El Centro Nacional de Inteligencia (CNI) contrata al menos desde 2010 los servicios de una empresa italiana de seguridad informática para adquirir sofisticado material con el que realizar espionaje en las telecomunicaciones. La información ha quedado al descubierto como consecuencia del ataque perpetrado en las últimas horas por un grupo de hackers contra la empresa Hacking Team, con sede en Milán, al que el CNI habría abonado cientos de miles de euros por sus servicios en los últimos cinco años.
Entre los servicios adquiridos por el CNI a Hacking Team figura una herramienta por la que poder penetrar en terminales móviles y ordenadores con distintos sistemas operativos: IOS y Mac OSX –ambos de Apple–, Windows –Mobile, XP y Vista–, Android, Blackberry y Symbian. Según explicó a eldiario.es el investigador Narseo Vallina-Rodríguez, la empresa facilita el sistema con el que explotar las vulnerabilidades de esos sistemas, de tal forma que, antes de que las los fabricantes de dispositivos y sistemas operativos tapen el agujero o actualicen la versión, el cliente puede colarse y obtener la información perseguida, ya sean llamadas, chats, imágenes, geolocalización, grabaciones por micrófono o contraseña, entre otras.
Antes, el servicio de Inteligencia debería colocar cebos en la Red –archivos PDF, banners o enlaces– para que el usuario del que se quiere obtener la información pinche en ellos y abra la puerta al sistema de espionaje. Para Vallina-Rodríguez, que trabaja en el International Computer Science Institute, un centro asociado a la Universidad de Berkeley, este tipo de herramientas no difere en exceso de los conocidos como virus troyanos.
La pirueta de los hackers que han atacado la firma italiana pasa por haber publicado los datos secretos desde la propia cuenta de Twitter de Hacking Team. Durante la noche del domingo al lunes 6 de julio la cuenta de la empresa @hackginteam empezó a publicar extraños mensajes, iniciados por un tuit en el que se indicaba: “Al no tener nada que esconder, estamos publicando todos nuestros correos electrónicos, archivos y código fuente”. A continuación, se mostraban dos enlaces a archivos torrents para descargar más de 400GB de datos. El nombre de la empresa en Twitter se cambió por “Hacked Team”, como mofa a la empresa: de equipo hackeador pasaban a ser equipo hackeado.
eldiario.es se puso en contacto con el Centro Nacional de Inteligencia, que enmarcó la documentación filtrada de Hacking Team en la “relación contractual” que mantiene con distintas empresas, entre ellas la firma italiana. Un portavoz del CNI aseguró que se trata de contratos firmados de acuerdo a la Ley de Contratos del Sector Público y que pueden ser explicados ante los órganos de control del gasto público, como el Tribunal de Cuentas. Los fondos empleados, añadió, son parte del presupuesto del centro para inversión y no salen de los fondos reservados.
El investigador Vallina-Rodríguez destaca que los servicios de Inteligencia que contratan con Hacking Team lo hacen para obtener herramientas “ofensivas”, es decir, de obtención de información, mientras que otro grupo de empresas, principalmente bancos, lo hacen de productos “defensivos”. Entre los datos filtrados a lo largo del lunes se mencionaba a la Policía española como otro de los clientes de Hacking Team, aunque eldiario.es no pudo obtener, al cierre de esta edición, documentos que detallen la vinculación del Cuerpo con la empresa hackeada. Hacking Team tampoco ofreció respuestas acerca de este incidente.
En cuanto a las facturas de Hacking Team con el CNI aparecen varias por la citada herramienta para la infiltración con sus correspondientes cargos por mantenimiento, los Sistemas de Control Remoto (RCS, en sus siglas en inglés) y sus módulos de adaptación a los diferentes sistemas operativos. Por ejemplo, 31 de diciembre de 2010, la empresa italiana carga al CNI servicios por valor de 17.500, 52.000 y 72.000 euros en estos conceptos. Dos meses antes, en octubre, Hacking Team factura al CNI 67.500 euros por Asistencia Técnica y de Mantenimiento y licencias de RCS móvil en exclusiva para el sistema operativo Android.
