Una antena barata y miles de secretos al descubierto

En un artículo de WIRED se presentan los resultados de una investigación de la universidad de California San Diego (UCSD) y la de Maryland (UMD) que descubrió que aproximadamente la mitad de las señales emitidas por satélites geoestacionarios -muchas de ellas utilizadas por gobiernos, empresas y consumidores- no están cifradas y pueden ser interceptadas con una antena relativamente barata.

Con menos de 800 dólares en equipo (una antena parabólica, un motor de posicionamiento y una tarjeta receptora), los investigadores captaron durante varios meses transmisiones desde una azotea en San Diego. Entre los datos recogidos se encontraban llamadas y mensajes de texto de usuarios de T-Mobile, datos de navegación WiFi de pasajeros de aerolíneas, comunicaciones de infraestructura crítica, intercambios de las fuerzas armadas y de seguridad de México y Estados Unidos, así como tráfico de telecomunicaciones de empresas como Telmex y AT&T.

Aunque entre expertos esto ya se sabía, lo importante acá es que con sus hallazgos el estudio demuestra que la transmisión sin cifrado de datos por satélite representa un grave riesgo para la privacidad personal, la seguridad corporativa y la seguridad nacional.

Dado el interés público del tema, resalto también que después de identificar las vulnerabilidades, los investigadores realizaron la divulgación responsable. Es decir, antes de hablar públicamente del tema notificaron a las empresas involucradas y esperaron un tiempo prudencial para que resolvieran los problemas. El artículo indica que algunas empresas, como T-Mobile, respondieron y comenzaron a cifrar sus transmisiones; muchas otras, sin embargo, no han tomado medidas aún.

La falta de acción, sumada a la estimación de que sólo analizaron el 15 % de las señales satelitales globales, sugiere que el problema es amplio y preocupante, especialmente en regiones como América Latina, donde se combina con otras condiciones estructurales de vulnerabilidad.

En la región buena parte de las redes de energía, transporte, seguridad y comunicaciones rurales dependen de enlaces satelitales.

Esto significa que operadores de telecomunicaciones, bancos o sistemas de salud que manejan información personal o financiera podrían estar transmitiendo sin cifrado. No se trata sólo de llamadas: también quedan expuestos mensajes, historiales médicos, datos de geolocalización y credenciales de acceso.

Si incluso las comunicaciones de las fuerzas de seguridad de Estados Unidos estaban expuestas, ¿qué puede esperarse en este lado del hemisferio? La investigación muestra que, con menos de mil dólares, cualquiera podría acceder a información sensible sobre rutinas, órdenes de operación y otros datos delicados.

A esto se suma que la mayoría de los satélites utilizados por gobiernos y empresas latinoamericanas pertenecen a operadores estadounidenses o europeos, lo que plantea un interrogante sobre la capacidad real de la región para ejercer control técnico y jurídico sobre los sistemas de cifrado. En la práctica, la investigación confirma que la dependencia tecnológica limita las posibilidades de los gobiernos para enfrentar el problema; y, al tratarse de servicios extranjeros, las normas aplicables suelen ser las del país de origen del satélite, no las de la nación usuaria.

La creciente intermediación de empresas privadas en servicios esenciales del Estado tiene consecuencias como esta, cada vez más visibles. Quizás ha llegado el momento de discutir una regulación de seguridad satelital regional, basada en estándares técnicos comunes que incluyan el cifrado obligatorio y mecanismos internacionales de auditoría de seguridad espacial. ¿Saben si algo de esto ya se está haciendo?