Capítulo 6: Comunicaciones más seguras

Introducción

Comunicarse con las fuentes es una parte vital del trabajo de un periodista. Cada vez están más en contacto con otras personas a través de diferentes plataformas y a menudo no están seguros de la seguridad de sus conversaciones. Este capítulo ayuda a los periodistas a tomar decisiones informadas sobre las herramientas que utilizan para ponerse en contacto con otras personas en función de sus perfiles de riesgo individuales.

En este capítulo se abordan los siguientes temas:

• Tomar decisiones informadas sobre cómo ponerse en contacto con otras personas y cómo hacerlo.
• Cómo elegir el servicio adecuado para comunicarse con las fuentes.
• Cómo proteger mejor los servicios de mensajería

Formación de periodistas por primera vez

Puede ser útil tener en cuenta lo siguiente:

• Los periodistas están en contacto con un amplio abanico de personas de forma habitual y para ello utilizan todo tipo de métodos de comunicación.
• Los periodistas no suelen separar los datos de trabajo de los personales, lo que significa que otras personas pueden ponerse en contacto con ellos a través de sus cuentas y números personales en cualquier momento. Esto aumenta el riesgo de acoso y vigilancia digital.
• Muchos periodistas utilizan a menudo sus cuentas personales en las redes sociales para ponerse en contacto con sus fuentes, lo que aumenta el riesgo de acoso.
• Los periodistas utilizan habitualmente su número de teléfono móvil personal para trabajar. Ese número se habrá compartido ampliamente con personas que van desde funcionarios del gobierno a delincuentes. No querrán cambiarlo, porque es una de las principales vías de contacto.
• Hay mucha resistencia por parte de los periodistas a tener dos teléfonos, uno para el trabajo y otro para uso personal. Es importante saber si el periodista necesita dos números o dos dispositivos. Esto dependerá de su evaluación individual de riesgos.
• Si el periodista adquiere un nuevo número, lo ideal es que mantenga el actual como número de trabajo y adquiera un nuevo número para uso personal.
• Las redacciones no suelen tener presupuesto para dotar a su personal de teléfonos de trabajo y, si existe un departamento informático, no suele ayudar al personal a proteger sus cuentas personales, incluidas las redes sociales, pese a que las utilicen con fines laborales.
• A menudo, los periodistas no realizan una evaluación de riesgos antes de trabajar en un reportaje, lo que puede significar que no hayan pensado en un proceso para contactar con la gente de forma segura o que no sepan cómo hacerlo.
• Aunque ha aumentado el número de periodistas que utilizan servicios de mensajería encriptada de extremo a extremo, a menudo no saben por qué los utilizan; simplemente les han dicho que es más seguro hacerlo. Hay mucha confusión sobre cuál de los servicios de mensajería es más seguro y qué datos protegen y cuáles no. Esto puede llevar a los periodistas a tener una falsa sensación de seguridad, creyendo que están más seguros de lo que realmente están, o una sensación de ansiedad equivocada si sobrestiman la capacidad de los adversarios para leer sus mensajes.
• Si no hay una forma segura de comunicarse con una fuente, el periodista probablemente cambiará a un método inseguro como SMS o una llamada telefónica GSM, ambos pueden ser interceptados por las autoridades. El formador debe aconsejar al periodista sobre este tema, por ejemplo, haciéndole saber que debe decir lo menos posible, que debe intentar encontrar un método más seguro para comunicarse, si planea reunirse en persona debe ser consciente de que la conversación puede haber sido interceptada y que existen riesgos de seguridad física asociados a ello.
• En algunos casos, tener dos teléfonos o utilizar determinadas aplicaciones de mensajería puede hacer que el periodista parezca más sospechoso ante los gobiernos y otras instancias. Déjese guiar por el periodista, que probablemente conozca bien los riesgos a los que se enfrenta en el contexto en el que trabaja.

¿Primera formación en seguridad digital?

Esta sección cubre las mejores prácticas que se pueden utilizar al enseñar las actividades de este capítulo. Para más información, consulta la sección recursos de este capítulo.

