El Gobierno de El Salvador favoreció con un contrato millonario directo en equipo de espionaje a un amigo del presidente Nayib Bukele. En octubre de 2020, siete meses y medio después de que el presidente Bukele diera un discurso en la boda de Yaniv Zangilevitch, dueño de una empresa que distribuye tecnología de espionaje y videovigilancia, la Policía Nacional Civil de El Salvador le asignó un contrato por $2.2 millones a Eyetech Solutions, la compañía de Zangilevitch.
La amistad del presidente con el empresario se hizo pública el 1 de febrero de 2020, durante el brindis por la boda de Zangilevitch con Mirelle Muzquiz, en Acapulco, México. En ese evento, Bukele dio unas palabras en honor a su amigo: “Yo conozco a Yaniv desde hace cinco años”, dijo. “Hemos estado en El Salvador, en la frontera con Estados Unidos, en Baja California, en Acapulco, en la Ciudad de México, en Israel, en Guatemala, en el Mar Muerto, en Jerusalén, en Tel Aviv”. A esa boda, el presidente acudió acompañado de su esposa, Gabriela Perezalonso, y de un funcionario de su gabinete, el director del Organismo de Inteligencia del Estado (OIE), Peter Dumas, según aparece en distintas fotos y vídeos del evento.
Zangilevitch es un ciudadano israelí radicado en México. Según su hoja de vida, publicada en la red Linkedin, fue “oficial de operaciones especiales” en las Fuerzas Armadas de Israel, entre 1991-1997. Luego trabajó como “especialista en lucha contra el terrorismo” para la oficina del entonces primer ministro de Israel, Benjamín Netanyahu (1997-2009) y otros primeros ministros. Y desde 2011 es propietario y Ceo de la compañía Eyetech Solutions.
Según la revista mexicana Proceso, Eyetech Solutions, una empresa mexicana fundada por israelíes, vendió el sistema de espionaje NiceTrack a la Secretaría de Seguridad Pública (SSP) de México, cuando era dirigida por Genaro García Luna, quien ahora enfrenta en Estados Unidos un juicio por presunta complicidad con grupos del crimen organizado y el narco. Eyetech Solutions, según Proceso, también distribuye en México productos de empresas conectadas con Israel, como la empresa Circles, domiciliada en Bulgaria, que en 2014 se fusionó con la empresa israelí NSO Group, que vende licencias del software de espionaje Pegasus. Eyetech es señalada en México por participar en la negociación de contratos inflados hasta cincos veces del costo inicial para el proyecto “Escudo Yucatán” y, según un artículo del Sol de Yucatán, la empresa ha dado dádivas a funcionarios de Toluca.
En El Salvador, la empresa de Zangilevich también ganó un contrato de $84,9 millones para suministrar cámaras para el proyecto de videovigilancia en San Salvador durante la administración municipal del arenero Ernesto Muyshondt (2018-2021). Según una investigación de Revista Factum, Nayib Bukele había fracasado en dos ocasiones cuando, siendo alcalde de la capital por el FMLN (2015-2018), intentó otorgar esos contratos a Eyetech Solutions.
El segundo contrato conocido lo suscribió la Policía Nacional Civil, en 2021, bajo la administración Bukele, cuando compró a la empresa de Zangilevitch software y equipo para ubicar a personas a partir del GPS y las redes wifi a las que se conectan sus teléfonos celulares.
La Policía también compró equipo para descifrar la identidad de usuarios de perfiles de redes sociales, una acción denunciada internacionalmente por compañías como Meta, dueña de Facebook. Y adquirió antenas móviles -también conocidas como antenas falsas o Imsi catchers- que pueden transportarse y que hacen que teléfonos que están cerca se conecten para luego poder seguir en tiempo real a una persona, detectar a otras en el mismo lugar e identificar a quiénes llaman por teléfono o con quiénes intercambian mensajes.
La tecnología que permite identificar quién está detrás de perfiles de redes sociales fue adquirida para apoyar el trabajo de los “agentes virtuales”, según el manual de ese software elaborado para uso de la Policía y a cuya copia tuvo acceso El Faro. El 1 febrero de 2021, Eyetech compartió con la Policía un manual dirigido a “agentes virtuales”, en el que incluyen la ilustración de una consola del programa “Tangles”, que contiene un buscador similar al de Google. La herramienta muestra distintos perfiles de redes sociales asociados a una persona, ubicaciones donde un usuario permaneció conectado e información extraída de distintas fuentes abiertas de internet.
La Policía utilizó “Tangles” entre el 5 de enero de 2021 al 5 de enero de 2022. La licencia del software permitía hacer 12,000 búsquedas denominadas como “créditos”. Según un correo interno del 2 de diciembre de 2021, la institución ya había utilizado más de la mitad de los créditos. “Me permito informarle que de acuerdo con la base de datos del sistema a la fecha se han consumido 7,322 créditos de los 12,000 adquiridos', escribió el director de operaciones de Eyetech, Gilad Pait, al subinspector de la Policía de nombre Ronald Alberto. “Por motivos de seguridad no tenemos acceso a ver las consultas realizadas en el sistema y por ende no contamos con un reporte mensual, en su lugar solo tenemos un indicativo de cuántas consultas se han realizado”, añadió en el correo del 2 de diciembre de 2021.
El 1 de febrero de 2022, 13 meses después de que la Policía comenzó a utilizar este software, la Asamblea -controlada por el presidente Nayib Bukele- aprobó reformas al Código Procesal Penal que legalizan el uso de la información obtenida por ese tipo de herramientas para procesos judiciales. Las reformas crean la figura de los “agentes digitales encubiertos”: que pueden crear perfiles en redes sociales o plataformas en internet e involucrarse en investigaciones denominadas en la Ley como “operaciones encubiertas digitales” y que “estarán a cargo de la Policía, previa autorización del fiscal general”. Esta reforma -que avala a estos agentes digitales- fue aprobada tres semanas después de que en enero de 2022 se revelara el uso masivo del software Pegasus para espiar a periodistas -incluidos 22 miembros de El Faro- y miembros de sociedad civil.
Organizaciones expertas en seguridad digital e informática señalan que no existen marcos regulatorios que permitan fiscalizar el uso que hacen los cuerpos de seguridad de estas herramientas. Sin un marco específico, nada impide que esas tecnologías se usen para perseguir periodistas, activistas y defensores de derechos humanos, como ha ocurrido en otros países. Un experto en seguridad digital de Front Line Defenders -quien por motivos de seguridad pidió no mencionar su nombre- explicó a El Faro que este tipo de tecnología proveída por empresas de ciberseguridad ofrece recursos muy sofisticados para tareas de inteligencia, como encontrar la ubicación de sujetos de interés.
El equipo y el software que la Policía compró permite saltarse el requisito de contar con la Fiscalía y la aprobación de jueces para tener acceso directo a este tipo de información. “Lo problemático es que se está adquiriendo esta tecnología sin que existan marcos regulatorios”, dijo. “La mayoría de la información (que estas herramientas recopilan) la podrían obtener vía órdenes judiciales a las empresas telefónicas, entonces algo raro ocurre con que lo busquen por esta otra vía”, añadió.
Otro cabo suelto en el uso de estas tecnologías es el desconocimiento de los mecanismos internos que usa la Policía para crear perfiles falsos o simular identidades virtuales. ¿Qué reglas o criterios usa la PNC para evitar el uso indebido de estas herramientas? Por el momento, son desconocidas. Organizaciones de sociedad civil, agrupadas en la Mesa de Protección de Periodistas, condenaron esta reforma y señalaron que legaliza el espionaje. La reforma habilita a los “agentes digitales encubiertos” a recopilar documentos digitales, mensajes electrónicos, imágenes, videos, datos y cualquier tipo de información almacenada, recibida o transmitida a través de tecnologías de la información y comunicación o con cualquier dispositivo electrónico.
Es decir, esta reforma sirve como justificación legal para que los policías recolecten información con herramientas de espionaje digital.
El contrato de equipo tecnológico
El Gobierno contrató directamente (sin licitación ni concurso) a la empresa de Zangilevitch en octubre de 2020. Según el contrato, del 19 de octubre de 2020, los servicios vendidos a la Policía son tres: un “sistema de inteligencia web tangles con almacenamiento en la nube y tres usuarios” a un costo de $680,000; un “sistema de geolocalización celular ‘Geoloc’ (LTE incluido) con 12 mil consultas” por $480,000; y un “equipo de identificación y localización de última milla de teléfonos celulares de tipo ‘Guardian’” valorado en $793,000. El contrato de'equipo tecnológico para la plataforma integral de investigación y análisis' asciende en total a $2,206,890 (con impuestos incluidos) y fue aprobado por el director de la Policía, Mauricio Arriaza Chicas.
Eyetech Solutions no fabrica el equipo ni el software, sino que contacta a fabricantes israelíes y vende los productos y servicios de esos proveedores, y uno de ellos es Cobwebs Technologies. En diciembre de 2021, Meta (la empresa propietaria de Facebook e Instagram) incluyó a Cobwebs, la fabricante de Tangles, en una lista de empresas que prestan servicios 'en la industria de la vigilancia para recolectar información, manipular y comprometer dispositivos y cuentas de personas en internet'.
Según un informe de la unidad financiera de la Policía, entre el 9 de marzo de 2021 y el 12 de mayo de 2021, la institución hizo cinco desembolsos por $1,225,800 a Eyetech Solutions. Quedaba pendiente un pago de $896,090 y el 20 de mayo de 2021 la institución emitió un “quedan”, un pagaré con el que hacía constar que le debía ese monto a la empresa mexicana. Aunque el contrato habla de 'Eyetech Solutions, sucursal El Salvador', fueron delegados de la sede en México quienes llevaron las principales comunicaciones, informaron sobre el manual de uso ad hoc para la Policía de El Salvador y resolvieron las dudas de uso de la tecnología.
En septiembre de 2021, el Gobierno preparaba una resolución de modificación con la que iban a aprobar una prórroga del contrato por un año más. La Policía, entonces, abrió un nuevo proceso de contratación y pidió dos cotizaciones a dos empresas: Eyetech Solutions y a la empresa israelí Cognyte para comprar equipo “Geoloc”, las antenas que sirven para localizar teléfonos. En representación de Cognyte se presentó la empresa Documentos Inteligentes.
La Policía eligió la oferta de Eyetech Solutions: un equipo “UT-X” (marca Zeus) utilizado para localizar teléfonos. La empresa competidora pidió anular la compra y señaló que la empresa de Zangilevitch no contaba con permiso del fabricante para vender equipo “UT-X”. 'Documentos Inteligentes S.A de C.V es representante exclusivo para el territorio de El Salvador y único socio comercial autorizado para ofertar productos a la PNC de la empresa Cognyte Technologies Israel (incluyendo todas sus marcas, patentes y derechos comerciales)', dice una carta de la representante legal de Documentos Inteligentes enviada a la Policía el 16 de septiembre de 2021 en la que asegura que el equipo UT-X es fabricado por Cognyte y que Eyetech no tiene permiso para venderlo en El Salvador. 'La empresa UT-X es parte de Cognyte y Cognyte no tiene dentro de su portafolio un producto llamado Zeus', añade la carta.
La queja no prosperó, Eyetech Solutions mantuvo el contrato. Una comisión que evalúo la compra en septiembre de 2021 mantuvo la decisión de contratar a Eyetech Solutions. En los registros a los que tuvo acceso El Faro no consta si el equipo “marca Zeus” fue recibido por la Policía. El 20 de enero de 2023, Documentos Inteligentes respondió a El Faro que no haría comentarios sobre el resultado de ese proceso de compra. El Faro también pidió comentarios de la Presidencia pero hasta el cierre de la nota no habían contestado. La solicitud fue hecha a través de la Secretaría de Comunicación a cargo de Sofía Medina; y a través de la Secretaría de Prensa, a cargo de Ernesto Sanabria. La oficina de comunicaciones de la Policía tampoco respondió.
El Faro también intentó obtener una entrevista con la empresa Eyectech por distintas vías: se envió un correo a la oficina de comunicaciones de Eyetech en México e intentó contactar con el número de teléfono de Gilad Pait, delegado de la empresa para el contrato.
El Faro tuvo acceso al expediente de la contratación de Eyetech Solutions, que fue facilitado por DDoSecrets, una organización que recibió los documentos de un grupo de hackers que se autodenomina Guacamaya. El Faro verificó los documentos y rastreó información de las empresas fabricantes en los registros públicos de empresas y de marcas de México y de Israel con ayuda del Centro Latinoamericano de Investigación Periodística (Clip).
Wave Guard Tracer
El 1 de abril de 2022, el directivo de Eyetech Solutions en México, Gilad Pait, mandó un correo a un técnico a la unidad de compras de la Policía y adjuntó un documento del fabricante del sistema “Wave Guard Tracer” (Guardian). Este producto, según la página web del fabricante israelí Wave Guard Technologies, sirve para “monitorear ubicaciones históricas y en tiempo real, los movimientos y la actividad de comunicación de individuos y grupos de cualquier tamaño”.
Este software permite recopilar algunos datos que producen los teléfonos y los interpreta. “Convierte los datos de la red celular sin procesar en inteligencia procesable -datos ordenados y legibles- en tiempo real, rastreando llamadas de voz, SMS, sesiones de datos e incluso teléfonos que están en estado inactivo”, dice la descripción del producto. Wave Guard Tracer permite identificar patrones: ubicaciones donde alguien ha permanecido, con quién se comunica y a través de qué aplicaciones, pero la empresa asegura en notas de medios internacionales que su producto no permite acceder al contenido de lo que se dice en las comunicaciones.
En los registros de la Policía, consta que Pait remitió una carta suscrita por Uzi Moscovici, el CEO de Wave Guard Technologies, al director de la Policía, Arriaza Chicas. Moscovici dice que autoriza a la empresa Protect360 El Salvador a participar en actividades de comercialización del sofware y de transferencia de conocimiento de Wave Guard Technologies. 'Es nuestro representante autorizado, exclusivo y por ende proveedor único para la comercialización, distribución e implementación de los sistemas Wave Guard Technologies para la república de El Salvador', dice la carta que envió el representante de Eyetech Solutions.
Según la página web de Wave Guard Technologies, el software está dirigido a organizaciones de aplicación de la Ley, de seguridad nacional e inteligencia y permite la geolocalización, detección y seguimiento a partir de dispositivos móviles. “Presenta análisis avanzados de bigdata de redes celulares y otras fuentes para identificar patrones de comportamiento y conocimientos que pueden ayudar en la prevención y el análisis posterior de eventos terroristas y delictivos”, dice la descripción del equipo “Guardian”.
Wave Guard promociona el servicio de monitoreo de cualquier dispositivo, cualquier red en tiempo real e histórico. “Los objetivos no pueden ocultarse, incluso si intercambian tarjetas SIM o redes móviles”, dice la descripción del producto. “Los perfiles de los sujetos también se pueden construir retroactivamente, utilizando datos históricos de redes cruzadas, para reconstruir movimientos y comunicaciones”.
El coordinador de protección digital de Front Line Defenders, consultado por El Faro, explicó que este equipo parece utilizar una vulnerabilidad en el protocolo de comunicaciones de teléfonos celulares, un protocolo conocido como SS7. “Los celulares usan el protocolo SS7 para conectarse a la red roaming, el problema de este protocolo es que cualquier proveedor de servicios de telefonía puede saber a qué antena celular está conectado un celular en el mundo”, dijo.
El coordinador de FLD dice que es común que empresas dedicadas a la ciberseguridad se inscriban en distintos países como empresas de telefonía, pero el único servicio que ofrecen es ubicar teléfonos dispositivos. “Cada antena que está georefenciada en el mundo puede conocer cualquier ubicación de un celular en el planeta y no hay manera de mitigarlo porque así funciona el protocolo roaming”, dijo. Mencionó el caso de una empresa de Uzbekistán que se inscribió como una empresa de telefonía y eso le permitió tener acceso a la red SS7. “Con ese acceso, lo que vendía la empresa era la geolocalización de cualquier teléfono celular”. La herramienta puede inferir la ubicación de un teléfono y a partir de esa información determinar donde vive el usuario, utilizando por ejemplo la ubicación del aparato en horario nocturno.
Los agentes virtuales y el Web Tangles
Entre el equipo que compró la Policía a Eyetech, está el servicio Web Tangles, con el que el usuario del software puede descifrar la identidad de una persona que está detrás de un perfil de redes sociales. El programa funciona, según uno de los manuales, con un buscador de información en línea, y el usuario del programa (el “agente virtual”) puede escribir un número de teléfono, correo, nombre de usuario u otra información con la que el programa localiza información que puede servir para identificar quién maneja la cuenta. En el caso de un correo electrónico, ofrece identificar en qué redes sociales se ha utilizado para crear perfiles: Instagram, Twitter, Facebook. Esta herramienta es propiedad de una empresa israelí que se llama Cobwebs Technologies.
Según el coordinador de protección digital de Front Line Defenders, el programa utiliza “source intelligence”, que consiste en recolectar datos para inferir quién está detrás, y para eso indaga si algún proveedor de servicios ha tenido alguna brecha de seguridad o filtración de información. “Por ejemplo, a partir de un correo se puede ir vinculando con bases de datos”, dijo. La empresa, por ejemplo, puede indagar si alguna red social ha sido vulnerada y dejado expuesta información como correo, teléfono, contraseña. Luego, utiliza esa información para localizar otros perfiles.
