Mauricio Romero, @mauricio_contra
La empresa de espionaje italiana Hacking Team –hackeada en julio pasado– sí ha firmado contratos con el actual gobierno. Al menos dos de ellos, por 410 mil euros, amparan la adquisición de software para intervención de comunicaciones
Serio, casi solemne, el secretario de Gobernación dijo que no. Ante decenas de testigos, a merced de las cámaras, con una pasmosa naturalidad, Miguel Ángel Osorio Chong negó que la administración de Enrique Peña Nieto hubiera contratado a Hacking Team (HT), la empresa especialista en programas espía:
“Respecto a los equipos que usted refiere –le aseguró al reportero que preguntó sobre el tema– fueron comprados por la administración pasada; en esta administración no [se] ha comprado ningún equipo.” Eso dijo el 6 de julio pasado, y quedó grabado en video.
En la víspera, un grupo de hackers había intervenido a la firma italiana y compartido su lista de clientes. México apareció como el mayor comprador de la tecnología invasiva, y Osorio Chong tuvo que hablar al respecto. El encargado de la política interior, acostumbrado a rechazar imputaciones, mecánicamente lo negó.
En un contexto en el que la fuente de los señalamientos era una filtración a partir de un hackeo, Osorio Chong negó que el actual gobierno tuviera contratos. Ahora, el propio órgano de inteligencia bajo su cargo contradice al político priísta.
El Centro de Investigación y Seguridad Nacional (Cisen), en respuesta a la solicitud de acceso a la información 0410000023815, entregó a Contralínea todos los contratos firmados con Hacking Team; no sólo los correspondientes a la “administración pasada”, también los del gobierno actual.
Los contratos
La relación entre el gobierno federal y Hacking Team se inició, en efecto, durante el sexenio de Felipe Calderón. Pero una vez cambiados los poderes, ésta no se rompió.
El primer contrato con la empresa italiana, Cisen/048/10, se firmó el 29 de octubre de 2010; el más reciente, Cisen/020/15, se signó el 20 de abril de 2015.
Entre el primero y último documento hay tres más, correspondientes a 2011, 2012 y 2013 (050/11, 037/12 y 128/13, respectivamente). Es decir que la actual administración ha continuado pagando a HT por la utilización de su tecnología de espionaje.
Pese a los contratos que ha firmado el Cisen con HT, la Secretaría de Gobernación aseguró a Contralínea que en 2012, 2014 y 2015 se han pagado sólo los gastos de mantenimiento
Todos los contratos –de los cuales Contralínea posee copia– se elaboraron por adjudicación directa, aunque el órgano de inteligencia asegura haber realizado una “investigación de mercado que sirvió de base para la selección de la empresa HT, SRL”.
El primer acuerdo, dado durante el gobierno panista, y firmado por Guillermo Valdés Castellanos, entonces director general del Cisen, y por David Vincenzetti, presidente del Consejo de Administración de Hacking Team, oficialmente se trató de la “adquisición de un software para análisis de tráfico de redes”.
Con recursos de la partida presupuestal 3409 de ese año, denominada Patentes, Regalías y Otros, el Cisen pagó el equivalente en pesos a 240 mil euros.
En 2011, el organismo pagó el equivalente a 415 mil euros por “la adquisición del fortalecimiento de software”; en 2012, año de la elección presidencial, volvió a llamar a la empresa italiana para firmar un nuevo “contrato para la actualización” del dispositivo, pagando 325 mil euros más. Como directores del órgano de inteligencia aún en manos panistas firmaron Alejandro Poiré y Jaime Domingo López Buitrón.
El 31 de diciembre de 2013, David Vincenzetti no sólo festejó el año nuevo; lo hizo además con Al son de la negra en la misma Ciudad de México, más que por la llegada de 2014, por una segunda razón: para cuando las campanas sonaron y las uvas se comieron, el empresario italiano ya había asegurado con el Cisen un nuevo “fortalecimiento” del programa que comercializa.
