¿Cómo se puede ser investigado, allanado, esposado y detenido sin haber cometido delito alguno (ni tener relación alguna con delincuentes)? En la Argentina parece ser bastante fácil. A continuación, la historia de cómo me pasó a mí gracias a la Policía Federal Argentina bajo las órdenes de Patricia Bullrich.

La excusa

El 12 de agosto de 2019 apareció una cuenta de Twitter llamada @lagorraleaks difundiendo una supuesta filtración de datos de la Policía Federal Argentina (que luego fue confirmada y hasta un medio logró entrevistar al autor). El supuesto hacker autor de la filtración creó además un canal de Telegram —al que se sumaron más de 300 personas— para ayudar a la difusión. Los datos —más de 700 Gb, aparentemente provenientes de la Superintendencia de Bienestar de la PFA— fueron colocados en un sitio .onion de la red Tor.

Al conocerse la noticia, me expresé públicamente a través de un hilo de Twitter poniendo de manifiesto la gravedad del hecho, recomendando no tratar de acceder ni descargar el material filtrado, y haciendo notar la similitud con el hecho acontecido en enero de 2017, cuando se produjo otra filtración de datos de la misma fuerza policial. En aquella oportunidad, no sólo el hecho fue encubierto —apareciendo en los medios como solamente el hackeo de la cuenta de Twitter de la por entonces ministra Patricia Bullrich—, sino que la policía intentó incriminarme (sin éxito, afortunadamente).

La Policía Federal Argentina acudió a la Justicia y realizó una denuncia realmente increíble: que los datos filtrados habían sido obtenidos del Google Drive de 3 cuentas de Gmail usadas por la Superintendencia de Drogas de la Policía Federal.

Supuesto phishing

La maniobra supuestamente utilizada es conocida como «phishing» enviar un e-mail conteniendo un enlace a una página que se asemeje al login (inicio de sesión) de algún sistema que el destinatario utilice usualmente, para que el desprevenido crea encontrarse ante la original, e introduzca su nombre de usuario y contraseña. Ahora… ¿adónde estaba ubicado el programa que simulaba el login falso? Según la denuncia de la propia Policía Federal, en un servidor de su Superintendencia de Bienestar.

O sea que, según la Policía Federal Argentina, un hacker realizó un ataque de phishing para lograr acceso a 2 cuentas de Gmail de la Superintendencia de Drogas para así llegar a su Google Drive (¿700 Gb en 2 cuentas de Google Drive?) y hacerse de información de la Superintendencia de Bienestar, a cuyos servidores ya tenían acceso —¡hasta de escritura!—, dado que es en ellos donde colocó el programa malicioso que robaba las contraseñas. Sólo un juez federal argentino puede creer semejante cosa.

Cómo sea, no es mi objetivo en este texto descubrir cuál fue el motivo que llevó a la policía a inventar una denuncia ridícula —muy probablemente para encubrir una filtración interna producto de algún «pase de facturas» entre integrantes de la fuerza— sino relatar la parte que me tocó en suerte. Del resto deberían encargarse la Justicia y el Ministerio de Seguridad.

Los sospechosos de siempre

Y para aprovechar el ataque de creatividad, los agentes policiales también aventuraron quiénes podrían haber sido los responsables: los que realizaron la filtración de 2017. Y poco les importó que ese hecho aún no hubiera sido esclarecido: hay 2 procesados, con pruebas casi tan ridículas como la denuncia antedicha, que esperan la sustanciación del juicio. Pero un hecho jamás detiene la inventiva de la policía.

No solamente la Justicia aún no comprobó «la autoría de los autores» de lo ocurrido en 2017, sino que además yo nunca fui ni siquiera imputado en la misma. Pero unas fojas más adelante en el expediente, la Policía Federal da una buena pista de por qué se les ocurrió culparme de ese hecho e involucrarme como sospechoso de esta nueva filtración.

¿A qué viene la alusión a mi actividad sobre (contra) el voto electrónico? Se ve que, sin querer, los policías van aclarando la cosa. No es cierto que haya sido «de los primeros en publicar sobre las filtraciones» (mis tweets llegaron luego de que varios periodistas se hicieran eco del tema), pero sí es cierto lo que dicen respecto a la causa de 2017: me presenté voluntariamente aportando prueba, y luego fui citado como testigo por el juez.

La «investigación»

Nadie en el juzgado se molestó en golpear la puerta de al lado para verificar la acusación de la Policía Federal, y además le dieron la facultad de realizar «amplias tareas investigativas» (una especie de vía libre). Sí, la Justicia dispuso que los damnificados y denunciantes fueran, además, los que llevaran adelante la investigación. Total normalidad.

La primera medida llevada adelante por los uniformados fue hurgar en las redes sociales. A esto le llaman «ciberpatrullaje» (no es broma, hasta tienen una División de Ciberpatrullaje que se dedica a stalkear ciudadanos). Básicamente, hicieron capturas de pantalla de prácticamente cada tweet que mandé por esos días y las pusieron en un informe digno de un despechado que acosa a su anterior pareja, que fue incluido por el juez en el expediente.

Luego la Policía Federal pidió a mi proveedor de telefonía celular (Personal) la ubicación de mi teléfono durante los últimos 2 meses, y el registro de llamadas entrantes y salientes, además de las transferencias de datos. Y, de paso, también los IMEI (el número que identifica a cada equipo) asociados a mi línea.

Una vez que la policía obtuvo el IMEI de mi teléfono, preguntaron a los demás proveedores de telefonía celular de la Argentina si había alguna otra línea asociada a él (en caso de que se me hubiera ocurrido usar otra tarjeta SIM en el mismo aparato).

¿Qué más podían hacer teniendo mi número de teléfono? Pedirle a WhatsApp los datos de mi cuenta, incluyendo las direcciones IP usadas en cada conexión durante los últimos 4 meses (con fecha y hora). Una medida similar no se tomó con ninguno de los otros 9 sospechosos que ya habían acumulado hasta ese punto de la investigación. Evidentemente estaban más interesados en mí.

Hasta el punto del expediente al que tuve acceso, el «Señor Presidente de la firma WhatsApp Inc.» no había respondido.

El próximo paso de la policía también fue sólo dirigido a mi persona (y no al resto de los sospechosos): pedirle a Nación Servicios si había alguna tarjeta SUBE registrada a mi nombre (y al de una persona relacionada conmigo, a cuyo nombre llegaron siguiéndome e identificándola) y sus movimientos. Querían saber por dónde anduvimos durante el último año.

La respuesta de Nacion Servicios fue negativa. No tengo ninguna SUBE registrada a mi nombre.

Muchas veces a quienes dijimos que las tarjetas de transporte podían ser utilizadas para vigilarnos, nos decían paranóicos. Pero bueno, así es la mía:

Luego, un poco de «vigilancia clásica», como por ejemplo instalar cámaras frente a la casa donde viven mis hijos, sin pedirle permiso al juez (ya les había dado vía libre), y mandar gente a espiar. ¿Recuerdan la información de ubicación de mi celular, que habían conseguido previamente? La policía sabía bien que yo no estaba ahí desde hacía varios meses. De paso, también pidieron información a mi proveedor de Internet (hasta ahora no sé qué datos obtuvieron de esto).

Más «vigilancia clásica»: seguirme por la calle, en la Ciudad de Buenos Aires, y tomarme fotos. Bueno, en realidad parece ni siquiera sirven para esto, y me confundieron con otro…

Para otros sospechosos (esta vez no para mí) la Policía Federal también accedió a las imágenes tomadas por cajeros automáticos. Es interesante saber que cada vez que alguien hace una transacción en un cajero queda almacenada en el sistema una linda fotografía tomada por la cámara frontal.

Y sí, como muestran las capturas en el expediente, los agentes policiales intercambian estas imágenes usando WhatsApp. Muy profesional y muy seguro todo.

