En julio y agosto pasados, la PDI entró a las oficinas del grupo Penta. Los detectives estaban investigando un delito tributario de grandes proporciones y requisaron los computadores de los ejecutivos Hugo Bravo, Marcos Castro y Horacio Peña, y después los de los socios controladores, Carlos Alberto Délano y Carlos Eugenio Lavín.

A través de búsquedas de palabras claves como “boletas” y “honorarios” en los discos duros y cuentas de correo, el fiscal Carlos Gajardo se encontró comunicaciones entre los altos mandos de la empresa y políticos que solicitaban financiamiento para sus campañas. La primera alerta la había dado el senador Iván Moreira, quien a pocos días de destaparse el escándalo tributario solicitó al jefe de informática del Congreso el acceso a su antigua cuenta de correos (la que ocupaba como diputado).

La publicación definitiva de los correos del parlamentario de la UDI muestra encabezados como “Me tienes castigado, Hugo?”, “Para los 1.000 metros finales, queda algún cupón de combustible?” o “Tú crees que se pueda un raspado de la olla para los últimos 100 m de campaña?”. Los mensajes estaban dirigidos al gerente general del holding y con todo el texto desplegado en el “asunto” del mismo.

A los correos de Moreira se sumaron correos electrónicos de Ena Von Baer, Felipe Kast, Pablo Zalaquett, entre otros, así como secretarias y jefes de campaña ligados a otros candidatos. Algunos más comprometedores que otros, unos pidiendo plata, otros confirmando envíos de boletas. Todo por escrito, suponiendo reserva. A estas alturas, los conoce todo Chile.

Rastreo

Existen dos formas de acceder a un correo electrónico. La que ha operado en el Caso Penta tiene que ver con la incautación de equipos y las pericias forenses en el marco de una investigación judicial cuando se consideran medios de prueba importantes. La otra tiene que ver con el temido hackeo de una cuenta.

Vamos con la primera. “Los mails se consideran siempre conversaciones privadas y sólo se puede acceder a ellas cuando existe la orden de un juez. Cuando un proceso judicial así lo determina, sus contenidos pueden hacerse públicos”, parte por aclarar el subcomisario del Cibercrimen Andrés Godoy. Un fiscal puede pedir la incautación de un equipo si determina que en él puede existir información trascendente para su investigación. Así lo establece el artículo 217 del Código Procesal Penal. Y si dentro de esa investigación se determina que hay comunicaciones importantes con terceros, también pueden requisarse los equipos de esas personas.

Cuando alguien está siendo investigado y teme que algo sea comprometedor, es bastante probable que intente borrar los correos. Sin embargo, eso puede no ser suficiente. Este tipo de correspondencia posee una característica llamada “trazabilidad” y que se refiere a los rastros que va dejando en su camino. “Un email generalmente hace el siguiente recorrido: parte del dispositivo de origen (PC, tablet, smartphone) hacia el servidor/servicio del que envía, el servidor lo procesa y lo envía al servidor de destino (uno o varios) que lo almacena para que el destinario lo pueda leer. El correo se almacena en el dispositivo de envío (uno o más), en el servidor de envío, en el servidor de destino (y otros en el medio)  y en el dispositivo del destinatario, que también puede ser uno o más. Para borrar realmente un correo hay que hacerlo en todos esos lugares”, asegura Christian Linacre, un chileno instalado en Seatle que lleva años trabajando temas de seguridad para Microsoft.

La clave parece estar en obtener el equipo desde el cual salió o al que llegó el correo, lo que explica por qué son incautados. Así lo describe el experto de Microsoft: “En general, de un correo es posible trazar a su dueño, a qué hora se envió y desde dónde”. Ya sea privado, de una oficina o de un cibercafé, una vez que se determina su origen, existen pericias forenses que permiten obtener información, porque siempre quedan trazas en el computador.

