Lo que ya se filtró
¿Cuántos datos se filtraron ya, sin que nadie lo quisiera? ¿Cuántas rutas de patrulla, cuántos despliegues, cuántos documentos de uso interno están hoy accesibles en internet sin que exista un control oficial y riguroso que lo advierta?
No hay forma de saberlo con precisión, y esa es justamente la primera parte del problema: nadie lleva la cuenta. Lo segundo es la naturaleza del error. Esto no es una falla de seguridad operacional en el sentido clásico, la del secreto que se roba o el sistema que se vulnera. Es algo más silencioso: información que se entrega sola, por descuido, por desconocimiento o por comodidad, y que queda servida en bandeja para cualquier Estado u organización con interés en el país.
Qué es la OPSEC y por qué importa
Conviene despejar un malentendido de base: la seguridad operacional no se ocupa de la información clasificada. Para eso existen los sistemas de clasificación, los canales cifrados y las sanciones penales.
La OPSEC se ocupa de otra cosa, más incómoda: de los indicadores. De la información que individualmente no es secreta, que nadie violó ninguna norma al difundir, y que sumada permite reconstruir aquello que sí es sensible.
Una fotografía en un comedor no es un secreto. Una carrera de siete kilómetros registrada en una aplicación de fitness no es un secreto. La patente de un vehículo en un estacionamiento no es un secreto. El horario habitual de una publicación no es un secreto. Pero la agregación de esas piezas, y hoy la agregación es automatizable, barata y masiva, produce algo que sí lo es: un patrón de despliegue, la ubicación de una instalación, la identidad y el domicilio de un efectivo, la rutina de una unidad.
El caso Strava resume el problema mejor que cualquier explicación teórica. En 2018 la aplicación publicó su mapa de calor global, una base de datos abierta con miles de millones de kilómetros de entrenamientos. Quedaron a la vista trazados en el desierto sirio, en zonas remotas de Somalia y en Afganistán: no eran civiles haciendo ejercicio en zona de guerra, sino militares corriendo alrededor de instalaciones cuya existencia no era pública. La empresa incorporó después zonas de exclusión configurables, pero las dejó desactivadas por defecto.
Ahí está el núcleo del asunto. Los dispositivos y las aplicaciones vienen configurados para compartir, porque compartir es su modelo de negocio. La protección existe, pero es opcional, está enterrada en un menú y requiere que el usuario sepa que el riesgo existe. Nadie hace nada malo: simplemente no toca una casilla que no sabía que estaba ahí. La conciencia sobre el material clasificado existe y en general funciona. La conciencia sobre los indicadores, no.
Más allá de los ejemplos internacionales, en la propia región el mapa de calor de Strava deja ver patrones de entrenamiento, despliegues y mucho más. Si bien a día de hoy en muchas bases de Estados Unidos siguen apareciendo trazados, buena parte están en las periferias o en zonas obvias de instalaciones grandes y conocidas. En la región eso no se replica: el recorrido entra hasta las calles internas, las pistas y los perímetros de las propias bases, y con eso se pueden intuir con facilidad patrones de patrulla y de operación. Dos ejemplos:
Un ejemplo claro son nuestras propias infografías: mediante OSINT (Open Source Intelligence, inteligencia de fuentes abiertas), a partir de redes sociales de las fuerzas o de información que su personal hace pública, somos capaces de trackear con un alto grado de certeza qué aeronaves están operativas y cuáles no en cada país.
Nuestro mejor ejemplo es el trabajo que realizamos sobre la FAH (Fuerza Aérea Hondureña). Contrastamos esa información con la propia fuerza y, de manera informal, nos hicieron saber que teníamos un margen de error bajo. Esto puede variar de fuerza a fuerza, ya que algunas se toman más en serio la OPSEC que otras.
Los drones
DJI concentra alrededor del 70 % del mercado mundial de drones civiles. Sus equipos son buenos, accesibles y están en todas partes, incluidas las fuerzas armadas y policiales de buena parte de la región. Se adoptan por razones perfectamente racionales en el corto plazo: cuestan una fracción de un sistema de grado militar, están disponibles de inmediato, el personal joven ya sabe operarlos y los repuestos se consiguen. El problema es que el costo no aparece en la orden de compra. Se paga después, en información.
El punto de atención no es el aparato sino el ecosistema. Los registros de vuelo, la telemetría y en muchos casos el material capturado se sincronizan a través de aplicaciones del fabricante. Las actualizaciones de firmware requieren conexión. Los pedidos de desbloqueo de geocercas implican informarle al fabricante dónde se pretende volar y cuándo. Nada de eso es clandestino: está en la documentación del producto.
Sobre ese funcionamiento normal se apoya el artículo 7 de la Ley de Inteligencia Nacional china:
«Todas las organizaciones y ciudadanos deberán apoyar, asistir y cooperar con los esfuerzos nacionales de inteligencia conforme a la ley, y protegerán los secretos del trabajo de inteligencia nacional de los que tengan conocimiento.»
