Ricardo Andrés Carvajal está siendo acusado como cómplice del atentado del ELN a la Escuela de cadetes General Santander, en el sur de Bogotá. La principal evidencia en su contra es una llamada en la que Carvajal le dice a su interlocutor (que estaba chuzado por la Fiscalía): “Pues no ve que pusimos la bomba en el General Santander y tocó venir a encaletarnos, gonorrea”. Así, para la Fiscalía, Carvajal manifestó su participación en el hecho. Desde que fue presentado a la justicia, Carvajal ha negado ser culpable. Asegura, como contó Noticias Uno este fin de semana, que la conversación fue una broma. Aún así, un juez consideró que las pruebas presentadas eran suficientes para enviarlo a prisión mientras afronta el juicio. Más allá de que la justicia pueda demostrar que Carvajal es culpable o no, este caso abre dos grandes preguntas que no nos hemos hecho hasta ahora. ¿Cómo y de qué manera la Fiscalía obtuvo esta grabación? Esto es clave porque en una investigación judicial es más importante la procedencia que el contenido. Y por otro lado, ¿qué tanto acceso tiene la Fiscalía e Inteligencia de las Fuerzas Armadas a nuestras comunicaciones privadas y nuestra información? La respuesta preocupa: podrían tener mucho más acceso del que creemos.
Las comunicaciones privadas tienen protección constitucional. Esto significa que todas las comunicaciones están protegidas excepto en los casos en los que se permita, por medio de una ley y con control judicial, el acceso a esas comunicaciones (Art. 15 Constitución). La Fiscalía, a través del CTI, es una de las autoridades que puede “meterse” en las comunicaciones de las personas únicamente para encontrar pruebas de un delito (Art. 250 Constitución).
Pero no todas las formas de acceso a la información son iguales. Es posible que una autoridad abuse de las facultades que le reconocen la Constitución y la ley. Por eso es importante distinguir entre el acceso a un dispositivo, como un celular o un computador, y el acceso a un servicio de comunicaciones, como una llamada de celular o un mensaje de WhatsApp.
Empecemos con lo segundo. La Fiscalía puede acceder a las llamadas de celular a través de un sistema conocido como Esperanza. Una forma de entender lo que se permite en estos casos (Art. 235 del Código de Procedimiento Penal) es que la Fiscalía debe contar con la colaboración de las empresas de telefonía celular y pedir, caso por caso, el acceso a las comunicaciones de un número en particular y por un tiempo determinado en la ley. Pero aunque existe este procedimiento legal, la Fiscalía de todas formas tiene acceso directo a las redes de telefonía móvil. Es decir, puede interceptar cualquier llamada de celular cuando quiera sin que se enteren las empresas de telefonía.
El acceso directo a las redes de telefonía, si estuviera ocurriendo en el país, es problemático porque elimina una garantía adicional y es la colaboración con las empresas de telefonía. La ley obliga a que cualquier interceptación se realice en el marco de una investigación penal y para recoger pruebas de un delito, pero en la práctica no hay mayores garantías de que el uso de los sistemas de interceptación sea siempre legal. La Fiscalía no produce ningún tipo de reporte sobre la cantidad de veces que han interceptado líneas, las legalizaciones de esas grabaciones ante los jueces ni el uso de esas pruebas en procesos penales. Además, no sabemos en cuántos casos se abusa de las interceptaciones y se vulnera la privacidad de una persona al acceder a sus llamadas por razones distintas a la investigación de un delito. Los casos de abuso sólo se han conocido gracias al periodismo de investigación, por demás arriesgado, como las chuzadas del DAS. La ciudadanía no tiene hoy ninguna herramienta para auditar las interceptaciones que hace la Fiscalía, lo que agudiza el problema de la falta de confianza en la entidad.
Las llamadas y mensajes de texto y audio de WhatsApp son diferentes. Estos mensajes no viajan a través de la red de celulares como una llamada tradicional sino que viajan a través de internet. Están, además, cifradas, lo que quiere decir que están protegidas para que quien pueda interceptar el mensaje no pueda leerlo. Esto lejos de ser un obstáculo, es una protección necesaria para garantizar la privacidad de las comunicaciones. De hecho, el cifrado es la piedra angular del comercio electrónico y la banca en línea. ¿Cómo podría acceder la Fiscalía a un mensaje de WhatsApp? O la Fiscalía puede interceptar un mensaje y descifrarlo, con lo que la investigación en Colombia habría encontrado la forma de superar métodos de cifrado usados en todo el mundo (AES256, SHA256). O han encontrado otra forma de acceder a las comunicaciones de una persona sin descifrar los mensajes.
