Quién espía nuestros pasos en Internet
• Número: 33
• Sección: Artículos.
El artículo dieciocho de nuestra Constitución limita el uso de la informática para garantizar la intimidad de los ciudadanos. Los autores de la Carta Magna ya tenían claro en 1978 que la informática facilita la labor de meter la nariz en los asuntos privados de la gente. Internet, al igual que todas las redes de datos, simplifica la tarea de controlar, ordenar y clasificar los movimientos de sus usuarios. Una visita a la trastienda de la Red mostrará por dónde circula la información y quién tiene acceso a ella.
Cada día que pasa, el bocado es más suculento. Según aumenta el número de personas que utilizan Internet y el número de horas que pasan navegando, charlando o enviando misivas electrónicas, crece el interés por conocer todo lo relacionado con las actividades de los internautas. A la mayoría de la gente no le agrada que sus andanzas por la Red, sean del tipo que sean, puedan estar a disposición de una empresa de publicidad, un banco o una institución pública. El derecho a la intimidad protege a los ciudadanos frente a este tipo de abusos, pero empiezan a ser frecuentes los casos de violación de este derecho en Internet, donde es mucho más complicado pedir responsabilidades a empresas que se encuentran a miles de kilómetros de nuestro país. Ante casos como el de la productora del concurso "Gran Hermano", que guardó y cedió datos privados de los aspirantes a participar en el famoso programa de televisión, y que fueron publicados en julio en Internet, la Agencia de Protección de Datos ha adoptado medidas cautelares, que obligan a destruir los datos privados de los aspirantes, y que pueden terminar en fuertes multas, de cientos de millones, para los expedientados.
En cambio, poco se puede hacer desde aquí contra empresas como DoubleClick, que hace el seguimiento de millones de usuarios utilizando las populares cookies y que pensaba obtener la identidad de los navegantes cruzando la información de varias bases de datos. Hablaremos de este paradigmático caso un poco más adelante. Lo cierto es que la propia infraestructura de Internet facilita a los entrometidos la tarea de conseguir, almacenar y tratar las huellas electrónicas que los internautas van dejando en cada una de sus actividades. La intimidad ya no está segura en Internet.
El jefe conoce sus sitios web preferidos
Quien utilice la conexión a Internet de su trabajo para buscar la mejor oferta de vuelos a Sidney, se puede encontrar buscando empleo a la semana siguiente. Cualquier empresa dispone, o puede disponer, de los medios necesarios para controlar cada movimiento en la Red de sus empleados. Dependiendo del tipo de conexión a Internet que tenga la compañía, se pueden utilizar diferentes sistemas para vigilar el uso que los trabajadores hacen de Internet. Por ejemplo, si se emplea un servidor proxy como puente hacia la Red el registro de todo el tráfico que pasa a través de él es un juego de niños. El servidor puede almacenar y clasificar cualquier petición de una página web, un artículo de un grupo de noticias o un fichero transmitido mediante ftp. Con respecto a los mensajes de correo, en el artículo "Las verdades del correo electrónico", iWorld febrero de 1999, se explicaba lo sencillo que resulta para el administrador del servidor de correo almacenar una copia de todos los mensajes, tanto los recibidos como los enviados.
En definitiva, no importa qué arquitectura de red ni qué servidores posea una empresa, siempre existirá una solución no muy compleja para controlar todo el tráfico que viaja hacia Internet. Y no hablemos de las organizaciones que utilizan aplicaciones para la gestión centralizada de equipos conectados en red. En este caso los administradores tienen la posibilidad de espiar todo lo que se haga en cada máquina. Si una aplicación de este estilo está instalada en el PC de su oficina -algo muy habitual en redes de un tamaño mediano o grande- olvídese de la intimidad en su puesto de trabajo. En ciertos aspectos, este tipo de software trabaja como la última generación de caballos de Troya, que ejercen un control total sobre el ordenador donde residen (ver "Los nuevos caballos de Troya", iWorld, Marzo de 1999). La única opción es desinstalar el programa; pero, a buen seguro, conllevará la visita del responsable de informática, pidiéndole explicaciones sobre sus sucios manejos en el PC de la empresa.
No crea que se está exagerando: en USA tres de cada cuatro empresas controlan las actividades de sus empleados en Internet, según la American Management Associaton. Estas prácticas son tan frecuentes en aquel país que el Congreso ha presentado un proyecto de ley que obliga a las compañías, una vez al año, a informar a sus trabajadores que sus comunicaciones están siendo vigiladas, en el caso de que así sea. La nueva ley no impide ni limita el derecho de las empresas americanas a espiar las comunicaciones electrónicas de sus empleados; es suficiente con un aviso anual que explique la política de la empresa a este respecto.