Hackeo

A diferencia de lo que ocurre cuando hay un rastreo judicial, esto tiene que ver con la entrada forzada a un sistema, en este caso una cuenta de email. En general, los servicios de empresas como Outlook, Gmail, Hotmail o Yahoo son bastante seguros, básicamente porque operan sobre plataformas y servidores enormes, distribuidos en diferentes partes del mundo y a los que es muy difícil acceder. Google, por ejemplo, usa un protocolo que encripta el 77 por ciento de los correos enviados a través de su servidor y el 55 por ciento de los recibidos. Es decir, en el camino que recorre un mensaje el sistema va codificándolo para que sea más difícil de comprender en caso de ser intervenido.

“Habitualmente cuando hablamos de hackeo lo que se compromete es la contraseña del usuario, que puede ser fácil de adivinar. Los correos web son en términos generales bastante seguros, pero eso no significa que sea recomendable poner información confidencial en uno de ellos. La mejor forma de tratar un correo es pensar si lo que uno está escribiendo estaría dispuesto a decirlo en forma abierta al público”, explica Christian Linacre.

El hecho de que cueste más ingresar a este tipo de servidores también puede dificultar el trabajo policial y judicial, por ejemplo cuando  la PDI necesita investigar denuncias por amenaza o de pornografía infantil. “Se hace mucho más complicado identificar correos que provengan de este tipo de servicios por un tema de volumen, distribución y ubicación se servidores. Además, si buscamos cierto contenido específico es muy probable que no nos den esos datos porque están regidos por leyes locales, lo que dificulta la investigación”, explica el subcomisario Godoy.

Distinto es el caso cuando hablamos de correos corporativos, de empresas, que generalmente funcionan con servidores propios y que tienen menor inversión en seguridad. Una muestra de esta vulnerabilidad es que un trabajador de una oficina que ha perdido la información de su computador o ha borrado un email puede pedirle al encargado de soporte de su empresa que la restituya. Eso es posible porque la información se almacena en los servidores propios, a los que es mucho más fáciles de entrar que uno web.

Víctimas de hackeos hay millones, desde celebridades que han debido ver sus fotos íntimas expuestas en la web hasta gigantes como Sony, cuyos servidores fueron atacados por un grupo de hackers en venganza por la realización de la película The Interview, que parodia al líder de Corea del Norte, Kim Jong-un. Entraron a sus servidores y, entre otras cosas, filtraron películas o datos financieros, pero también correos electrónicos en los que ejecutivos se reían del presidente Obama o revelaban que a la actriz Jennifer Lawrence le iban a pagar menos que a sus pares hombres en la película American Hustle.

Este artículo se autodestruirá

Una prueba de que mantener la confidencialidad de los intercambios es un tema que preocupa a más gente es la aparición y crecimiento de servicios de correos “desechables”, como 10 Minutes Mail, Air Mail o YOPmail, que eliminan los mensajes después de un determinado plazo de tiempo como en la película Misión imposible. Pero estas cuentas están pensadas en evitar el spam y en su uso para registrarse en sitios públicos, concursos y promociones, porque se trata de sistemas abiertos en que cualquiera que haya registrado la dirección puede acceder al correo el tiempo que este esté disponible. “Y si se tiene el equipo desde donde se envió, de igual forma se puede obtener información”, dice el subcomisario Godoy.

Otra vez las trazas

Entonces, ¿se puede resguardar de algún modo la confidencialidad? Desde el punto de vista técnico, lo que hacen quienes quieren minimizar el riesgo de que sus correos se filtren es cifrar el mensaje con un certificado digital. Este es un producto que permite que los documentos sólo puedan ser leídos por destinatarios previamente autorizados. Para eso asume que el canal de comunicación es inseguro y modifica el lenguaje de tal modo de que si alguien lo captura no pueda entenderlo… algo así como hablar por un teléfono público, donde todos puedan oír, pero hacerlo en un lenguaje que sólo los interlocutores conocen. Sin embargo, hay ciertas máximas que ni la mayor de las tecnologías podrá dejar en el pasado: cada uno es esclavo de sus palabras. Y eso vale si las dice, pero sobre todo, si las escribe.