Capítulo 4: Investigación en línea más segura

Introducción

A menudo, los periodistas no tienen claro quién vigila su actividad en Internet y cómo los datos que se recogen pueden utilizarse contra ellos y sus fuentes. Este capítulo está diseñado para ayudarles a entender quién puede acceder a su información y proporcionarles medidas concretas que pueden tomar para reducir este riesgo.

Este capítulo tratará sobre:

• El riesgo individual en la investigación en línea
• Cómo se mueve la información en Internet
• Quién recopila datos en línea y cómo pueden utilizarse contra los medios de comunicación.
• Diferentes formas de obtener los datos en línea de un periodista.
• Buenas prácticas para llevar a cabo una investigación en línea más segura

¿Primera formación de periodistas?

Puede ser útil tener en cuenta lo siguiente:

• Una vez que los periodistas tienen una idea para un reportaje, empiezan a investigar en Internet y, a menudo, no han establecido prácticas de seguridad digital. Los periodistas no siempre realizarán una evaluación de riesgos antes de comenzar la investigación de una historia.
• A menudo, los periodistas no tienen claro quién puede rastrear su actividad en línea y qué datos se recopilan sobre ellos.Los formadores pueden utilizar estudios de casos locales para mostrar cómo las empresas y los gobiernos obtienen datos sobre las personas.
• Algunas historias pueden volverse más arriesgadas a medida que evolucionan, dejando a los periodistas y a sus fuentes vulnerables a intrusiones o ataques digitales. Por este motivo, es importante que el periodista revise la evaluación de riesgos en todo momento.
• Los periodistas suelen tener poco tiempo y no podrán dedicarlo a probar nuevas herramientas, sobre todo si son demasiado técnicas.
• Es habitual que los periodistas utilicen herramientas en línea porque les han dicho que son más seguras sin entender por qué lo son; esto puede crear una falsa sensación de seguridad.

¿Primera formación en seguridad digital?

Esta sección cubre las mejores prácticas que se pueden utilizar al enseñar las actividades de este capítulo. Para más información, consulta la sección recursos de este capítulo.