Hacking Team había sobrevivido al cambio de sexenio y de partido en el poder presidencial, y las firmas de Eugenio Ímaz Gispert, el nuevo director general del Cisen nombrado por el propio Enrique Peña Nieto y su secretario de Gobernación, Osorio Chong; de Frida Martínez Zamora, titular de la Unidad de Administración, Finanzas y Desarrollo Humano del mismo órgano de inteligencia; del director de Servicios Tecnológicos, Raúl Villegas Lastra, y de Víctor Emilio Corzo Cabañas, coordinador general jurídico del Cisen, avalaron la felicidad de Vincenzetti, que regresaría a Milán con 205 mil euros más.
El último contrato sostenido –hasta ahora–, Cisen/020/15, entre HT y el ente dependiente de la Secretaría de Gobernación de igual forma fue “para la adquisición del fortalecimiento de software para análisis de tráfico de redes”. Las firmas de Ímaz Gispert; de Nicéforo Ramírez Castillo, nuevo titular de la Unidad de Administración, Finanzas y Desarrollo Humano; del también recién estrenado director de Servicios Tecnológicos del Cisen, Gabriel Méndez, y del jefe jurídico Víctor Corzo aseguraron otros 205 mil euros para Hacking Team. Méndez y Corzo son los encargados de verificar para el Cisen el cumplimiento de los servicios contratados con Hacking Team.
“En 2012, 2014 y 2015 se han pagado sólo los gastos de mantenimiento”, aseguró por escrito Gobernación ante la insistencia de Contralínea de entrevistar al secretario Osorio Chong.
Por medio de una carta enviada el 16 de octubre, por orden de Roberto Femat, director general de Comunicación Social de la Secretaría, la dependencia del Ejecutivo se sostuvo en lo anterior por escrito. Quizá porque ignoraba que su propio órgano de inteligencia ya le había entregado a este semanario los contratos signados con HT.
“Información de medios de comunicación indican que la empresa Hacking Team fue hackeada –apuntó la misiva del departamento de Comunicación de Gobernación–, con ello ha sido expuesta información de la empresa […] debido a este incidente, la Plataforma de Enrolamiento HT se encuentra inhabilitada.”
A pesar de lo dicho, en la misma carta anota que “actualmente se tienen cuatro equipos de cómputo enrolados, todos ellos para DAGS, los cuales producen información continuamente; las entregas se realizan los lunes, miércoles y viernes”.
Hacking Team, hasta la cocina
El Cisen hizo lo posible en ocultar la información técnica e impedir que se admitiera oficialmente qué software adquirió a Hacking Team. En este caso quien echó de cabeza al órgano de inteligencia fue la Secretaría de Gobernación.
La clave de los acuerdos firmados entre el Cisen y Hacking Team son los anexos técnicos. Es en ellos donde se detalla el software espía suministrado por la empresa italiana. Pero la versión pública elaborada y entregada por la dependencia a Contralínea es un compendio de testeo, barras negras como teclas dejando sólo espacios en blanco. Apenas se puede leer el título de documento y unas cuantas palabras más.
Especificar qué programas compró el Estado “vulneraría las técnicas y prácticas utilizadas para la recolección de inteligencia”, lo que en consecuencia convertiría al Cisen “en un blanco susceptible de ataques y amenazas cibernéticas, por grupos antagónicos al Estado, los cuales podrían llevar a cabo acciones para infiltrarse en la estructura tecnológica y así obtener información del Centro”, justificó el órgano el emborronamiento de los documentos, que además reservó por 12 años –decisión que el Instituto Nacional de Transparencia y Acceso a la Información y Protección de Datos Personales (Inai), con ponencia del comisionado Joel Salas, deberá revocar o reafirmar al resolver los recursos de revisión acumulados 5348/15 y 5349/15.
El Cisen se esforzó. Pero en su afán de apaciguar el interés en el tema elaboró un documento tituladoEstatus plataforma HT, el mismo que se envió a Contralínea en respuesta negativa a las solicitudes de entrevista hechas.