En el mundo del espionaje se conoce como «open-source intelligence» (OSINT) a espiar a la gente usando información públicamente disponible, principalmente en Internet. Tal parece que a algunos agentes de la División de Ciberpatrullaje le pagaron un cursito de no muy buena calidad, y tuvieron una excelente oportunidad de demostrar lo que no aprendieron usando mi persona. Nuevamente, esto no se hizo con ningún otro de los investigados.

La Policía Federal me dedicó un informe de 35 páginas, en el que pretenden mostrar una serie de coincidencias entre los conocimientos, intereses y otros aspectos de quien presuntamente realizó el supuesto hackeo, y yo. Resulta increíble que una muestra de infantilismo semejante haya sido recibida por un funcionario judicial, perforada, foliada e incorporada a un expediente.

Como dije, uno de los ejes del informe policial, es que sé hacer cosas que el supuesto atacante también sabe. Cosas tan sospechosas (y de hacking avanzado) como por ejemplo…

Alquilar y configurar servidores en Digital Ocean.

Registrar dominios en GoDaddy.

Usar el servidor web nginx (el más usado en Internet) y mantenerlo actualizado.

Usar el sistema operativo Ubuntu.

Sugerirle a alguien aprender a programar usando el lenguaje Python.

Conocer un antiguo bug en la implementación de «búsqueda binaria» de Java.

En definitiva, para la Policía Federal Argentina, tener conocimientos de informática es motivo de sospecha. Pero también lo es tuitear sobre incidentes de seguridad informática, algo que hago frecuentemente desde hace más de 10 años, y hasta por lo que he sido consultado por varios medios periodísticos.

¿Critico a un diputado oficialista y a una funcionaria del Gobierno? Marche otro motivo de sospecha, sellado y abrochado al informe.

¿Podría hecho algo en mi cuenta de Twitter que a los «ciberpatrulleros» de la Policía Federal no le pareciera sospechoso? Si hasta poner candado a la cuenta es para ellos un indicio de culpabilidad.

Pero aquí es donde los funcionarios de ropa prestada por el Estado realmente demostraron sus habilidades para hacer OSINT: encontraron que vivo en la misma provincia que uno de los sospechosos, y que en mi blog publiqué sobre un viaje a la localidad donde vive otro. Ese viaje fue domingo de elecciones, y lo hice como observador electoral enviado por la ONG Poder Ciudadano, pero eso poco les importó.

Hablando de cuestiones geográficas, otro motivo de sospecha esgrimido por la policía es que los celulares que dicen que se usaron para el supuesto phishing fueron comprados y entregados en domicilios que están a unos 300 metros del lugar donde resido cuando estoy en la Ciudad de Buenos Aires (precisamente una de las zonas más densamente pobladas y con mayor actividad comercial del país).

En el informe policial figura antes, pero lo dejé a propósito para el final. El largo brazo de la ley aprovecha para quejarse de que un ciudadano les hace bullying. Juro que hasta lo sellaron y firmaron.

El informe de OSINT de la Policía Federal Argentina es mucho más extenso y, aunque cueste creerlo, penoso (incluyendo respuestas de hace años a algún tweet de alguien, chistes que la policía no entendió, etc.). Invito a leerlo completo, para apreciar en toda su magnitud el nivel intelectual de nuestros «ciberpatrulleros».

La «Justicia»

Como resultado de las tareas de investigación antedichas, la Policía Federal Argentina informa sus conclusiones al juez. Sobre mí, dice que los elementos que acabo de mostrar permiten sospechar que tengo en mi poder algún «elemento físico analizable».

Por lo tanto, la policía le recomienda al juez que los mande (sí, nuevamente a ellos) a allanarme y secuestrar todas mis computadoras, celulares y otros dispositivos informáticos.

En un Estado de derecho el juez habría evaluado los indicios presentados por la policía para determinar si justifican violar el domicilio de un ciudadano y secuestrarle sus pertenencias (que, además, en mi caso son mis herramientas de trabajo y contienen información personal y laboral sensible). Pero como estamos en la Argentina, el juez no tuvo ninguna objeción y accedió al pedido inmediatamente.

