Una investigación de Internet Freedom Foundation señala que el ministro del Interior de India aprobó exenciones a las reglas de compras nacionales, facilitando adquisiciones de tecnología forense extranjera, incluida Cellebrite. Las capacidades descritas abarcan desde extraer datos de teléfonos hasta acceder a cuentas en la nube, mientras expertos advierten que faltan salvaguardas legales y supervisión independiente.
***

• El ministro del Interior, Amit Shah, aprobó una exención de un año que habilitó la compra de al menos 422 artículos forenses extranjeros.
• Documentos de licitación describen herramientas para extraer información de teléfonos y acceder a más de 100 servicios en la nube mediante credenciales o tokens.
• Expertos en privacidad cuestionan que India carezca de reglas específicas para el desbloqueo y la extracción integral de datos de dispositivos incautados.

India abre la puerta a tecnología de extracción de datos pese a sus reglas de compra

Sumario: Una exención ministerial facilitó la adquisición de herramientas forenses extranjeras, incluida tecnología de Cellebrite, mientras especialistas alertan sobre capacidades de vigilancia más amplias y vacíos legales.

El Ministerio del Interior de India aprobó una excepción a las normas que favorecen a proveedores nacionales y permitió avanzar con compras de tecnología forense extranjera para instituciones gubernamentales. Una investigación de Internet Freedom Foundation (IFF) identificó al menos 422 artículos habilitados por esa decisión, entre ellos productos de la empresa israelí Cellebrite, cuyas herramientas pueden extraer información de teléfonos y ayudar a acceder a servicios en línea.

Los documentos examinados también describen capacidades que van más allá de recuperar archivos de un dispositivo: incluyen el acceso a datos de cuentas en la nube y la extracción de información de aparatos conectados. Abogados y activistas consultados por Al Jazeera advierten que las normas indias no ofrecen salvaguardas específicas para algunas de esas prácticas, lo que deja abierta la pregunta sobre quién controla su uso y cómo pueden impugnarlo las personas afectadas.

Exenciones de compra y tecnología forense extranjera

Las reglas de adquisición conocidas como Make in India establecen que los organismos públicos deben dar preferencia a fabricantes indios elegibles frente a proveedores extranjeros cuando adjudican contratos. Sin embargo, permiten excepciones con la aprobación del ministro a cargo del departamento comprador, y la documentación revisada por IFF indica que Amit Shah autorizó una exención amplia, por un año, para facilitar la adquisición de artículos forenses.

Una carta del Ministerio del Interior, fechada el 7 de enero, registra la aprobación de esa dispensa para al menos 422 productos. Otra comunicación, fechada el 20 de enero, autorizó a la Agencia Nacional de Investigación (NIA) a comprar la Premium Tool de Cellebrite mediante una licencia de tres años, por cerca de ₹ 50.000.000, equivalentes a USD $529.947 según la información publicada.

La autorización para adquirir una herramienta no demuestra, por sí sola, que una agencia haya comprado o utilizado cada producto incluido en las exenciones. La investigación señala, no obstante, que el permiso amplió el conjunto de capacidades que las instituciones indias podían considerar para sus compras, una diferencia importante entre habilitar una adquisición y confirmar que ocurrió.

De los 422 artículos, IFF identificó 118 vinculados con análisis forense digital y multimedia. La lista incluye Pathfinder, Inseyets On-Prem Pro e Inseyets Offline, de Cellebrite, además de herramientas de Magnet, MSAB, Oxygen Forensics y Belkasoft; también aparecen programas de inteligencia de fuentes abiertas, monitoreo de la web oscura e investigaciones relacionadas con criptomonedas.

Del teléfono incautado a las cuentas en la nube

Las especificaciones de una licitación de la Policía de Delhi muestran la amplitud de las funciones que buscaba para su Laboratorio Nacional Forense Cibernético. Entre ellas figuran eludir contraseñas en macOS, Windows y Linux, recuperar historiales de navegación y actividad en internet, encontrar archivos eliminados, identificar rastros de VPN, superar bloqueos de pantalla y realizar extracciones completas del sistema de archivos.

El pliego también solicitaba descifrar copias de seguridad y extraer información de aplicaciones de mensajería. Otro sistema, descrito como una solución integral, debía permitir el acceso a más de 100 servicios en la nube mediante credenciales o tokens de inicio de sesión recuperados de dispositivos incautados, una capacidad que puede extender el análisis desde el teléfono físico hasta cuentas digitales asociadas.

La lista de plataformas mencionadas abarca Google, Apple, WhatsApp, Instagram, Telegram y Discord, además de servicios de citas como Tinder, Grindr y OkCupid. También incluye Slack y OnlyFans, de modo que las especificaciones abarcan aplicaciones de comunicación, redes sociales, trabajo y contenido, sin que el documento por sí mismo confirme que todas esas cuentas hayan sido consultadas por la policía.

