Suelte el antivirus: este troyano es de la policía

En las últimas semanas se ha hablado mucho de las reformas penales que está emprendiendo el actual Gobierno, a cual peor desde el punto de vista procesal. Dos de ellas han ocupado muchos titulares: la llamada “ley mordaza” y el anteproyecto de Ley Orgánica de modificación de la Ley de Enjuiciamiento Criminal (LECrim). En esta misma sede se ha hablado de cómo esta reforma suponía un blindaje para los casos de corrupción que actualmente se instruyen, de la preocupante posibilidad de que se pueda instalar micrófonos en nuestras casas e incluso del riesgo de que desaparezca el derecho fundamental al secreto de las comunicaciones.

En esta ocasión nos centraremos en otro de los ataques a las garantías procesales que incluye la nueva LECrim: la posibilidad de que los agentes puedan instalar “troyanos” o cualquier otro tipo de programas espía en nuestros ordenadores, teléfonos, tabletas o incluso páginas web. Dicha posibilidad aparece en el futuro artículo 588 sexies a (que pueden consultar aquí si lo desean).

A simple vista, parecería una mera adaptación de las escuchas telefónicas a las nuevas tecnologías. Sin embargo, esta facultad resulta mucho más peligrosa para nuestros derechos fundamentales.

En una escucha telefónica autorizada por un Juez, los agentes graban todas las intervenciones (aunque solo transcriban unas pocas) y le dan copia de todo a la defensa. Además, el Secretario Judicial verifica que todo esté en orden. Una vez terminado el periodo para el que se decretó la escucha, el teléfono “pinchado” deja de estarlo. Las garantías procesales, como se ve, están plenamente respetadas y es posible comprobar de forma fehaciente cada uno de los pasos que se haya dado en la investigación.

En el caso de programas espía, la cosa no es tan sencilla.

Para empezar, el programa que se ha instalado no tiene por qué autodestruirse. Puede quedarse ahí por tiempo indefinido (e intervenirse ilegalmente el ordenador o teléfono de forma ilimitada). Pero eso no es lo más grave, por raro que suene.

Lo más grave es que resulta casi imposible hacer una “transcripción” de lo que hagan los agentes, al estilo de las escuchas telefónicas. Controlar un ordenador de forma remota quiere decir que se pueden ver ficheros, modificarlos, borrarlos, instalar ficheros nuevos,… Es difícil hacer un cuaderno de bitácora en el que aparezcan todas y cada una de esas operaciones, y la Ley no prevé la obligación de hacerlo.

La LECrim habla de forma genérica de que la resolución judicial especifique “las medidas necesarias para la preservación de la integridad de los datos almacenados”. Aquí deberíamos entender incluida la posibilidad de que los peritos policiales, antes de mirar el ordenador, realicen una copia “fantasma” del disco duro para trabajar sobre ella y no sobre el soporte original. Sin embargo, esto depende del conocimiento que tenga el Juez de dichas medidas de protección (que posiblemente no sea mucho) y de la voluntad de los agentes de ponerlas en marcha. Y es que nada impide a unos agentes desleales manipular el disco duro antes de hacer la copia de trabajo. Si así pasara, sería muy difícil demostrarlo.

En una escucha telefónica, los agentes no pueden -por ejemplo- insertar conversaciones incriminatorias. Sería muy fácil detectarlo. Pero eso no ocurre en una manipulación informática de este tipo. Si un agente desleal quiere introducir, digamos, un fichero de pornografía infantil en nuestro disco duro antes de hacer la copia “fantasma”, nada le impide hacerlo. Y luego seríamos condenados por ello, ya que la mera posesión de este tipo de ficheros es punible.

Por supuesto, la inmensa mayoría de agentes son fieles cumplidores de la ley y hemos de agradecerles su trabajo. Pero seamos realistas: sabemos que existe una minoría de agentes deshonestos. ¿De verdad queremos darles a estos agentes una herramienta invisible para averiguar datos confidenciales de terceros, o fabricar pruebas condenatorias, todo ello sin que nadie lo sepa? ¿Podrán resistir la tentación, estos malos agentes, de vender esos datos a mafias organizadas? ¿Qué garantías tendremos de que estos mecanismos electrónicos no se usarán con fines delictivos?

A diferencia de lo que ocurre con las intervenciones telefónicas (donde poca cosa pueden hacer los agentes corruptos), la instalación de troyanos permitiría un mundo de posibilidades a esos delincuentes uniformados.

También está el problema de los antivirus. Los antivirus no distinguen entre “troyanos malos” y “troyanos buenos”, los bloquean todos. ¿Cómo hará el troyano policial para evitar ser bloqueado? Solo tiene dos opciones, y ninguna es positiva:

- O bien el troyano policial es detectado y bloqueado por el antivirus, con lo que su eficacia resultará más que discutible.

- O bien la policía hará de algún modo que sus troyanos puedan sortear los antivirus... con lo que generarán un fallo de seguridad de dichos antivirus, que a su vez será utilizado por los criminales auténticos para crear troyanos que imiten a los troyanos policiales. Es decir, crearán más inseguridad de la que pretendían combatir.

Y todo ello sin tener en cuenta que los terroristas suelen ser paranoicos y probablemente tengan cuidado con lo que entra en sus ordenadores. De forma que los únicos afectados por estos troyanos seremos -irónicamente- los ciudadanos que respetamos la ley.

Tampoco nos hemos planteado la cuestión de si el troyano realmente hace lo que se supone que debe hacer, y nada más. Un troyano es un programa informático. Sí, se le puede decir por ejemplo que espíe las comunicaciones de los criminales. Pero también se le puede decir que disimuladamente haga otras cosas menos legítimas.

La única manera de saber si el troyano hace solo lo que debe hacer es estudiando su código. Pero como es natural, dudo que los troyanos policiales sean de código abierto. Lo que significa que tendremos que fiarnos de que solo hacen lo que los agentes nos dicen que hacen.

El riesgo de mal uso por parte de delincuentes uniformados vuelve a aparecer.

Teniendo en cuenta todas estas inseguridades, y hasta que nos aclaren estos conceptos -más allá de lo que dice la LECrim, que bastante ambigua es-, lo más sensato es no poner en marcha esta medida de investigación tan peligrosa.