La objeción previsible es razonable: ¿qué interés puede tener China en los ejercicios de un ejército latinoamericano? Probablemente poco, y probablemente nada inmediato. Pero la pregunta correcta es otra: ¿por qué entregar datos operativos a cambio de un ahorro presupuestario? El interés de un actor estatal no se mide en el uso que le da hoy a un dato, sino en la opción que conserva de usarlo más adelante. Los datos no caducan al mismo ritmo que la coyuntura.
Conviene señalar, para evitar la lectura fácil, que este no es un problema exclusivamente chino. El Cloud Act estadounidense de 2018 y la sección 702 de la ley FISA son la versión estadounidense del mismo principio: los Estados legislan para acceder a la información que administran sus empresas. La diferencia entre los marcos es de grado y de control judicial, no de naturaleza.
Estados Unidos prohibió el uso de equipos DJI en sus fuerzas armadas a partir de 2017, y la restricción se extendió después a buena parte de los ejércitos de la OTAN, que además desarrollaron listas de proveedores homologados para uso militar. Y acá aparece el vacío regional, tal vez el dato más incómodo de esta nota: América Latina no tiene equivalente. No hay legislación de soberanía de datos aplicable a este supuesto, no hay una lista regional de proveedores homologados, no hay criterio común de adquisición que contemple el vector cibernético. La región no participa en la discusión que define estas reglas. Las recibe hechas, o no las recibe en absoluto.
La disyuntiva, además, no es entre un dron comercial chino y un sistema de grado militar inaccesible. Existe una franja intermedia de fabricantes que ofrecen arquitecturas abiertas, integración con ATAK y distintos grados de producción regional. REDCAT es un ejemplo de esa franja.
Cuando ya no es un descuido
Todo lo anterior describe filtraciones involuntarias. Conviene cerrar con un escalón más, porque marca el límite del razonamiento. En septiembre de 2024, miles de dispositivos de radiobúsqueda en poder de Hezbolá detonaron de manera simultánea en Líbano y Siria. Los aparatos habían sido adoptados precisamente como medida de seguridad: sin GPS, sin conexión a internet, teóricamente imposibles de rastrear. La operación no fue un hackeo. Fue una intervención en la cadena de suministro: una estructura empresarial montada para obtener una licencia de fabricación y material explosivo integrado en los propios equipos, que superaron los controles de inspección de la organización.
El salto conceptual importa: del dato que se regala sin darse cuenta al dispositivo que llega comprometido de fábrica. Si fue posible intervenir un aparato tan simple como un busca, la pregunta sobre qué puede contener un dron, un teléfono o un reloj no es paranoia. Es debida diligencia.
La contracara
Corresponde señalar lo que no está probado. En 2020, una auditoría externa realizada por Booz Allen Hamilton sobre la versión Government Edition de los equipos DJI no encontró evidencia de transmisión no autorizada de datos. El fabricante ha negado sistemáticamente las acusaciones de espionaje y ha incorporado modos de operación local que limitan la sincronización.
Nada de eso invalida el argumento, pero lo precisa. Lo que existe es un riesgo estructural: una combinación de arquitectura cerrada, dependencia del fabricante y un marco legal que habilita al Estado de origen a requerir cooperación. Eso no es lo mismo que una acusación probada de espionaje, y confundirlos debilita el argumento: hace que el planteo entero parezca una campaña y no un análisis. Por eso el criterio útil no es «de qué país viene», sino auditabilidad. Un sistema abierto se puede inspeccionar, correr sobre infraestructura propia y controlar. Con un ecosistema cerrado, la única garantía disponible es la palabra del fabricante. La pregunta relevante no es si esa palabra es sincera hoy, sino qué pasa el día que deje de serlo.
Chequear dos veces
No hay una solución técnica única para esto, y desconfiar de todo no es una política: es parálisis. Lo que sí puede instalarse es un criterio, y es más simple de lo que parece. Antes de subir un archivo, publicar una imagen o sincronizar un dispositivo, dos preguntas: ¿a dónde va esto y quién puede leerlo? Si la respuesta a cualquiera de las dos es «no sé», ahí está el problema.
Nada de lo que se mostró acá era secreto. Ese es el problema. Y si a esta altura todavía se piensa que la propia unidad es la excepción, esa certeza es, justamente, el perfil que el otro lado está esperando encontrar.
Este trabajo toma casos y planteos del análisis sobre seguridad operacional publicado por Yago Rodríguez, con su autorización. La lectura regional y los errores son propios.
La seguridad operacional en la era de la tecnología civil es un frente abierto en toda la región. Para seguir el análisis, suscribite a El Debriefing, el newsletter de Gordos Defensa.