El allanamiento

Así fue que a las 6 de la mañana (todavía sin luz solar) fui despertado por 6 agentes de la Policía Federal Argentina, que junto a 2 testigos civiles procedieron a inspeccionar cada rincón de la vivienda en la que me encontraba (bueno, en realidad no todos), y a llevarse mi computadora, mi celular, pen drives, y varios otros dispositivos que se encontraban en el lugar pero no me pertenecían.

El operativo duró 6 largas horas. Los agentes de ropa en comodato fueron convidados con varias rondas de café, e incluso comentamos varios aspectos del caso (y de su antecedente de 2017). Aunque la orden judicial no decía nada al respecto —y el oficial a cargo me había dicho que si me portaba bien se iban a ir sólo con mis pertenencias— casi al final del allanamiento sonó un teléfono y se me comunicó que debería acompañarlos a la sede policial para «averiguación de antecedentes» (sí, averiguación de antecedentes de alguien a quien hacía 2 meses que estaban vigilando y siguiendo).

La detención

Aunque algún funcionario del Gobierno aclaró públicamente que no fui detenido sino remitido a la comisaría (como si fuera una carta), fui esposado, subido a un patrullero, paseado por un par de dependencias policiales de la Ciudad de Buenos Aires y mantenido con custodia durante otras 6 horas en las que no pude ni siquiera ir al baño sin pedir permiso. No tengo la precisión lingüística de un jurista, pero yo considero eso como una detención.

La siguiente fotografía corresponde al momento exacto en el que recuperé mi libertad, aún dentro de las instalaciones de la Policía Federal Argentina.

En los medios argentinos los detalles del caso no tuvieron ninguna repercusión. Sí la tuvo, en cambio, mi detención —lamentablemente los medios más importantes se limitaron a reproducir la versión del Gobierno, tratándome como un delincuente y acusándome de ser el organizador del supuesto hackeo.

Afortunadamente, la prensa internacional suele ser bastante más profesional y no quedarse con la «versión oficial».

La Electronic Frontier Foundation, ONG decana en la defensa de los derechos digitales, también se pronunció alertando sobre el intento de involucrarme en la causa, vinculándolo a mi oposición al voto electrónico.

Más de 20 ONGs de más de 10 países emitieron un comunicado dirigido a la por entonces ministra de Seguridad y al juez de la causa, poniendo de manifiesto su alerta ante la violación injustificada de mis derechos.

En noviembre de 2019 en Berlín, Alemania, se llevó a cabo otra edición del Foro de Gobernanza de Internet, y como parte de las actividades se discutió la persecución a activistas digitales, incluyendo mi caso.

Finalmente, luego de las reuniones del IGF, más de 30 agrupaciones de la sociedad civil emitieron un comunicado preocupadas por la persecución de varios activistas digitales en todo el mundo, incluyéndome.

El Consejo Directivo de la Facultad de Matemática, Astronomía, Física y Computación (FAMAF) de la Universidad Nacional de Córdoba emitió una declaración manifestando su preocupación por mi situación.

Todos estos documentos fueron presentados por mi abogado ante el juez.

Mi pedido a la «Justicia»

Una vez que recuperé a la libertad, me presenté ante el juzgado para tomar vista del expediente. Con asombro me encontré con que no hay una imputación concreta contra mi persona y con el mamarracho policial precedente. En los días siguientes, realicé 3 presentaciones ante el juez:

En ellas le demuestro al juez que todos y cada uno de los indicios que la Policía Federal exhibe para mostrar mi supuesta relación con el supuesto hecho acaecido son falsos o simplemente ridículos. Y le pido que dicte la nulidad del allanamiento y el secuestro de mis herramientas y mi información. Básicamente, como no tenía ningún derecho a violar la intimidad de mi domicilio, revolver todos mis cajones y llevarse mis cosas, le pido que me las devuelva intactas, sin seguir hurgando en ellas.