Los tokens de inicio de sesión funcionan como llaves digitales que mantienen abiertas las sesiones de usuarios en servicios en línea. Según los requisitos descritos, el sistema debía aprovechar tokens recuperados de teléfonos o computadoras incautados; las especificaciones también contemplaban extraer datos de drones, dispositivos vestibles y asistentes domésticos como Amazon Alexa y Google Home.

Periodistas y críticos plantean dudas sobre el acceso a sus dispositivos

La preocupación por estas capacidades no se limita a una discusión técnica sobre compras públicas. El YouTuber Dhruv Rathee, crítico del gobierno de Narendra Modi, afirmó que la policía lo detuvo en su casa antes de una protesta en Nueva Delhi y le quitó el teléfono; más tarde dijo en un pódcast que sospechaba que intentaron clonar su iPhone con herramientas de Cellebrite.

Rathee planteó que el intento pudo haber fallado porque su dispositivo utilizaba una versión más reciente de iOS que la que la herramienta podía vulnerar. Al Jazeera indicó que no pudo verificar su relato, por lo que la sospecha del youtuber debe distinguirse de un hecho confirmado sobre el uso de la tecnología en ese operativo.

Mohammad Aslam Hussain, periodista de Siasat Daily, contó que la policía lo detuvo junto con un camarógrafo en Nueva Delhi el 10 de octubre y confiscó su teléfono. Dijo que, cuando recuperó su Samsung Galaxy S24 esa misma noche, habían borrado selectivamente del dispositivo el material grabado para su reportaje; el teléfono tenía un patrón de bloqueo y autenticación por huella digital.

Hussain señaló que no podía afirmar qué herramienta utilizó la policía para superar los mecanismos de autenticación, pero preguntó cómo habían accedido al teléfono. Su testimonio no identifica un método técnico concreto, aunque ilustra el problema de rendición de cuentas que describen los defensores de la privacidad cuando los usuarios desconocen si alguien examinó sus dispositivos y qué datos obtuvo.

Vacíos legales y supervisión de la vigilancia

IFF sostiene que India carece de una ley o protocolo específico que autorice y regule el desbloqueo forzado y la extracción completa de información de un teléfono incautado por las fuerzas del orden. Las facultades generales de incautación previstas en el derecho penal, según el grupo, no explican expresamente si la policía puede eludir contraseñas, copiar sistemas de archivos enteros o recuperar tokens para entrar en cuentas en la nube.

El vacío también alcanza la gestión posterior de la información obtenida, de acuerdo con el análisis del grupo: no habría reglas específicas para determinar cuánto tiempo conservar los datos ni cuándo eliminarlos. Por eso, la discusión no se limita a si una agencia puede retener un dispositivo, sino también a qué límites rigen la extracción, el almacenamiento y el uso de información que puede abarcar mucho más que la prueba vinculada a una investigación.

En 2017, la Corte Suprema de India reconoció la privacidad como un derecho fundamental bajo la Constitución. El fallo estableció que una intervención estatal en la privacidad debe contar con base legal, perseguir un objetivo legítimo del Estado y ser proporcional a ese objetivo, criterios que especialistas consideran relevantes al evaluar herramientas capaces de acceder a grandes volúmenes de datos personales.

La abogada de la Corte Suprema Vrinda Bhandari advirtió que el despliegue de estas capacidades sin una supervisión significativa puede ampliar el alcance y la profundidad de la vigilancia, y afectar a más personas sin control legislativo, parlamentario o judicial. En su comparación, el Reino Unido y Alemania cuentan con algún componente de supervisión parlamentaria o judicial, mientras India depende, según explicó, de un mecanismo interno de revisión ejecutiva.

Bhandari resumió el propósito de la supervisión como la creación de una fricción que impida al gobierno vigilar con facilidad a cualquier persona; también dijo que las herramientas actuales pueden hacer más sencilla una vigilancia masiva, menos dirigida y más intrusiva. Cuando quien queda bajo observación no lo sabe, agregó, resulta difícil exigir responsabilidades, una dificultad que pesa aún más ante la ausencia de reglas específicas para las extracciones digitales.

El gobierno de Modi ha enfrentado acusaciones de usar programas espía contra periodistas, activistas, abogados y opositores políticos, aunque ha negado la vigilancia no autorizada. En 2019, WhatsApp informó que Pegasus, desarrollado por la empresa israelí NSO Group, se había utilizado para atacar a periodistas y defensores de derechos humanos en India; análisis forenses de Amnistía Internacional confirmaron después infecciones en los teléfonos de los periodistas Siddharth Varadarajan y Anand Mangnale.

El alcance de las herramientas de Cellebrite y de otros productos incluidos en las compras posibles no demuestra que cada organismo haya empleado cada función descrita en los pliegos. La información disponible sí expone una combinación de capacidades de extracción, acceso a cuentas y vacíos normativos que, para los especialistas citados, exige mayor transparencia y controles capaces de limitar las intervenciones estatales.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín