Chuzadas: detalles de lo que buscaba el Ejército al adquirir el software Hombre Invisible

La información sobre el proceso licitatorio fue catalogada de ultrasecreta para evitar fallas de seguridad./iStock

Van 11 días desde que estalló el más reciente escándalo sobre interceptaciones ilegales de comunicaciones, en el que, esta vez, el protagonista es el Ejército, y persisten varios interrogantes alrededor de este espinoso asunto que, tras las revelaciones de la revista Semana, puso al gobierno Duque en aprietos. El primer mandatario, por su parte, ha asegurado que está más que dispuesto a colaborar con las pesquisas. Mientras se develan las responsabilidades políticas, detalles acerca de este tema siguen saliendo a flote, como los pormenores del estudio previo que llevó a la Central Administrativa y Contable Especializada de Inteligencia Militar a buscar al Hombre Invisible.

(Lea también: El nuevo escándalo de chuzadas que opaca al Ejército)

Este es el nombre que recibió el software adquirido por el Ejército en octubre de 2019 con el propósito de “generar capacidades de protección, búsqueda y recolección de información en el ciberespacio para el Batallón de Ciberinteligencia adscrito a la Brimi1 y para el Batallón de Contrainteligencia y Seguridad de la Información del Brcim2”. Según se lee en el documento de 56 páginas, comprar ese programa era necesario para “incrementar las capacidades de búsqueda (…) a través de medios técnicos, con el objetivo de generar accesos de información, con las cuales obtener inteligencia efectiva para el planeamiento y desarrollo de operaciones militares y de inteligencia”.

La plataforma, reza el documento, es una “suite de penetración” y “sus capacidades pueden ser implementadas en procesos de inteligencia y contrainteligencia militar”. La razón por la que esta compra se volvió un escándalo es porque, de acuerdo con testimonios divulgados por Semana, tanto inteligencia como contrainteligencia militar habrían usado el programa para espiar comunicaciones de personas que no eran blanco de investigación alguna —políticos, magistrados, generales y periodistas— y entregar la información recogida a terceros. La versión de las Fuerzas Militares es que el programa apenas llegó a Colombia el pasado 14 de diciembre y no se ha usado.

(Le puede interesar: Corte Suprema pide investigación "especial", tras denuncia de "chuzadas")

El Ejército escogió a un contratista para este negocio: Mollitiam Industries, una compañía española especializada en ciberinteligencia. Fue elegida porque, al tratarse de una contratación directa y catalogada como reservada, la entidad castrense analizó qué ofertas había en el mercado y encontró en Hombre Invisible su mejor opción. Mollitiam Industries era, en sus palabras, “la idónea para desarrollar el objeto del contrato, toda vez que fue la empresa que analizó, diseñó, desarrolló e implementó el software del Hombre Invisible, sistema requerido en el presente proceso”. “La tecnología Mollitiam Cyberintelligence es propia”, señala la misma organización en su página web.

Allí mismo, la empresa anuncia que lleva más de 15 años “desarrollando tecnología en el ámbito de la inteligencia” y que tiene “experiencia real en operaciones cibernéticas, en coordinación con cuerpos y fuerzas de seguridad del Estado”. Y citan al expresidente de Estados Unidos Barack Obama, con una frase que dijo en 2015, como confirma el portal de noticias estadounidense Vox: “No hay una línea clara entre lo defensivo y lo ofensivo”. El año pasado, Samuel Álvarez, cofundador de Mollitiam, dijo en una charla TEDx Talk: “Durante los últimos ocho o diez años, todo lo que ustedes han hecho en internet está guardado. ¿Han sido buenos? (…) Sepan que hay un rastro digital”.

