Durante más de una década, decenas de periodistas y activistas de derechos humanos han sido blanco de ataques cibernéticos por parte de gobiernos de todo el mundo. Policías y espías en Etiopía, Grecia, Hungría, India, México, Polonia, Arabia Saudita y Emiratos Árabes Unidos, entre otros países, han utilizado software espía sofisticado para comprometer los teléfonos de estas víctimas, quienes en ocasiones también han sufrido violencia real: intimidados, acosados ​​y, en casos extremos, incluso asesinados.

En los últimos años, en la lucha por proteger a estas comunidades de alto riesgo, un equipo de una docena de expertos en seguridad digital, principalmente con sede en Costa Rica, Manila y Túnez, entre otros lugares, ha desempeñado un papel clave. Trabajan para Access Now, una organización sin fines de lucro con sede en Nueva York, específicamente para su Línea de Ayuda de Seguridad Digital.

Su misión es ser el equipo al que periodistas, defensores de derechos humanos y disidentes pueden acudir si sospechan que han sido víctimas de ataques cibernéticos, como con software espía mercenario desarrollado por empresas como NSO Group, Intellexa o Paragon.

“La idea es brindar este servicio 24/7 a la sociedad civil y a los periodistas para que puedan contactarnos cuando tengan un incidente de ciberseguridad”, declaró Hassen Selmi, quien lidera el equipo de respuesta a incidentes de la Línea de Ayuda.

Según Bill Marczak, investigador sénior del Citizen Lab de la Universidad de Toronto, quien lleva casi 15 años investigando spyware, la Línea de Ayuda de Access Now es un recurso de primera línea para periodistas y otras personas que puedan haber sido atacadas o hackeadas con spyware.

La línea de ayuda se ha convertido en un canal clave para las víctimas. Tanto es así que, cuando Apple envía a sus usuarios una supuesta «notificación de amenaza» alertándoles de que han sido atacados con spyware mercenario, el gigante tecnológico ha dirigido a las víctimas desde hace tiempo a los investigadores de Access Now.

En una entrevista, Selmi describió un escenario en el que alguien recibe una de estas notificaciones de amenaza y cómo Access Now puede ayudar a las víctimas.

“Tener a alguien que les explique, que les diga qué deben hacer, qué no deben hacer, qué significa esto… es un gran alivio para ellos”, dijo Selmi.

Según varios expertos en derechos digitales que han investigado casos de spyware, Apple, en general, está adoptando el enfoque correcto, incluso si da la impresión de que un gigante tecnológico multimillonario está delegando su responsabilidad en un pequeño equipo de trabajadores sin fines de lucro.

Ser mencionado por Apple en las notificaciones, dijo Selmi, fue “uno de los mayores hitos” para la línea de ayuda.

Selmi y sus colegas ahora investigan alrededor de 1.000 casos de presuntos ataques de spyware gubernamental al año. Aproximadamente la mitad de esos casos se convierten en investigaciones reales, y solo alrededor del 5% de ellos, unos 25, resultan en un caso confirmado de infección de spyware, según Mohammed Al-Maskati, director de la línea de ayuda.

Cuando Selmi comenzó a realizar este trabajo en 2014, Access Now solo investigaba unos 20 casos de presuntos ataques de spyware al mes.

En ese momento, había tres o cuatro personas trabajando en cada zona horaria en Costa Rica, Manila y Túnez, ubicaciones que les permitían tener a alguien conectado durante todo el día. El equipo no es mucho más grande ahora, con menos de 15 personas trabajando en la línea de ayuda. La línea de ayuda cuenta con más personal en Europa, Oriente Medio, el Norte de África y la región subsahariana, dado que estos son puntos calientes de casos de spyware, según Selmi.

El aumento de casos, explicó Selmi, se debe a varias circunstancias. Por un lado, la línea de ayuda ahora es más conocida, por lo que atrae a más personas. Además, con la globalización y la mayor disponibilidad del spyware gubernamental, potencialmente hay más casos de abuso. Por último, el equipo de la línea de ayuda ha realizado más actividades de divulgación en poblaciones potencialmente vulnerables, detectando casos de abuso que de otra manera no habrían detectado. Cuando alguien contacta con la línea de ayuda, según explicó Selmi, sus investigadores primero acusan recibo y luego realizan una primera comprobación para verificar si la persona que los contactó está dentro del mandato de la organización, es decir, si forma parte de la sociedad civil y no, por ejemplo, un ejecutivo de una empresa o un legislador. Posteriormente, los investigadores evalúan el caso en triaje. Si se prioriza un caso, los investigadores formulan preguntas, como por qué la persona cree que fue el objetivo (si no hubo notificación) y qué dispositivo posee, lo que ayuda a determinar qué tipo de información podrían necesitar recopilar los investigadores del dispositivo de la víctima.

Tras una comprobación inicial limitada del dispositivo, realizada de forma remota a través de internet, los responsables e investigadores de la línea de ayuda pueden solicitar a la víctima que envíe más datos, como una copia de seguridad completa de su dispositivo, para realizar un análisis más exhaustivo que busque indicios de intrusiones.

«Para cada tipo de exploit conocido que se ha utilizado en los últimos cinco años, tenemos un proceso para comprobarlo», explicó Selmi, refiriéndose a las técnicas de hacking conocidas.

“Sabemos más o menos qué es normal y qué no”, dijo Selmi.

Los gestores de Access Now, que gestionan la comunicación y suelen hablar el idioma de la víctima, también le aconsejarán sobre qué hacer, como si debería adquirir otro dispositivo o tomar otras precauciones.

Cada caso que investiga la organización sin ánimo de lucro es único. «Es diferente de persona a persona, de cultura a cultura», declaró Selmi. «Creo que deberíamos investigar más, involucrar a más personas, no solo a técnicos, para que sepan cómo tratar con este tipo de víctimas».

Selmi añadió que la línea de ayuda también ha apoyado a equipos de investigación similares en algunas regiones del mundo, compartiendo documentación, conocimientos y herramientas, como parte de una coalición llamada CiviCERT, una red global de organizaciones que puede ayudar a miembros de la sociedad civil que sospechan haber sido víctimas de spyware.

Selmi añadió que esta red también ha ayudado a llegar a periodistas y otras personas en lugares a los que de otro modo no podrían llegar.

«No importa dónde se encuentren, [las víctimas] tienen personas con quienes hablar e informar», declaró Selmi. “Que estas personas hablaran su idioma y conocieran su contexto ayudó mucho”.