Buenas prácticas generales

• Realiza una evaluación de riesgos antes de iniciar cualquier investigación en línea. Pida a los periodistas que identifiquen si van a visitar sitios web que puedan suponer un riesgo para su seguridad, como sitios web gestionados por organizaciones criminales, o en los que quieran mantener su identidad oculta por otras razones, por ejemplo cuando visitan los sitios de empresas que podrían estar investigando. Pregúnteles qué es lo que les preocupa en concreto (que el sitio acceda a su dispositivo, que sepa demasiado sobre ellos, etc.). Cada riesgo requiere una mitigación diferente, pero recuerda siempre a los participantes que mantengan actualizado su navegador web (normalmente puedes comprobarlo en la casilla “Acerca de” del navegador). Algunos sitios web pueden contener contenido malicioso que intente aprovecharse de los agujeros de seguridad de los navegadores. Esos agujeros de seguridad suelen parchearse con las actualizaciones de software, por lo que mantener actualizado el navegador es una de las mejores cosas que puede hacer por su seguridad.
• Cuando visite un sitio web, asegúrese de que está cifrado o de que utiliza HTTPS.
  • En el pasado, una minoría de las conexiones a sitios web estaban cifradas. Hoy en día, casi todas las conexiones con un sitio de confianza están cifradas. La mayoría de los navegadores muestran una advertencia si intenta conectarse a un sitio que no utiliza HTTPS. Puede aparecer en forma de advertencia junto a la barra de direcciones.
  • Cuando tu conexión con un sitio está cifrada, los proveedores de servicios de Internet y otros pueden saber que estás en la página pero no lo que estás haciendo allí. Por ejemplo, pueden ver que estás conectado a tu proveedor de correo electrónico, pero no podrán leer tus mensajes. Podrían saber que estás en Wikipedia, pero no qué artículos estás leyendo, pero sí podrían averiguar aproximadamente cuánto tiempo has pasado en el sitio y cuántos datos has transferido desde él.
• HTTPS impide que tu proveedor de servicios de Internet, el hotel o la cafetería donde te conectas al WiFi o tu proveedor de telefonía móvil descubran el contenido de las páginas por las que navegas, las contraseñas que tecleas y los correos electrónicos o documentos de Drive a los que accedes. No impide que el propio sitio web te rastree; para eso necesitamos otras protecciones, que se describen a continuación.
• Los propietarios de sitios web pueden ver qué direcciones IP visitan su sitio web. A cada dispositivo conectado a internet se le asigna un número único conocido como dirección IP (Internet Protocol). Este número lo asigna su proveedor de servicios de internet, la empresa que le proporciona internet.
  • Hay varias cosas que alguien podría averiguar basándose en su dirección IP. Tu dirección IP podría revelar tu ubicación aproximada, como tu ciudad. En el caso de organizaciones más grandes, como una redacción corporativa, la dirección IP podría utilizarse incluso para identificar a la organización concreta, ya que los bloques de oficinas o las grandes organizaciones podrían utilizar rangos de IP fijos o bien conocidos.
  • Su proveedor de servicios de Internet, y por extensión el gobiernont, podría averiguar a qué suscriptor pertenece cada dirección IP. Un suscriptor puede ser un individuo, o una entidad como una pequeña oficina o cafetería.
  • El rastreo de la dirección IP podría ser un problema para los periodistas que no quieren que el propietario del sitio web sepa que han estado mirando información en su sitio. Si un periodista quiere ocultar su dirección IP de un sitio web, debe utilizar una Red Privada Virtual (VPN). Para más información sobre este modelo de riesgo específico y sobre las VPN, consulte la sección siguiente.
• Además de las direcciones IP, los propietarios de sitios web también pueden ver datos básicos sobre un sistema, como la resolución de su pantalla, la versión del software o las fuentes que tiene cargadas. Esta práctica, denominada huella digital del navegador, podría utilizarse para identificar máquinas pertenecientes a organizaciones concretas o incluso a usuarios individuales. Varios navegadores web están implementando ahora protecciones anti-huella digital, con el Navegador Mullvad y el Navegador Tor (este último descrito con más detalle más adelante) ofreciendo algunas de las más avanzadas.
• Los propietarios de sitios web también pueden utilizar cookies para rastrear a los usuarios, ver con qué frecuencia visitan un sitio web y, potencialmente, obtener información sobre su actividad en la web. Cuando enseñes seguridad digital, puedes utilizar el ejemplo del remarketing (cuando ves un producto en un sitio web y después ves anuncios sobre él) para explicar cómo las cookies de rastreo pueden utilizarse para crear un perfil tuyo y averiguar información sobre ti. La forma más fácil de mitigar las cookies de seguimiento es navegar en modo privado/de incógnito, que elimina dichas cookies cuando el usuario cierra la ventana.
• Anime a los periodistas a instalar un bloqueador de anuncios de buena reputación como uBlock Origin para protegerse contra el malware que se distribuye a través de los anuncios en línea. Esto puede no ser una opción para ellos si están trabajando en una sala de redacción que no permite bloqueadores de anuncios o extensiones del navegador.
• Con la excepción de una extensión de bloqueo de anuncios y la extensión de autocompletar de tu gestor de contraseñas, lo mejor es instalar el menor número posible de extensiones en el mismo navegador que utilizas para trabajos delicados o confidenciales. Esto se debe a que, a menudo, las extensiones del navegador pueden ver el contenido de todas las páginas web por las que navegas; si la extensión se viera comprometida o se vendiera, sus autores podrían robar tu información. Si necesitas instalar extensiones para trabajar, es mejor que lo hagas en un navegador distinto que no utilices para trabajos o inicios de sesión confidenciales: una extensión comprometida o maliciosa normalmente sólo podrá extraer datos del navegador en el que esté instalada y habilitada.
• Evite utilizar ordenadores públicos, incluso en actos de prensa. Estos ordenadores pueden estar infectados con malware o spyware, o rastrear ampliamente a los usuarios de otras formas, y podrían acceder a tu cuenta incluso si sigues las mejores prácticas de seguridad. Si es absolutamente necesario que utilices un ordenador público y te sientes cómodo con los riesgos que conlleva, inicia sesión a través de una nueva ventana privada del navegador (que te desconecta automáticamente y borra el historial al cerrarla), cambia tu contraseña y haz clic en “cerrar todas las sesiones” cuando vuelvas a una máquina en la que confíes. (Si has iniciado sesión mediante un código QR y una clave almacenada en tu smartphone, no hace falta que cambies o borres esa clave después. Esto se debe a que el ordenador nunca “ve” la parte privada de tu clave, que sólo está almacenada en tu smartphone. Aun así, deberías utilizar la función “cerrar sesión” en tu smartphone o en un equipo de confianza una vez que hayas terminado, por si acaso).
• Considera la posibilidad de utilizar un ordenador distinto para las investigaciones confidenciales. Esto ayudará a compartimentar los datos de modo que, si el dispositivo se infecta, el atacante tendrá un acceso limitado al contenido.
• Los periodistas que investiguen sobre grupos en línea y necesiten registrarse en foros o salas de chat deben crear una nueva dirección de correo electrónico específica para ello. La dirección de correo electrónico no debe contener datos personales que puedan identificar a los periodistas y, al registrar la cuenta, el periodista no debe vincularla a ninguno de sus datos personales, por ejemplo, su número de teléfono. Se recomienda que el periodista pida ayuda a un profesional de la seguridad digital.
• Los periodistas que lleven a cabo investigaciones muy delicadas pueden utilizar el Navegador Tor. Se recomienda que busquen la orientación de un experto en seguridad digital antes de hacerlo. También deben conocer la legislación de su país sobre el uso de Tor.

