como es el caso de diversos servicios de VPN).  En el caso de EncroChat, estos servicios tenían un costo de USD 1.500 mensuales, que se podían abonar de forma anónima utilizando criptomonedas.

La infraestructura que proveía EncroChat como un servicio era una red cerrada. Es decir que los usuarios no podían realizar llamadas a otros teléfonos, solo podían comunicarse entre sí. Se estima que la red contaba con alrededor de 60.000 suscriptores, muchos de los cuales estaban vinculados a organizaciones criminales.

¿Fin del problema para las autoridades?

Esta no es la primera vez que sucede un hecho de este tipo, en el año 2018 el FBI condujo una operación similar contra Phantom Secure, en la que fueron secuestrados alrededor de 10.000 teléfonos cifrados. Un vocero de la NCA consultado sobre la investigación admitió que “los criminales siempre encontrarán nuevas formas de comunicarse y que existen otras tecnologías similares que pueden elegir en el futuro”.

Si tenemos en cuenta lo lucrativo que puede resultar prestar un servicio como EncroChat, sin dudas que surgirán nuevas alternativas, lo cual presenta un desafío para las autoridades en todo el mundo. Hoy por hoy, existen otros proveedores de Crypto Phones como Omerta.

Aspectos vinculados a la privacidad

Si bien la operación llevada a cabo por la policía fue exitosa y se logró desbaratar varias organizaciones criminales, también abre la puerta al debate sobre el marco legal en el que se apoyan los estados para interceptar comunicaciones privadas entre personas.

La gendarmería francesa asegura que entre el 90 y el 100% de las comunicaciones interceptadas estaban relacionadas con actividad delictiva, mientras que la NCA prefiere afirmar que era utilizado exclusivamente por individuos vinculados al crimen organizado. La realidad es que es difícil confirmar estos datos, ya que los mismos no se han hecho públicos. Por otro lado, sería incómodo para estas instituciones admitir que han implantado spyware en dispositivos e interceptado comunicaciones que puedan no haber estado relacionadas a actividad criminal. Si bien este procedimiento ha sido legal, según leyes adoptadas para combatir el terrorismo aprobadas en el año 2015, las mismas han sido cuestionadas por las Naciones Unidas y otras organizaciones. Recordemos que, paralelamente, las constituciones de estos países garantizan el derecho a la privacidad, entre otras libertades civiles. En este sentido, el caso de EncroChat ha puesto sobre la mesa el tema de la privacidad y el marco legal que permite a los gobiernos llevar a cabo acciones como las que involucraron a esta operación.

Este debate sobre la privacidad es similar al que ocurre alrededor de la Deep Web o de criptomonedas como Monero, dado que muchos criminales hacen uso del anonimato y de la privacidad para cometer delitos. Sin embargo, hay que preguntarnos cómo se implementa el derecho a la privacidad en los tiempos que corren para aquellos usuarios que utilizan estas herramientas con fines legítimos.

Fuente: www.welivesecurity.com