A finales de 2010 hay una oferta para vender una vulnerabilidad de tipo Zero Day por 48.000 euros. Esta herramienta es la que busca el agujero en el sistema para lanzar el ataque en el 'Día Cero', como se conoce al momento en el que la empresa de la que depende el sistema operativo desconoce esa vulnerabilidad. En la misma oferta, se incluye por 24.000 euros una actualizacion para módulos de actualización distintos de Windows. Cabe destacar que en esta oferta, la empresa italiana envía al CNI documentación que acredita que está al tanto del pago a sus trabajadores y que se encuentra en paz con el fisco italiano, así como la existencia de una auditoría a cargo de PwC.
Quiénes son y qué hace Hacking Team
Según la web de la empresa su principal misión es la de ofrecer soluciones ofensivas para la investigación cibernética, o lo que es lo mismo, aplicaciones que permiten acceder a ordenadores y conexiones de otras personas para gobiernos y sus agencias de seguridad, sobre todo soluciones spyware capaz de tomar el control de un equipo.
Según investigó en 2013 The Verge, todo empezó con dos hackers llamados Alberto Ornaghi (ALoR) y Marco Valleri (NaGA) que publicaron Ettercap, una solución de código abierto que permitía interceptar datos de redes o inyectar datos en conexiones activas. La empresa se fundó en 2003 añadiendo a Valeriano Badeschi y David Vincenzetti según la información oficial de la compañía, dos expertos en seguridad que lograron en 2007 una inyección de capital importante por parte dos inversores de capital de riesgo italianos. Desde entonces han logrado una cartera de clientes muy importante, destacando gobiernos y cuerpos de seguridad de primeras potencias.
En la actualidad la solución “Da Vinci” se da a conocer como una aplicación de control remoto capaz de romper cifrados y permitir a cuerpos y agencias de seguridad monitorear archivos, correos electrónicos cifrados, incluso con PGP; aunque esta tecnología de cifrado por ahora se ha demostrado segura. También se comenta que su software sería capaz de leer conversaciones de WhatsApp, según las investigaciones de Forbes. Esta herramienta permite a cuerpos de seguridad coleccionar más datos que otros programas conocidos como PRISM de la NSA, aunque según Hacking Team nunca venderían este software a países en la lista negra de las Naciones Unidas.
El grupo o individuo todavía no identificado accedió a los sistemas de Hacking Team, robando información sensible como correos electrónicos, información financiera y código fuente de sus aplicaciones. Según los tuits publicados en su cuenta oficial de Twitter que ya han sido eliminados, parece una respuesta al vender software spyware a países que han sido declarados por Naciones Unidas como opresores contra periodistas o los derechos humanos, como es el caso de Etiopía o Kazajistán, tal y como adelantó The Intercept en octubre de 2014.
La información que implicaba a la empresa italiana Hacking Team vendiendo software spyware a gobiernos como Etiopía fue rápidamente desmentida por el CEO de la empresa. Otros medios como Citizen Lab de la Universidad de Toronto, demostraron que el gobierno de Etiopía estaba atacando a periodistas etíopes con soluciones spyware de Hacking Team.
La empresa nunca ha dudado de dar a conocer al mundo sus herramientas. En un vídeo promocional de su aplicación Galileo, muestran las capacidades de interceptación de información para todos los sistemas operativos, tanto de escritorio como móviles existentes, y para saltarse sistemas de cifrado.
En un documento de los archivos disponibles a todo el mundo existe un listado de clientes, que aún no ha podido ser verificado en su totalidad. En esta lista se encuentran organizaciones y empresas de todo el mundo, desde democracias occidentales a regímenes dictatoriales de todos los continentes. Así, aparecen Chile, Estados Unidos, Australia, Polonia, Alemania, Italia, Corea del Sur y Rusia, junto a otros como Etiopía, Bahrein, Arabia Saudí, Malasia o Azerbaiyan.