Datos y empresas

• Los proveedores de servicios de Internet (ISP), la empresa que proporciona cobertura de Internet para su hogar u oficina, recopila una cantidad significativa de datos en línea, incluyendo el historial de navegación y la información de localización. Las empresas de telecomunicaciones proporcionan a los usuarios datos de telefonía móvil y servicio de Internet. También recopilan gran cantidad de datos sobre los usuarios, como registros telefónicos, mensajes SMS, datos de localización e historial de navegación por internet. El tiempo que conservan estos datos y con quién los comparten depende de la legislación de cada país. Para research this, carry out a keyword search using the name of the country and terms, such as data retention, telecommunications laws, and customer data.
• Las empresas tecnológicas también conservan una cantidad significativa de datos en línea sobre los usuarios, incluidos nombres de usuario, mensajes directos, documentos, fotos y mucho más. Estos datos se conservan de acuerdo con los términos y condiciones de la empresa, que pueden consultarse en su sitio web. Las empresas tecnológicas reciben peticiones de los gobiernos para acceder a los datos de los usuarios que pueden cumplir o no. Para comprobarlo, los periodistas deben consultar los informes anuales de transparencia publicados por las principales empresas tecnológicas. Se pueden encontrar en sus sitios web o realizando una búsqueda en línea utilizando el nombre de la empresa más la palabra clave, informe de transparencia.
• Los sitios web recopilan datos sobre las personas que los visitan, incluida la dirección IP, que revela la ubicación aproximada, detalles sobre la marca del dispositivo que visita el sitio, incluido el sistema operativo y la zona horaria. Para protegerse mejor contra esto, utilice una VPN y un navegador como Mullvad Browser, que protege contra el fingerprinting.