Quizá piense que pocas personas estarán interesadas en saber a qué se dedica en sus correrías por Internet. La cuestión se debe enfocar desde otra perspectiva: se espían las actividades de todos los internautas, ya sea para una u otra empresa, ya sea para esta o aquella institución. Da igual quién es usted (excepto si es un futbolista famoso), el coste de controlar las actividades de una persona en Internet es casi cero. El verdadero esfuerzo reside en montar y gestionar los medios para espiar al pobre internauta. Una vez hecho esto, cuantas más personas y más datos se sepan de ellas, mejor. Algunos ejemplos reales servirán para ilustrar estas afirmaciones.
Mucha gente quiere saber de usted
Sus datos personales son valiosos para infinidad de empresas, entre ellas todas las que ofrecen acceso gratuito a Internet. Cuando usted se da de alta online para disfrutar de una conexión de este tipo, acepta un contrato que incluye una cláusula donde "consiente expresamente la cesión de sus datos de carácter personal" a la empresa en cuestión y a sus distribuidores y agentes. Pero también es cierto que "el cliente puede ejercitar los derechos de acceso, rectificación y, en su caso, cancelación" de los datos personales. Es decir, los futuros usuarios entregan información de carácter personal con su conocimiento previo, y pueden modificar o eliminar esos datos en el momento que lo deseen. Pero no ocurre así cuando el alta se efectúa a través del teléfono. Durante las pruebas que se realizaron para el artículo "La atención necesaria", iWorld febrero de 2000, ninguno de los cuatro proveedores nos solicitó nuestro "consentimiento inequívoco" para que los datos personales que nos solicitaban pudieran ser tratados y almacenados, como obliga la nueva Ley de Protección de Datos. Un error que debería ser solucionado cuanto antes.
La polvareda que levantó la empresa DoubleClick (DC) y sus intenciones de crear una enorme base de datos con los hábitos y la conducta de cientos de miles de internautas, sin su conocimiento ni su permiso, ha despertado a muchos usuarios de la Red de sus dulces sueños de intimidad. Una buena parte de los anuncios o banners que usted ve en cualquier página web tienen como origen a la empresa DoubleClick. Cada vez que un usuario solicita una página que incluye un banner de DC recibe, además del típico gráfico animado con publicidad, una cookie para su navegador. Recuerde que las cookies son, en esencia, un pequeño archivo de datos que los servidores Web envían a los navegadores. Como explica Gonzalo Álvarez en sus magníficas páginas sobre las cookies (www.iec.csic.es/criptonomicon/cookies) "el uso de las cookies permite al servidor Web recordar algunos datos concernientes al usuario, como sus preferencias para la visualización de las páginas de ese servidor, nombre y contraseña, productos que más le interesan, etc.". En el caso que nos ocupa, DoubleClick las utiliza para conocer los servidores que un usuario visita. Por ejemplo, si usted entra con frecuencia en los sitios dedicados al vino, muchos de ellos con publicidad gestionada por DC, entrará en la base de datos de esta empresa como un aficionado a los buenos caldos. Como DoubleClick aparece en las páginas de miles de servidores, poco a poco irá confeccionan un perfil con sus gustos y preferencias, lo que les permitirá mandar banners personalizados, de acuerdo al perfil de cada navegante. Esta forma de actuar era conocida y aceptada, de modo especial debido a que DoubleClick aseguraba que no conocía la identidad de los internautas, sólo sus hábitos de conducta en la Red, pero no sabía quién estaba tras un determinado perfil.
A VUELTAS CON LA SEGURIDAD
Con la información personal no se juega, y así lo refleja el punto nueve de la Ley de Protección de Datos: "el responsable de los datos deberá adoptar las medidas necesarias para mantener la seguridad de los datos, debiendo evitar su alteración, pérdida, tratamiento o acceso no autorizado". Ahora de poco sirve decir "¡ah! lo siento mucho, pero ha entrado un pirata en nuestros ordenadores y ha robado a diestro y siniestro, incluyendo los ficheros con toda la información de nuestros clientes". Pues no, esa empresa va camino de sufrir una fuerte sanción administrativa si no demuestra que custodiaba con esmero toda esa documentación y que tenía una causa justificada para mantenerla almacenada en los servidores de la compañía. La nueva ley obliga a los responsables de estos ficheros a mantener una relación actualizada de usuarios con acceso autorizado y a establecer un sistema de identificación y autentificación. También deben crear un detallado registro de incidencias, además de verificar la correcta aplicación de los procedimientos de copias de seguridad. Y, lo mejor de todo, según el Real Decreto 195/2000, de 11 de febrero, estas medidas deben estar ya en pleno funcionamiento.
