La policía española obtuvo información de los servicios Wire, Proton y Apple que ayudaron a identificar al seudónimo «Xuxo Rondinaire», según documentos judiciales obtenidos por TechCrunch. La investigación está relacionada con un caso en el que las autoridades creen que un miembro del movimiento independentista catalán Tsunami Democrático estaba ayudando al grupo a planificar acciones o manifestaciones durante la visita del rey Felipe VI a Cataluña en 2020.
Proceso de identificación
A principios de este año, la Guardia Civil española envió solicitudes legales a través de la policía suiza a Wire y Proton, ambas con sede en Suiza. La Guardia Civil solicitó cualquier dato identificativo relacionado con las cuentas de las respectivas plataformas de ambas empresas.
Wire respondió proporcionando la dirección de correo electrónico utilizada para registrar la cuenta de Wire, que era una dirección de Protonmail. Proton respondió proporcionando el correo electrónico de recuperación para esa cuenta de Protonmail, que era una dirección de correo electrónico de iCloud.
Una vez que la Guardia Civil obtuvo la dirección de correo electrónico de iCloud, solicitó información a Apple, que a su vez proporcionó un nombre completo, dos direcciones particulares y una cuenta de Gmail vinculada.
Contexto legal
En la solicitud, que enumeraba «crimen organizado» y «terrorismo» como la naturaleza de la investigación, la policía española escribió que quería descubrir quiénes fueron los autores de los hechos que tuvieron lugar en los disturbios callejeros en Cataluña en 2019.
Funcionamiento de servicios cifrados
Los servicios en línea cifrados suelen tener como objetivo reducir la cantidad de datos de los usuarios a los que pueden acceder cifrándolos con claves que sólo el usuario tiene, evitando efectivamente que las empresas entreguen datos de los usuarios sujetos a una orden judicial. En cambio, la policía recurre a las empresas para obtener sus metadatos, como información identificable sobre el usuario, incluidas direcciones de correo electrónico.
Respuesta de Wire y Proton
Los portavoces de Wire y Proton confirmaron que recibieron solicitudes legales de la policía suiza y que las cumplieron. «A raíz de una solicitud formalmente correcta por parte de las autoridades suizas, Wire proporcionó información básica de la cuenta de un usuario. Wire no puede ver ni revelar el contenido de ningún dato transmitido a través de su servicio», dijo el portavoz de Wire.
El portavoz de Proton indicó que «Proton tiene información mínima del usuario, como lo ilustra el hecho de que en este caso fueron datos obtenidos de Apple los que supuestamente se utilizaron para identificar al sospechoso de terrorismo». Además, mencionó que «Proton no requiere una dirección de recuperación, pero en este caso el sospechoso añadió una por su cuenta. No podemos cifrar estos datos porque necesitamos poder enviar un correo electrónico a esa dirección si el sospechoso desea iniciar el proceso de recuperación».
Importancia de la OPSEC
Esta situación sirve como un recordatorio crítico de la importancia de mantener una estricta OPSEC (Seguridad Operativa). Siempre se debe estar consciente de las posibles vulnerabilidades que surgen al vincular información de recuperación o servicios secundarios que pueden no tener las mismas salvaguardas de privacidad que un servicio de correo electrónico cifrado primario.
Para los usuarios preocupados por la privacidad, particularmente aquellos involucrados en actividades sensibles o políticas, OPSEC debería ser una de las principales preocupaciones al utilizar herramientas de privacidad. Se recomienda:
- Evitar vincular correos electrónicos de recuperación o números de teléfono que puedan vincularse directamente con identidades personales o actividades comerciales principales.
- Considerar utilizar correos electrónicos secundarios y desechables o números de teléfono virtuales que ofrezcan una capa adicional de anonimato.
- Utilizar un buen servicio VPN para ocultar su dirección IP siempre que sea posible. No hacer esto es lo que comprometió a un usuario de Proton Mail en Francia que fue arrestado después de que la policía obtuviera registros de IP.
- Considerar comprar servicios utilizando un método de pago anónimo.
- Mantenerse informado sobre las obligaciones legales y políticas de los proveedores de servicios de comunicación, especialmente en lo que respecta a su cumplimiento de las solicitudes de cumplimiento de la ley internacional.
Si bien Proton Mail y servicios similares ofrecen protecciones sustanciales y cifrado de extremo a extremo en su plataforma de correo electrónico, no son inmunes a las presiones legales y gubernamentales. Los usuarios deben navegar con cuidado, equilibrando la necesidad de seguridad con las posibles obligaciones legales de sus proveedores de servicios.