Aunque cada día surgen nuevas formas de romper los sistemas de seguridad digital, una de las posibilidades es bastante preocupante. Se trata de que la Fiscalía (o cualquier autoridad) pueda tomar control de un celular o computador y conocer desde allí los mensajes, no sólo de WhatsApp, sino de cualquier otra aplicación, de las fotos y demás archivos almacenados.
En 2015 se conoció que la empresa italiana Hacking Team había tenido acercamientos con la Policía Nacional para proveer un sistema con capacidad para comprometer celulares o computadores y acceder a toda la información que contienen. Aún cuando la Fiscalía tenga en su poder un dispositivo producto de un allanamiento, por ejemplo, si el aparato está bloqueado por una clave, ¿cómo puede superar estas protecciones tecnológicas? Hasta donde sabemos, a ninguna autoridad le ha parecido problemático encontrar un celular bloqueado. A diferencia de lo que ocurrió en Estados Unidos, en Colombia nunca ha sido llevado a debate público el problema del cifrado de computadores y celulares, lo que significa que consiguen que la persona investigada voluntariamente desbloquee los equipos, que no usan nunca este tipo de pruebas o que los logran desbloquear a la fuerza.
El problema es que no hay una ley que autorice a la Fiscalía (o cualquier otra entidad) superar a la fuerza las seguridades de un celular o un computador. Como no hay reglas para esto, no es una actividad que la Fiscalía pueda hacer libremente, pero además, no hay garantías de que se respete la intimidad y otros derechos fundamentales cuando se hacen estos ‘hackeos’. ¿Cómo sabemos que sólo se accede a los archivos necesarios para la investigación? ¿Cómo puede distinguirse entre controlar un dispositivo y simplemente recuperar los archivos que hay en él? ¿Cómo valoran los jueces si un hackeo se hizo de forma legal y por tanto, autorizan usar la prueba obtenida de esto en un proceso penal?
Tenemos que creerle a la Fiscalía que está siguiendo las reglas, pero no tenemos las mejores herramientas para comprobarlo. Volviendo al caso de Ricardo Andrés Carvajal: ¿cómo llegaron a él? Aquí partimos más de supuestos que de respuestas, porque el procedimiento de estos entes no los conocemos y posiblemente no los conoceremos. Aunque existe una fotografía y unos videos de Carvajal entrando y saliendo de la bodega en la que se encontraba el vehículo: ¿Cómo identifican quién es? ¿Qué tipo de registros usan para reconocer su imagen? Si la Fiscalía no puede acceder directamente a las comunicaciones celulares, ¿acaso solicitaron el permiso al proveedor del celular de José Aldemar Rojas, que ha sido identificado como el autor material del atentado? ¿Si legalmente accedieron a los datos del proveedor de Rojas cómo establecieron que debía ser Carvajal el cómplice?, ¿por el número de llamadas cruzadas? ¿Hay una posibilidad de que las autoridades tuvieran indicios de su planeación con anterioridad? Entre las diez de la mañana del día del atentado y las dos de la mañana del día siguiente, hicieron todo este procedimiento, accedieron a todas estas bases de datos, determinaron la identidad y culpabilidad de Carvajal y consiguieron lo necesario para proceder con su captura. Según lo que se conoce del procedimiento regular de este proceso, hay una serie de preguntas que la Fiscalía todavía no ha respondido. En estos casos la procedencia de las pruebas debe ser igual o más importante que el contenido.
Es válido formular estas preguntas porque más allá de la atrocidad de todo tipo de ataques a los que estamos sometidos en Colombia, las autoridades legales tienen el deber de proteger los derechos fundamentales de todas las personas, aún cuando se hace una investigación penal por un hecho tan grave y lamentable como el ocurrido en la Escuela General Santander. Las garantías de protección de nuestros derechos y los derechos mismos no son obstáculos para las autoridades sino son justamente aquello que deben defender.