En dicha comunicación, la Secretaría a cargo de Osorio Chong detalló que el dispositivo adquirido fue “la plataforma de enrolamiento Remote Control System, del fabricante Hacking Team en su versión Da Vinci”.
Y abundó: “Da Vinci es una plataforma para enrolamiento principalmente de equipos de cómputo Windows y MacOS”. También asentó que “la licencia se ha renovado anualmente”.
Tal misiva la envió la propia Secretaría a cargo de Osorio Chong meses después de que éste asegurara que el tema pertenecía al pasado y no a la administración de la que él es parte.?“La empresa italiana Hacking Team describe ella misma sus propias tecnologías como ‘ofensivas’. La empresa ha sido cuestionada por sus ventas a Marruecos y a Emiratos Árabes Unidos”, asentó en 2013 la organización internacional Reporteros sin Fronteras (RSF) en el informe denominado Enemigos de internet. Y continuó:
“Según ella, el Remote Control Sytem que ha desarrollado y que ha nombrado con modestia Da Vinci es capaz de romper el cifrado utilizado por correos electrónicos, archivos y protocolos VOIP.” Es decir que los gobiernos que lo utilicen pueden “vigilar archivos y correos electrónicos, incluso los que utilizan la tecnología PGP, las conversaciones de Skype y todos los otros protocolos VOIP, así como la mensajería instantánea”.
También, alerta RSF, “este sistema hace posible la localización de objetivos e identificación de sus contactos, permite activar a distancia cámaras y micrófonos en todo el mundo; pretende que su software sea capaz de vigilar simultáneamente centenas de millares de ordenadores en un mismo país; sus caballos de Troya pueden infectar Windows, Mac, Linux, iOS, Android, Symbian y Blackberry”.
El objetivo puede ser quien sea; cualquier persona puede ser espiada con tal tecnología, sin embargo para el Cisen los resultados aún no eran los óptimos.
En mayo de 2015, un par de meses antes de la filtración y de la negación de Osorio Chong, HT trabajaba ya en un plan urgente para “maximizar la eficacia de los ataques” del Cisen.
En un correo enviado por Philippe Vinci, vicepresidente de desarrollo comercial, a diversos directivos de Hacking Team –entre ellos David Vincenzetti– expuso la necesidad de fortalecer el vínculo con el órgano de inteligencia mexicano.
En el correo, dado a conocer por WikiLeaks, Vinci explicaba la crisis: “el equipo técnico del Cisen sólo fue capaz de realizar 18 infecciones exitosas en 2014 (12 físicamente y seis a distancia)”. Así se quejaba el ejecutivo italiano, pues los 50 agentes a cargo del programa (al que los mexicanos llaman Galileo en vez de Da Vinci) no lograban superar ni siquiera el 2 por ciento de eficiencia, esto a pesar de tener la capacidad técnica para infectar 20 objetivos a la semana, “lo que equivaldría a más de 1 mil objetivos al año”. Por ello, el plan consistía en ampliar a 200 el número de agentes pegados a los dispositivos suministrados por Hacking Team.
HT estaba preocupado pues, por los bajos resultados, el Cisen amenazaba con no renovar después de 2015. “El riesgo [para la empresa] es extremadamente malo”, alertó Philippe Vinci. Y se refería al “efecto dominó en otras dependencias federales de México: la Policía Federal (de la misma Secretaría de Gobernación) o la Sedena [Secretaría de la defensa Nacional]”. “Somos afortunados por seguir contando con el Cisen durante 2015”, remataba Vinci. Y cómo no, si “México está entre los primeros tres contribuidores de ganancias en la historia de Hacking Team”, aunque el secretario Osorio Chong negara lo correspondiente a este gobierno.
Contralínea se comunicó a Milán a las oficinas de Hacking Team con la intención de conversar con David Vincenzatti. Alessandra Mino primero, y Eric Rabe después, recibieron la solicitud. HT se disculpó por no poder dar respuestas mientras la propia compañía no confirme los datos revelados en las filtraciones, y rechazó la petición.