(Lea también: Fiscalía investigará denuncias de “chuzadas” desde Inteligencia del Ejército)

Con esa misma premisa llegó el Hombre Invisible a manos del Ejército, aunque los estudios previos anunciaban que, si se quebraba la confidencialidad de esta transacción y se llegaban a conocer las especificaciones técnicas que pedía la Fuerza Pública colombiana, “se generaría alto riesgo de que estos datos sean conocidos por agentes amenazantes al Estado, lo cual conllevaría a que estos adopten contramedidas, dejando sin efectividad las funciones especiales de los equipos a recibir”. Su razón de ser bajo reserva indicaba que, si el tema se hacía público, “podría verse afectada la seguridad y defensa nacional”.

A Mollitiam, “madre” del programa Hombre Invisible, la escogieron para “prestar servicios de asistencia técnica, desarrollo de software, integración de sistemas, consultoría, formación, y desarrollo de herramientas en el ámbito cibernético, incluyendo la seguridad, el análisis de información, explotación de datos, interpretación, defensa y disciplinas relacionadas”. En el contrato con el que se pactó este acuerdo comercial quedó claro que el Ejército buscaba herramientas para “automatizar tareas de explotación y acciones predefinidas sobre activos de información adversarios, con muy bajas probabilidades de que el usuario afectado identifique que está siendo vulnerado”.

La información alrededor de este proceso licitatorio fue catalogada como ultrasecreta, pues, según los estudios previos, de conocer algún sospechoso sus detalles sería “posible para un rival generar herramientas para su protección, dejando inservibles los elementos que hoy solicitamos”. Era tanto el susto a que se filtraran datos de esta licitación que, a la larga, solo se invitó a Mollitiam a participar. “No es procedente invitar a más empresas a participar en el presente proceso de selección, con el fin de divulgar en lo mínimo posible las herramientas de ciberdefensa con las que cuenta el Ejército de Colombia y de esta manera no perder la efectividad de los elementos a contratar”.

(Le puede interesar: Chuzadas: el entrenamiento en “crackeo” de contraseña que pidió el Ejército)

Adquirir este software es apenas la ejecución de la primera fase del proyecto de ciberdefensa, que el Ejército empezó a estructurar desde 2011. Ese año, el Gobierno expidió el primer documento Conpes que apuntaba a trabajar en la ciberseguridad y ciberdefensa del país. En 2016, con el Conpes 3854, se creó la política nacional de seguridad criminal. Tres años más tarde llegó esta negociación, la cual incluyó que los bienes que se iban a comprar estaban exentos de IVA. Igualmente, “las fuerzas del orden y el poder judicial están habilitados legalmente para investigar y manejar casos de delincuencia cibernética”, se lee en esos estudios previos.

“El ciberespacio es el quinto dominio de la guerra. Los Estados, además de defenderse en tierra, mar, ríos y aire, ahora luchan contra los ataques cibernéticos”, reza el documento, en el que se lee también que el Ministerio de Defensa ha fortalecido las relaciones internacionales para que uniformados “se entrenen en países como Estonia y Estados Unidos”. Lo que se perseguía, finalmente, era “obtener inteligencia efectiva para el planeamiento y desarrollo de operaciones militares y de inteligencia por medio del ciberespacio”. Hace unos días, el nuevo comandante del Ejército les envió otro mensaje a sus hombres: “Dejen sus escritorios y vuelvan a consolidar la inteligencia humana”.

(Lea también: Un país chuzado: la historia de las "chuzadas" en Colombia)

Los estudios previos advierten que lo relacionado con Hombre Invisible debe mantenerse como ultrasecreto, pues la información del proceso contractual “podría afectar las relaciones diplomáticas con gobiernos extranjeros”. ¿Con cuáles? Fuentes cercanas a inteligencia militar aseguran que Venezuela podría ser uno de ellos. El Ejército asegura en ese documento que se sabe “que el enemigo cuenta con capacidades de inteligencia técnica y reversing” y, por ello, es “de vital importancia fortalecer las capacidades de obtención de inteligencia”. Pero, con el escándalo ya sobre la mesa, Hombre Invisible podría terminar acumulando polvo en los anaqueles de inteligencia militar.