Todo sobre Cellebrite, el nuevo software con el que Hacienda te va a espiar

Cellebrite Pathfinder, más conocido como «Cellebrite», se trata de un software de origen israelí diseñado para poder acceder a todos los datos de cualquier ciudadano sin dejar rastro de ello. El Gobierno español ha comprado una licencia (a falta de detallar, seguramente válida por un año) de este software usando, por supuesto, los impuestos de todos los ciudadanos por la friolera de 260.000 euros. Además de Hacienda, también se aprovecharán de este software otros organismos del Estado, como la Policía Nacional o la Guardia Civil, entre otros.

Qué es Cellebrite

Pero, ¿qué es exactamente Cellebrite? Se trata de una suite de herramientas para recopilar, revisar, analizar y gestionar datos. Estas herramientas han sido diseñadas, sobre todo, para su uso dentro de fuerzas del orden federales, estatales y locales, por lo que no es una herramienta a la que cualquiera pueda acceder.

Indagando dentro de la web de Cellebrite, podemos ver que la empresa se dedica especialmente a acceder a los dispositivos móviles de cualquier persona y sacar de ellos toda la información que se quiera. Para ello hace uso de distintas técnicas como, por ejemplo, el clonado completo de los datos, así como su posterior acceso mediante fuerza bruta o a través de algún exploit.

Hacienda ha comprado el paquete «Cellebrite Pathfinder», la opción más completa de este software. Además del acceso y el clonado de los dispositivos que ofrece «Cellebrite», con «Pathfinder» lo que consigue es tener a su alcance una IA capaz de analizar, cribar y organizar toda esta información para poder leerla y entenderla fácilmente. Entre otras cosas, lo que puede hacer Hacienda con esta suite es:

• Organizar datos completos (textos, mensajes, documentos, fotos, vídeos) para verlos de forma intuitiva.
• Combinar huellas digitales correlacionando indicadores de múltiples aplicaciones para identificar a una persona.
• Obtener toda la información técnica de un equipo, como navegadores, aplicaciones, antenas y puntos de acceso Wi-Fi cercanos.
• Acceder a todas las conversaciones (texto, llamadas, etc) que se han tenido en un momento concreto.
• Revisar cualquier tipo de datos.
• Detectar patrones de ubicaciones usando mapas de lugares visitados, ubicaciones inusuales, etc.
• Agilizar los procesos de análisis de dispositivos.
• Crear informes completos para ceder a terceros.

Como podemos ver, muchas de las funciones que ofrece están pensadas para Cuerpos y Fuerzas de Seguridad del Estado. Pero algunas pueden ser (y, de hecho, serán) usadas por Hacienda para controlar a los ciudadanos. Por ejemplo, podrá acceder a las conexiones de nuestra tarjeta SIM para saber si estamos, o no, en España.

Cellebrite vs Pegasus

Con todo lo anterior, podemos pensar que se trata de un spyware tan completo como Pegasus, un software espía que ha estado espiando a una gran cantidad de dirigentes políticos, incluido el propio Presidente del Gobierno.

Pero, en realidad, se trata de software diferente. Mientras que Pegasus es, claramente, un malware que se instaló en los dispositivos móviles para recoger toda la información y mandarla a un servidor externo, con Cellebrite estamos ante una herramienta forense que analiza los datos que ya existen, pero no extrae datos a un servidor externo. Al menos, en teoría.

Cómo protegernos de Hacienda y su Pathfinder

Los expertos de seguridad recomiendan que, si tenemos un teléfono Android, optemos por instalar una ROM personalizada centrada en la privacidad como es el caso de Graphene OS. Pero, como esto no es posible siempre, hay otras formas de protegernos.

Lo primero que debemos hacer es cifrar nuestro smartphone para complicar el acceso a los datos. Aunque hoy en día prácticamente todos los dispositivos lo hacen, cabe destacar que, si queremos que los datos estén realmente seguros dentro de él, tenemos que usar una contraseña buena, larga y segura para evitar acceder al dispositivo. Nada de usar un PIN. Tiene que ser una contraseña de, al menos, 12 caracteres, mezclando mayúsculas, minúsculas, números y símbolos.

Otra forma de evitar que puedan acceder a todos nuestros datos es no llevarlos nunca dentro del propio teléfono. Es decir, lo ideal es tener una nube personal (en un NAS, por ejemplo), el cual se encuentre en nuestra casa o nuestra oficina. Y acceder a todos estos datos a través de Internet, sin guardar nada dentro del dispositivo. Por supuesto, el NAS debe estar correctamente cifrado y protegido. Y también es recomendable que, para que no se asocie nada con nosotros, el móvil esté a nombre de otra persona.

Además, siempre que no sea estrictamente necesario, lo mejor es apagar el móvil por completo. Así es como los datos están cifrados al 100% y es imposible que accedan a ellos si no es mediante una puerta trasera o un exploit.

¿Corremos peligro realmente?

Lo primero que queremos dejar claro (otra vez) es que Cellebrite no es un software espía como puede ser Pegasus. Esto quiere decir que no vamos a ser un objetivo de Hacienda, ni de los Cuerpos y Fuerzas de Seguridad del Estado, nos van a estar espiando en secreto.

Sin embargo, lo que sí van a poder hacer es pedirnos (o requisarnos) nuestro teléfono móvil. Y ya, con él en su poder, sí podrían acceder a todos estos datos. Esto es lo que hace Cellebrite, aprovecharse de vulnerabilidades para poder acceder a los datos dentro de un dispositivo bloqueado o cifrado.

Entonces, ¿debemos preocuparnos? Para Hacienda sería imposible controlar al 100% de los ciudadanos usando este método, entre otras cosas, porque las unidades que ha comprado de este software son limitadas. Por lo tanto, lo más probable es que solo vaya a por objetivos relevantes donde haya unas altas cantidades de dinero en juego. Pero eso no quiere decir que vaya a dejar pasar la oportunidad, si la tiene, de atacar también al ciudadano medio. Por ello, os recomendamos aplicar las medidas de seguridad anteriores y protegeros, de la mejor manera posible, de las garras del Estado.