Buenas prácticas generales

• No existe una forma de ponerse en contacto con alguien que sea cien por cien segura. La persona con la que contactas puede estar bajo algún tipo de vigilancia o tú mismo puedes estar bajo vigilancia. También puede ocurrir que la herramienta o servicio que utilices para contactar con ella esté recopilando datos a los que podrían acceder otras personas, incluso a través de una citación judicial.
• Antes de ponerte en contacto con alguien, es importante que pienses con quién y para qué. Algunas de las preguntas importantes que hay que plantearse son: ¿corre la persona con la que quiero contactar un alto riesgo de ser vigilada? ¿Se considera que la persona con la que quiero hablar está haciendo algo ilegal? ¿Vamos a hablar de un tema delicado, como la corrupción gubernamental? Si la respuesta a estas preguntas es afirmativa, debería optar por un servicio que cifre sus datos.
• Los periodistas deben ser conscientes de que los servicios en línea que utilizan pueden estar recopilando metadatos sobre los usuarios. Los metadatos son un conjunto de datos que describen otros datos. Por ejemplo, la hora a la que se hizo una llamada, qué ddispositivo en el que se hizo la llamada, a quién se hizo la llamada. Los metadatos pueden proporcionar a los gobiernos y a otros agentes una cantidad sustancial de información que podría utilizarse contra un periodista y su fuente.
• A menudo se puede contactar con periodistas a través de las redes sociales. Algunas plataformas de medios sociales están introduciendo ahora el cifrado de extremo a extremo para los mensajes directos; esto significa que la propia empresa o servicio no conocerá el contenido de esos mensajes. En la mayoría de esos servicios, algunas conversaciones pueden estar cifradas de extremo a extremo, mientras que otras (por ejemplo, las que se mantienen con empresas) pueden no estarlo. Las distintas plataformas también utilizan diferentes tecnologías de cifrado, y algunas son sin duda más fiables que otras. Si los periodistas necesitan comunicarse con sus fuentes o recibir información a través de mensajes directos en las redes sociales, vale la pena leer primero las capacidades de seguridad y encriptación del servicio, lo que otros dicen de él y cómo comprobar si la encriptación de extremo a extremo está activada. Los servicios de redes sociales también recopilan muchos metadatos, por ejemplo sobre quién habla con quién y con qué frecuencia, y pueden tener que compartirlos si se lo pide un tribunal o un organismo de seguridad.
• Antes de utilizar un servicio en línea, investiga un poco sobre él. Comprueba los términos y condiciones del sitio, revisa el informe de transparencia de la empresa (que puede mostrar con qué frecuencia comparte información y con qué gobiernos), lee lo que escriben sobre ella formadores en materia de seguridad y grupos como la Fundación para la Libertad de Prensa, o busca en Internet lo siguiente: ¿ha solicitado un gobierno datos a ese servicio y se los ha entregado? ¿Cómo almacena los datos la empresa? Lo ideal sería que estuvieran encriptados. ¿Se ha visto la empresa implicada en una violación de datos? En caso afirmativo, ¿a qué datos se ha accedido? ¿Cuántos metadatos recopila la empresa?
• En la medida de lo posible, los periodistas deberían tener dos teléfonos: uno para el trabajo y otro para uso personal. Esto ayuda a mantener los datos separados, lo que protege mejor a los periodistas y a sus fuentes si uno de los teléfonos se infecta.
• Todas las llamadas a teléfonos fijos o móviles (realizadas a través de la red GSM y no a través de aplicaciones) deben considerarse no cifradas y susceptibles de ser interceptadas. Es probable que la compañía de telecomunicaciones también guarde registros detallados de los metadatos de llamadas y SMS (por ejemplo, quién llama y escribe a quién, durante cuánto tiempo y cuándo).
• Todos los mensajes de texto (SMS) están sin cifrar y pueden ser interceptados. Su proveedor de telefonía móvil podría conservar una copia de sus mensajes SMS. Podrían pasarlos a los gobiernos o acceder a ellos personas de la empresa.
• Algunos servicios cifran los mensajes en tránsito, pero la información no se cifra en el servidor de la empresa. Esto puede suponer un riesgo para un periodista si teme que un gobierno pueda citar esos datos o que alguien de la empresa pueda acceder a ellos.
• Si un adversario es capaz de interceptar un SMS que se utiliza para registrar el mensajero en un nuevo dispositivo, podría hacerse con el control de toda la cuenta de mensajería de servicios como WhatsApp y Signal. Este ataque se utilizó para hacerse con la cuenta de un destacado periodista especializado en ciberseguridad. Se trata de una grave preocupación para los periodistas que se enfrentan por igual a amenazas estatales (ya que los servicios de seguridad pueden pedir a las telecos que les desvíen los SMS) y no estatales (ya que muchos atacantes pueden lanzar ataques de ingeniería social contra las telecos). La forma más sencilla de evitar estos ataques es activar una función de seguridad que WhatsApp llama verificación en dos pasos y Signal llama PIN y bloqueo de registro. Con esa función activada, cualquiera que intente volver a registrar la cuenta en un nuevo dispositivo tendrá que poseer no sólo la SIM de registro, sino también una contraseña adicional o un código PIN.
• La forma más segura de comunicación es utilizar por defecto el cifrado de extremo a extremo. Esto significa que la información se cifra automáticamente tanto en tránsito como en el servidor. Algunos ejemplos son WhatsApp y Signal. Otros servicios (como Telegram) sólo permiten el cifrado de extremo a extremo si el usuario lo activa explícitamente, por lo que los periodistas deben asegurarse de que han activado el cifrado.