El fiscal, que hasta ahora había brillado por su ausencia en el expediente, opina que mi pedido de nulidad implica tener que «discutir la prueba» en mi contra, y que ya habrá tiempo para eso.

Y luego de más de dos meses de espera, el juez se pronunció resolviendo rechazar mi pedido, apoyándose en los dichos del fiscal y avalando la investigación de la Policía Federal Argentina y diciendo que no ve que haya sido violada ninguna garantía (el artículo 18 de la Constitución Nacional y la inviolabilidad del domicilio, bien, gracias).

Viendo que ni el juez ni el fiscal consideran que haya que evaluar la evidencia antes, y no después, de mandar a la policía a ingresar por la fuerza en la vivienda de alguien, revisar todo y llevarse sus herramientas, y que incluso pretenden revisar el contenido de mis computadoras «para ver qué encuetran», reiteré mi pedido como un recurso de apelación (donde vuelvo a poner en evidencia las mentiras, falacias y estupideces del informe policial).

Una «curiosa coincidencia»

Esta fotografía fue tomada en octubre de 2015 en la 11va. edición de la conferencia de seguridad informática Ekoparty. En ella aparecemos, de izquierda a derecha, Iván Barrera Oro, Joaquín Sorianello y quien escribe.

¿Qué tenemos en común los tres? Primero, que todos nos interesamos en investigar las vulnerabilidades de los sistemas de voto electrónico, en particular del utilizado en la Ciudad de Buenos Aires en 2015 y luego propuesto en 2016 para las elecciones nacionales. Y segundo, que en estos últimos años todos hemos sido involucrados en causas penales (por primera vez en nuestras vidas) y hemos recibido la visita de los agentes policiales en nuestros domicilios para que nos retiraran nuestras herramientas. Joaquín e Iván ya han sido sobreseídos en sus causas. Yo todavía espero.

Ministra nueva, hackeo nuevo

El 11 de diciembre de 2019, un día después del cambio de Gobierno, la cuenta de Twitter de la flamante Ministra de Seguridadad, Sabina Frederic, fue hackeada. Y quien tomó control de ella, lo primero que hizo fue «agradecerme» públicamente por supuestamente haberle proporcionado la contraseña.

Afortunadamente para mí, esta vez en los medios recordaron inmediatamente los «hackeos» anteriores, pero ahora —ante el intento infantil de incriminarme— no me trataron como un delincuente.

¿Y ahora qué?

Sigo esperando. Como es claro para cualquiera que lea el expediente (y cuyo principal interés no sea encubrir su propia inoperancia), no tuve absolutamente nada que ver con el hecho investigado (que ya es más que dudoso que haya ocurrido según el relato policial). La Policía Federal Argentina tuvo desde el primer minuto toda la libertad de denunciar el hecho acaecido como mejor les pareciera, de investigar como tuvieran ganas y de allanar a quienes quisieran. Ahora tienen en su poder mis computadoras y dispositivos de comunicación y almacenamiento. Con el antecedente de la policía mintiendo en el expediente para incriminarme, temo qué puedan hacer aparecer dentro de ellos. Hasta temo cómo puedan ser interpretados los datos que puedan llegar a extraer de algún dispositivo, dado que hasta tweets totalmente inocentes e informativos fueron tomados como elementos de sospecha en mi contra.

Algo que no deja de darme vueltas en la cabeza es a cuántas personas —que no tienen la posibilidad de hacerlo visible ni de recibir los apoyos que recibí— les pasarán cosas parecidas o aún peores. Quisiera no sólo que se resuelva mi caso, sino que se investigue por qué pasó todo esto, y que sirva para que no le vuelva a pasar a alguien más. Y que los que armaron esta acusación tengan que emprolijar sus currículums y salir a buscar empleo. Sí, sé que pido demasiado.

Nunca antes me vi involucrado en una causa penal ni en una investigación policial. Desde hace meses ando por la calle mirando por encima del hombro, y mis hijos no están tranquilos ni en su casa.

Continuará. Veremos cómo.