El FBI utiliza técnicas y herramientas de hacking — incluido spyware — desde al menos 1998, pero hasta hoy no existía ningún dato público sobre cuántas veces el gobierno federal las despliega. Eso está a punto de cambiar, al menos en lo que respecta al uso de spyware para interceptar comunicaciones en tiempo real.

A partir de 2029, el poder judicial de EE.UU. divulgará públicamente cuántas veces los jueces autorizaron el uso de intervenciones telefónicas ejecutadas con herramientas de hacking y spyware, una categoría que el gobierno federal llama “técnicas de investigación de red” (NITs, por sus siglas en inglés).

Qué cambia exactamente

Durante casi dos décadas, la Oficina Administrativa de los Tribunales de EE.UU. — que coordina las operaciones del poder judicial — ha publicado informes anuales de Wiretap. Estos reportes detallan cuántas intervenciones telefónicas se autorizaron cada año, desglosadas por tipo de juez (federal o estatal), estado donde se realizaron, tipo de delito investigado y otros datos.

Las intervenciones telefónicas permiten a la policía acceder en tiempo real a llamadas, mensajes y otras comunicaciones de las personas. Dado lo invasivas que resultan para la privacidad, las fuerzas del orden deben presentar un estándar de evidencia muy alto antes de que un juez autorice una intervención en vivo. Por eso se emiten en números mucho menores que las órdenes de registro, aunque pueden capturar grandes volúmenes de comunicaciones. Hace unos años, por ejemplo, una sola intervención permitió una operación de vigilancia masiva que recolectó millones de mensajes de texto en tres meses.

La novedad es la nueva categoría “spyware/hacking”. La Oficina Administrativa de los Tribunales de EE.UU. informó esta semana al senador demócrata Ron Wyden que comenzará a rastrear esta categoría a partir del informe de Wiretap de 2028, que se publicará al año siguiente.

“El informe de Wiretap se compila a partir de formularios individuales enviados desde todo el país durante todo el año. Antes de que los nuevos datos puedan aparecer en el informe anual, los formularios y procedimientos de reporte deben actualizarse para acomodar las nuevas categorías.” — Portavoz de la Oficina Administrativa de los Tribunales de EE.UU.

El alcance (y los límites) de la nueva estadística

Es importante notar que esta estadística solo revelará cuándo las autoridades usaron spyware para interceptar comunicaciones, como llamadas y mensajes de Signal o WhatsApp — no cuándo usan herramientas para hackear remotamente un teléfono y extraer datos almacenados en él, como imágenes, archivos o ubicación. Lo primero es una intervención (wiretap); lo segundo es un registro (search), un proceso legal completamente diferente.

Una victoria para la rendición de cuentas

Wyden, quien ha criticado “el secretismo innecesario alrededor de las órdenes de vigilancia electrónica” y pide la publicación de estos datos desde 2017, celebró el cambio:

“El pueblo estadounidense sigue en gran parte a oscuras sobre las diferentes formas en que el gobierno lo espía. Agradezco que los tribunales federales hayan aceptado recolectar y publicar datos sobre el hacking, pero el Congreso debe ir más allá y aprobar mi Ley de Transparencia de Vigilancia Gubernamental.” — Ron Wyden, senador de EE.UU.

Para los expertos en privacidad, lograr este nivel de transparencia es una victoria enorme.

“Hasta ahora solo podíamos adivinar la magnitud del problema… Poder señalar un informe que diga que el spyware se usó X número de veces ayudará con la rendición de cuentas, especialmente si resulta que ese número es bastante alto. Es difícil decir que usas spyware como una herramienta quirúrgica cuando lo has desplegado decenas de miles de veces.” — Eva Galperin, directora de ciberseguridad de la Electronic Frontier Foundation

Brett Max Kaufman, consejero senior del Centro para la Democracia de la ACLU, calificó el cambio como “un paso adelante importante y largamente esperado para la transparencia alrededor del hacking gubernamental, que debería llevar a políticas y leyes mejor informadas”.

Contexto global: otros países ya lo hacen

Estados Unidos no es pionero en esto. Otros países, como Italia, ya publican datos detallados sobre el uso de spyware. Por ejemplo, en 2023, el spyware se usó contra 4,321 objetivos en el país, según datos públicos.

Por qué importa más allá de EE.UU.

Para la comunidad tech y de ciberseguridad en LATAM, esta noticia es un precedente valioso: demuestra que la transparencia sobre vigilancia gubernamental es posible y exigible. El spyware comercial — como el infame Pegasus de NSO Group — se ha detectado en múltiples países de la región, y los mecanismos de rendición de cuentas siguen siendo escasos. Lo que ocurre con los tribunales estadounidenses sienta un estándar que los activistas y legisladores de todo el mundo pueden usar como referencia para exigir datos similares en sus propios países.

El cambio no elimina el problema de fondo — los gobiernos seguirán usando spyware — pero introduce lo que los expertos llaman la herramienta más poderosa contra el abuso: la capacidad de medirlo. Y como dice Galperin, cuando un gobierno tiene que justificar públicamente miles de usos de spyware, la conversación cambia por completo.

Sigue explorando estos temas en el blog de DojoFullStack: cubrimos ciberseguridad, privacidad digital y las tecnologías que están transformando — para bien o para mal — el mundo del desarrollo y la innovación.