La policía británica detuvo en agosto a tres personas acusadas de robar a Egg, el conocido banco online. Barclay y UBS Warburg han sufrido incidentes relacionados con la seguridad de sus servicios en Internet. En España ha habido varios casos conocidos -pero no reconocidos- de fallos clamorosos de seguridad de la banca en la Red (ver el artículo "Los bancos y su seguridad", iWorld, mayo de 2000). Según Mamoun Tazi, analista de Salomon Smith Barney, "este no era el mejor momento para que pasara todo esto". Quizá no lo sea para los bancos, pero, desde luego, sí lo es para los amigos de lo ajeno. ¿Cuándo se producen mayor cantidad de robos en un edificio de apartamentos? Pues nada más terminar de construirlo, en medio de las mudanzas, los obreros que finalizan el portal y los vecinos que no se conocen o que todavía no han empezado a vivir allí. Para los piratas informáticos esta es su ocasión dorada, y nunca mejor dicho. Los bancos, las grandes corporaciones, las PYMES, incluso el bar de la esquina, quieren hacer negocios en Internet. Y, al parecer, tiene que ser a toda prisa, mejor hoy que mañana; como dice una famosa consultora: "en e-Business el tiempo no corre. Vuela".
No tiene nada de sorprendente que las compañías que viven de montar negocios en Internet para otras empresas digan estas y otras cosas parecidas. Menos comprensible es que muchos directivos se lo crean al pié de la letra y arriesguen su dinero y su tiempo sin tomar las precauciones necesarias. Por qué si los bancos en la Red están teniendo graves problemas de seguridad... ¿qué debe ocurrir en el resto de empresas?, ¿cumplen con los requisitos que impone la ley para proteger los datos de sus clientes?, ¿tienen los medios, los conocimientos y el tiempo necesarios para salvaguardar sus sistemas y la información que contienen? Parecen buenos tiempos para aquellos que quieran pescar datos en un río tan revuelto como es la actual Internet.
Estas promesas fueron olvidadas cuando se unió a la compañía Abacus Direct, que almacena información sobre las personas que hacen compras por catálogo, teléfono, etc. Esta empresa conoce el nombre, el teléfono, la dirección y, en muchos casos, el número de tarjeta de crédito de un montón de personas, en especial en EEUU. DC quiso cruzar sus datos con los de Abacus para asociar una identidad a cada uno de los perfiles ya mencionados. Las críticas y las quejas ante semejante acto obligaron a rectificar a DoubleClick y pedir excusas públicamente, asegurando que dejaban aparcado -al menos de momento- el proyecto de cruzar sus datos con los de Abacus (www.epic.org/privacy/doubletrouble). Si compañías con recursos limitados y sometidas al control de las autoridades de sus respectivos países ponen en peligro la intimidad de varios miles de internautas, ¿hasta dónde puede llegar el gobierno de un país? ¿Existen planes en España o en la Unión Europea para vigilar las actividades de los usuarios de la Red? Es posible que a los mayores espías de Internet les estemos pagando cada uno de nosotros, año tras año, con nuestros impuestos.
Echelon, Carnívoro y otras alimañas
La información que ha salido a la luz pública sobre el espionaje en las redes de comunicaciones públicas que han estado practicado los gobiernos de los países más poderosos de la tierra, como USA, el Reino Unido o Rusia, supera a lo imaginado por muchos libros de ciencia-ficción. Alrededor de treinta años lleva la red de escuchas Echelon interceptando todo tipo de mensajes. Creada por el gobierno yanqui con fines militares, y con el Reino Unido como principal aliado, junto con Canadá, Australia y Nueva Zelanda, al finalizar la guerra fría Echelon se convierte en un inmenso mecanismo para descubrir cualquier información que sea de interés para los gobiernos antes mencionados. Durante los últimos años ha crecido al mismo ritmo que el uso de las telecomunicaciones, aumentando su capacidad para espiar millones de mensajes y detectar de forma automática aquellos que pueden resultar interesantes. No le fatigaré con detalles técnicos, sólo apuntar que Echelon cuenta con más de 120 satélites dedicados a husmear las comunicaciones de todos nosotros. Y en estos últimos meses el FBI ha llegado con su Carnívoro para animar la fiesta de los enemigos de la intimidad ajena.