Estar más seguro al usar WhatsApp y Signal_

• El uso de servicios de mensajería cifrados es excelente, pero los periodistas deben tener en cuenta la cantidad de datos que transportan dentro de esas aplicaciones de mensajería, por ejemplo, mensajes antiguos y cualquier archivo o fichero que puedan haber guardado desde las propias aplicaciones. Esto es especialmente importante si los periodistas corren el riesgo de ser detenidos y de que se registren sus dispositivos.

• Trabaja con los periodistas para crear un plan para hacer copias de seguridad del contenido de las aplicaciones de mensajería de sus teléfonos y borrarlo. Una de las formas más fáciles de hacerlo es utilizar la desaparición de mensajes (más abajo) para la mayoría de los mensajes.s, haz capturas de pantalla de los mensajes importantes para que no se borren automáticamente y guárdalos en un lugar seguro, por ejemplo en la redacción. También es fácil exportar archivos de mensajes de WhatsApp (pero, por desgracia, es muy difícil hacerlo en Signal).

• Signal ahora permite a los usuarios ocultar sus números de teléfono y ser localizables sólo a través de un nombre de usuario. Lee la [documentación] de Signal (https://support.signal.org/hc/en-us/articles/6712070553754-Phone-Number-Privacy-and-Usernames) y explica a tus participantes cómo pueden ocultar los números de teléfono de las personas a las que envían mensajes, activar o desactivar la posibilidad de que otras personas que tengan su número de teléfono encuentren su cuenta de Signal, y configurar y cambiar los nombres de usuario.

• Algunas aplicaciones de mensajería, como Signal WhatsApp, permiten realizar copias de seguridad cifradas de extremo a extremo en la nube. El cifrado significa que, aunque se haga una copia de seguridad de los historiales de chat en una nube como la de Signal, iCloud o Google Drive, las organizaciones que gestionan esas nubes no podrán descifrar esas conversaciones si no tienen la clave de recuperación.

  • Signal pronto lanzará copias de seguridad cifradas en la nube, aunque actualmente esas copias de seguridad solo pueden hacerse en los propios servidores de Signal. Los servicios de Signal incluyen un nivel gratuito que guarda 45 días de historial multimedia y todos los historiales de mensajes de texto, y un nivel de pago con almacenamiento adicional para multimedia. Tus copias de seguridad están protegidas por una clave de recuperación de 64 caracteres. Sin esa clave, no podrás restaurar la copia de seguridad. A diferencia de WhatsApp, Signal no ofrece la opción de copias de seguridad en la nube sin cifrar.
  • WhatsApp ofrece copias de seguridad cifradas y sin cifrar en la nube. Recomendamos encarecidamente que los periodistas que utilicen WhatsApp para cualquier comunicación sensible solo utilicen las copias de seguridad cifradas en la nube. Al igual que Signal, las copias de seguridad cifradas en la nube de WhatsApp también están protegidas por una contraseña de 64 caracteres.
  • Recuerda al periodista que las copias de seguridad cifradas en la nube son solo una función opcional; no es necesario que las habilite si no quiere o no se siente cómodo gestionando otra contraseña de copia de seguridad.