Redes Privadas Virtuales (VPN)

• Una VPN es un túnel cifrado que conecta su dispositivo a un servicio en línea. Cuando la utilice, los servicios en línea a los que acceda verán la dirección IP de su VPN en lugar de la suya propia. Su ISP verá que está utilizando una VPN, pero no sabrá a qué está accediendo. Los servicios de VPN suelen ofrecer servidores en todo el mundo; usted podría navegar desde un país mientras finge estar basado en otro.
• Esto es útil para los periodistas que quieren evitar que su ISP rastree su historial de navegación, para ocultar una dirección IP al visitar sitios web o para acceder a páginas bloqueadas y restringidas. Una VPN no funcionará en situaciones en las que el gobierno cierre internet.
• Una VPN es como cualquier otro servicio en línea y puede recopilar una cantidad significativa de datos sobre sus usuarios. Revise los términos y condiciones de cada VPN para ver qué datos se recopilan, dónde se almacenan, de qué forma se almacenan y si esos datos se comparten con los gobiernos.
• En algunos países, las VPN son ilegales y utilizar una o tenerla instalada en un dispositivo puede poner en peligro al periodista. En esos países, los gobiernos pueden haber emitido VPNs aprobadas por el gobierno que pueden ser utilizadas. Éstas no son seguras y recopilarán datos personales de los usuarios, incluido su historial de navegación.
• Hay una amplia gama de VPN disponibles. Recomendamos este excelente artículo de Wirecutter sobre cómo elegir la VPN que mejor se adapte a ti. A la hora de elegir una VPN es importante tener en cuenta lo siguiente:
  • Elegir una VPN que no registre el historial de navegación del usuario. Esta información podría compartirse con los gobiernos. Sin embargo, ten en cuenta que algunas VPN han mentido sobre sus capacidades o promesas de privacidad.
  • Averigüe quién es el propietario de la empresa VPN, dónde tiene su sede y dónde se encuentran sus servidores. Esta información se puede encontrar en el sitio web de la VPN que desea utilizar. Para los periodistas que se enfrentan a amenazas de un gobierno, lo mejor es elegir una VPN que no esté ubicada en su país ni en ningún país que tenga relaciones estrechas con ese gobierno. Esto se debe a que un proveedor de VPN podría compartir datos con un gobierno.
  • Las VPN gratuitas a menudo pueden contener malware, mantener registros extensos o revender tus datos de navegación o ancho de banda. Habla con otras personas sobre el terreno o con organizaciones de derechos digitales como Access Now para ver qué VPN utilizan.
  • ¿Funciona la VPN en el país en el que quieres utilizarla o ya ha sido bloqueada por el gobierno? Asegúrate de que tienes varias opciones de VPN disponibles en caso de que una deje de funcionar.
• Hay casos en los que no quieres que el propietario de un sitio web sepa que lo estás visitando, por ejemplo, cuando estás investigando y descargando informes de empresas multinacionales o gobiernos. Aunque es relativamente raro, los registros de direcciones IP han alertado a empresas del hecho de que son objeto de una investigación periodística. Las VPN serían de gran ayuda en este sentido. Como se ha indicado anteriormente, es una buena idea combinarlas con un navegador resistente a las huellas dactilares (como el Navegador Mullvad) o utilizar el Navegador Tor cuando se lleven a cabo investigaciones delicadas.

Completar la evaluación de riesgos

Al hablar de la evaluación de riesgos y el plan de seguridad personal puede ser útil tocar lo siguiente:

• Los periodistas tienen muchas preguntas sobre qué servicio online es más seguro utilizar y a menudo buscan una recomendación de la herramienta más segura. No siempre es fácil dar esta respuesta porque cada periodista se enfrenta a riesgos únicos.
• También es posible que los periodistas utilicen herramientas en línea porque les han dicho que son más seguras, pero no entienden por qué. Esto puede llevar a que los servicios en línea se utilicen de forma incorrecta o en contextos que exponen a los periodistas a un mayor nivel de riesgo.
• Los El formador debe ayudar al periodista a pensar en quién estaría interesado en obtener sus datos de navegación y cuál es la capacidad tecnológica, legal y financiera de esas personas. Los periodistas deben comprender que se enfrentan a riesgos en función del país en el que vivan, de las amenazas que hayan recibido anteriormente y del tema de los reportajes que cubran.