El invisible contrato de 2014
No apareció ni en la filtración dada en julio tras el hackeo sufrido por Hacking Team. Tampoco en los datos liberados por el Cisen. La única referencia al contrato correspondiente a 2014 aparece en los correos electrónicos compartidos por WikiLeaks.
El 23 de abril de 2014, el entonces director de Servicios Tecnológicos del Cisen, Raúl Villegas Lastra, recibió en su correo (rvillegas@entermas.net) un par de preguntas por parte de Alex Velasco, gerente de cuentas de HT.
“Me dirijo a usted para obtener información sobre el pago que aún no hemos recibido”, escribió con cordialidad el trabajador de Hacking Team, y le cuestionó algo más: “En otro tema, quería preguntarte sobre la cotización solicitada para 1 mil licencias más. ¿Se ha tomado una decisión sobre este proyecto?”
El millar de licencias más en las que se interesó el Cisen no pudieron concretarse “por razones presupuestales”, contó Villegas Lastra. Entonces la cadena de correos siguió la línea del pago pendiente de la entidad por el contrato 011/2014, correspondiente a 205 mil euros.
“Acabamos de recibir el pago por 153,75 k [sic] por el acuerdo 011/2014; lo que corresponde al 75 por ciento del monto del contrato”, informó el 5 de mayo de 2014 en otro correo Simoneta Gallucci, asistente del área administrativa.
Instituciones de seguridad niegan relación con HT
No sólo Miguel Ángel Osorio negó la relación de Gobernación con Hacking Team; las secretarías de la Defensa Nacional (Sedena) y de Marina (Semar), la Procuraduría General de la República (PGR), la Policía Federal, y la Presidencia de la República hicieron lo mismo: asegurar por escrito que no tienen, ni han tenido, nada que ver con la compañía italiana suministradora de equipos de espionaje, según las respuestas las solicitudes de información presentadas por Contralínea por medio de la Ley Federal de Transparencia y Acceso a la Información Pública Gubernamental (folios 0000700129515, 0000700129615, 0001300044115, 0001300044215, 0001700239915, 0001700240015, 0413100106015, 0413100106115 y 0210000095615).
Así, una por una, después de haber realizado “búsquedas exhaustivas” y a pesar de que el hackeo a HT los dejó expuestos como asiduos consumidores de materiales de espionaje, simplemente dijeron que ellos no, que no existen documentos que las relacionen con el tema.
El 30 de junio de 2015, unos días antes de que Hacking Team fuera intervenida, Daniel Martínez, ingeniero de campo de HT, notificaba lo que ocurría con los “socios de México”:
“Gilberto me dijo que ha estado viajando a Israel con el general (de compras) de la Sedena y tratará de cerrar el trato y obtener la fecha en la que comprará nuestro sistema”, contó el ejecutivo de HT en el correo 235075 dado a conocer por Wikileaks.
“Les comento que me fue muy bien en SEMAR, solo fallo el demo infectando mac y linux, aunque las plataformas principales que querían probar, todas funcionaron, así que estamos también un paso adelante, yo regresare a probar lo que falto talvez mañana o dentro de 2 semanas dependiendo de la disponibilidad de ellos” (sic), añadió Martínez el 1 de julio de 2015 (correo 1088190).
Por su parte, Philippe Vinci celebraba que sólo esperaba la confirmación de la Sedena sobre la invitación hecha para visitar HT en Milán. “La visita ha sido autorizada internamente, entonces se puede dar”. La fecha tentativa para darse el tour era el 20 de julio. Pero el día 6 Hacking Team fue hackeado.
En los correos de la firma italiana se menciona a la Policía Federal (“van a tener mucha pesca en estos días”), a la PGR; al gobierno de Tamaulipas, al de Sonora, Puebla, Estado de México…
Con la filtración, 14 entidades mexicanas fueron exhibidas, colocando al país como el mejor cliente de Hacking Team.
Ver/Ocultar: Contrato No. CISEN/128/13
Ver/Ocultar: Unidad de Enlace CISEN