El Servicio Federal Ruso (FSB), heredero del famoso KGB, ha recibido la autorización de espiar todo tipo de comunicaciones electrónicas. Ante una amenaza a la seguridad militar, económica o ecológica, los cuerpos de seguridad rusos pueden espiar a cualquier ciudadano sin autorización del juez, al menos durante las primeras 24 horas. Al menos el FBI ha tenido la consideración de no obligar a pagar a los proveedores de Internet por los sistemas de espionaje que tienen que instalar en sus sistemas, como pretenden los gobiernos inglés y ruso. Los americanos se contentan con entregar un aparato, gratis, al proveedor de acceso y pedirle que lo pinche en su red. Esta caja negra es el Carnívoro, un sistema que, en principio, sólo se encarga de interceptar el correo sospechoso que circula a través del proveedor y enviarlo al FBI. ¿Sólo los mensajes sospechosos, nada más? Nadie lo sabe, excepto los servicios secretos americanos, que se cuidan de explicar el funcionamiento de Carnívoro. Un nombre que suena tan mal como aquel conocido programa para detectar debilidades en los servidores de Internet: Satán. Al menos en la Unión Europea (UE) hemos tenido más gusto al denominar Enfopol al conjunto de normas relativas a la actividad policial en la UE.
Algunos documentos de la Resolución Enfopol tratan del control de las telecomunicaciones por parte de la policía. El texto explica, entre otros puntos, cómo será la colaboración entre policías de distintos países de la UE para perseguir los delitos basados en redes de datos de ámbito europeo. Muchas voces se han levantado en contra de una Resolución que presenta bastantes puntos negros. Como bien explica Arturo Quirantes (www.ugr.es/~aquiran/cripto/enfopol.htm). Enfopol nace y crece en un ambiente secreto, sin luces ni taquígrafos (la Resolución fue publicada 22 meses después de su aprobación) y deja demasiada mano libre a las "autoridades competentes". En nuestro país se necesita autorización judicial para pinchar un teléfono, pero con Enfopol ya puede olvidarse de esa protección. Por fortuna, la Resolución Enfopol no es vinculante, y nuestro gobierno tiene potestad para aceptarla o no. Muchos medios, fuera y dentro de la Red, se están preocupando de difundir y explicar esta Resolución que afecta a nuestra intimidad como pocas leyes lo habían hecho antes. Pero será necesario estar pendientes de las decisiones que nuestros gobernantes tomen con respecto a nuestro derecho a la intimidad en las comunicaciones electrónicas.
Conclusiones
Durante el viaje hacia la aldea global y la sociedad digital se pueden perder algunos derechos por el camino, como el de la intimidad de los ciudadanos. La creación de nuevas leyes que protejan este derecho en el ámbito internacional parece una necesidad de primer orden. Estas leyes no deben ser una excusa para aumentar la vigilancia que los gobiernos ejercen sobre los ciudadanos, como pretenden las directrices de Enfopol. Tampoco las cada vez más poderosas redes de espionaje dedicadas al control de las telecomunicaciones invitan al optimismo. Las últimas noticias que se conocen al respecto, en países tan significativos como USA o el Reino Unido, sólo animan a poner en remojo nuestras barbas. También parece claro que las empresas utilizarán las redes de datos internas para ejercer una mayor vigilancia sobre sus empleados. Los límites que se impongan a estas prácticas tienen que llegar tanto de las leyes laborales como de las normas de convivencia de las compañías, que deberían evitar un ambiente de campo de concentración, donde los trabajadores aprovechen la menor oportunidad para huir. En el ámbito personal, el respeto a la intimidad de los internautas será proporcional al interés y al esfuerzo de cada uno ellos por defender este derecho que tan amenazado se encuentra en eso que llaman "la nueva cultura basada en la información".
Los usuarios de Facebook dispondrán pronto de una forma de evitar de sacar a los spammers de las cuentas legítimas. La compañía está desplegando una nueva funcionalidad de seguridad que permitirá a los miembros de la red ver qué ordenadores y dispositivos entran en sus cuentas y expulsar después a aquellos no deseados.
]