• Hay una serie de funciones que los periodistas pueden activar para proteger sus aplicaciones de mensajería y el contenido que contienen. Encontrarás más información al respecto en la sección de recursos de esta guía. Algunos ejemplos son

  • Activar la desaparición de mensajes. Esto borrará un mensaje del teléfono del remitente y del teléfono del destinatario en un plazo de tiempo determinado. Los periodistas pueden o no querer activar esta opción dependiendo de si necesitan conservar el contenido de su mensaje. Si quieren conservarlo, deben hacer una captura de pantalla del mensaje y borrarlo de su teléfono. Diferentes aplicaciones contarán el tiempo de desaparición de los mensajes de diferentes maneras. Por ejemplo, si has configurado el borrado automático en 24 horas en Signal, el mensaje se borrará del dispositivo del remitente 24 horas después de haberse enviado, pero sólo se eliminará del dispositivo del destinatario 24 horas después de haberlo leído.
  • Ver sólo una vez foto y vídeo.\N Esto eliminará una foto o un vídeo después de que se haya visto una vez. No olvides que alguien podría seguir haciendo una foto de su pantalla mientras ve una foto o un vídeo de una sola vez (o mensajes que desaparecen); no son medidas de seguridad perfectas.
  • Restringir quién puede añadir a otros a los chats de grupo
    Todos los mensajeros tienen chats de grupo, y muchos de ellos se utilizan para compartir información sensible. Algunos chats de grupo permiten a cualquiera añadir nuevos miembros o compartir un enlace de invitación, mientras que otros requieren que un administrador apruebe a todos los nuevos miembros. Considere la posibilidad de exigir al administrador que apruebe a los nuevos miembros de los chats de grupo confidenciales. Esto reducirá significativamente las posibilidades de que alguien añada accidental o maliciosamente a un nuevo miembro que no debería tener acceso a la información sensible que se intercambia en él.
  • Establecer la verificación de dos factores o el bloqueo de registro. Esto impedirá que otras personas puedan registrar tu cuenta en su dispositivo sin un número PIN o una contraseña. Es muy importante activarlo ya que, sin él, cualquiera que intercepte el SMS de registro o irrumpa en un proveedor de telecomunicaciones o SMS podría hacerse con tu cuenta.

Completar la evaluación de riesgos

Al hablar de la evaluación de riesgos y el plan de seguridad personal puede ser útil tocar los siguientes puntos:

• Ayudar a los periodistas a pensar con quién quieren ponerse en contacto y cuáles son los riesgos asociados a ello, cómo de sensible es la conversación que quieren mantener, quién puede querer obtener acceso a esa conversación.
• Hágales pensar en quién es el propietario del servicio que están utilizando, qué hace con sus datos y si la empresa transmite datos a los gobiernos. Destaque la importancia de leer los informes de transparencia de la empresa.
• Destaque la importancia de contar con un proceso de copia de seguridad y eliminación de contenidos de las aplicaciones de mensajería de su teléfono. Los periodistas no suelen hacerlo.lo que significa que llevan consigo una gran cantidad de datos en su teléfono. Esto los pone a ellos y a sus fuentes en peligro si alguno de ellos es detenido. Establecer la desaparición de los mensajes puede ser útil para ciertas conversaciones, pero hacer capturas de pantalla, guardarlas en un lugar seguro (quizá en la redacción en lugar de en el teléfono si hay riesgo de detención y registro del dispositivo) y después borrar el chat de la aplicación puede ser mejor si el periodista quiere conservar pruebas de la conversación.
• Destaca el peligro de los chats de grupo con muchos participantes. Explícales que en ellos pueden infiltrarse gobiernos y otras personas que harán capturas de pantalla de las conversaciones o intentarán infectar los dispositivos publicando enlaces que contengan programas maliciosos.
• A quienes corran el riesgo de ser infectados por programas espía, explíqueles que el uso de la encriptación de extremo a extremo no protegerá sus comunicaciones si el propio dispositivo está infectado.
• Recuerda a los periodistas que el cifrado de extremo a extremo no les protegerá si ellos o las personas con las que hablan se ven obligados a desbloquear sus dispositivos, ni siquiera si alguien mira por encima de su hombro mientras escriben.