El 21 de enero de 2021, a las 9:26 am, Sonia Teos, empleada de administración de la Policía, envió un correo a Isaac Hope, director de ventas de la empresa Cobwebs Technologies y le comunicó que la institución estaba interesada en comprar el sistema “Tangles”. “Solicitamos nos brinden información acerca de las utilidades que se le puede dar a la herramienta, así como información específica que consideren de interés para el usuario al momento de adquirir el servicio”, dice el correo.
Hope respondió que el contacto en El Salvador era el representante de Eyetech Solutions. “Copio a (Gilad Pait) nuestro representante para que se ponga en contacto con usted y entender bien las necesidades y coordinar una demostración completa del producto (sic)”, respondió Hope, a las 10:51 am. “Gilad si nos ayudas a dar seguimiento y para programar una demostración (sic)”, añadió Hope. El 26 de enero de 2021, Gilad Pait pidió a Sonia Teos programar una reunión que se concretó para el 3 de febrero de 2021. “Con mucho gusto podría llegar a sus oficinas”, respondió Pait el 28 de enero del 2021.
Eyetech Solutions compartió en septiembre de 2021 un manual en el que menciona que la plataforma de Cobwebs Technologies crea usuarios para “agentes virtuales”. “Los agentes virtuales son creados y operados por analistas de inteligencia que recopilan información de fuentes abiertas y recursos humanos en la web”, dice el manual. “El sistema ayuda a los analistas a crear, gestionar y mantener la información esencial de los agentes virtuales a lo largo del tiempo”.
La herramienta de Web Tangles hace búsquedas en la deep web; identifica vínculos entre personas y perfiles de cuentas, y presenta la información en gráficos y mapas, según la descripción del producto. “Un oficial puede escribir en la barra de búsqueda cualquier tipo de pista, como un número de teléfono o un identificador de redes sociales y encontrar la identidad de la persona a la que está vinculado, así como otras direcciones y perfiles desconocidos que se encuentran al buscar en la open, deep y dark web (contenido que los buscadores no indexan y que requiere alguna autorización o algún software especial para acceder) para reunir una imagen unificada de una persona”.
En un correo, del 11 de febrero, consta que Pait programó en el calendario una capacitación del sistema “Tangles” a través de una videollamada. Según uno de los documentos que Pait compartió a la Policía, la plataforma Tangles tiene un mecanismo de reconocimiento facial y un módulo llamado “Webloc, investigación georeferenciada en base a información de aplicaciones celulares”. Este módulo permite al usuario del servicio investigar perímetros y encontrar dispositivos que están presentes en una ubicación, y para ello utiliza información como datos de señales GPS y Wifi.
El documento menciona que el sistema es capaz de definir características de una persona utilizando información como la ubicación del dispositivo (“trabajo, hogar, aficionado a los deportes, viajero”).
La empresa Cobwebs vende el reconocimiento de usuarios a partir de información recopilada en internet, incluida información de Facebook, Instagram, Whatsapp, Twitter, Flickr, sitios públicos y de la deep web (una parte oculta de internet que no está indexada en motores de búsqueda como los de Google, Yahoo, etc), según un informe de Meta. “Eliminamos 200 cuentas operadas por Cobwebs y por sus clientes”, dice ese informe de diciembre de 2021, que explica el motivo principal de esta medida. “Los clientes de Cobwebs participan en actividades de ingeniería social para unirse a comunidades, foros cerrados y engañar a las personas para que revelen información personal”.
Entre los países donde los servicios de Cobwebs han sido utilizados, según ese mismo informe, están: Bangladesh, Hong Kong, Estados Unidos, Nueva Zelanda, México, Arabia Saudita o Polonia. “Además de la orientación relacionada con actividades de aplicación de la Ley, observamos ataques frecuentes contra activistas, opositores, políticos y funcionarios gubernamentales en Hong Kong y en México”, dice el informe de Meta.
El 21 de enero, Cobwebs respondió de forma general a El Faro a través de un correo de sus relacionistas públicos, diciendo que la empresa no comenta detalles de contratos o de compromisos con clientes y que operan de acuerdo con la ley y tratados internacionales.
Equipo Geoloc: los IMSI Catchers
Entre el equipo que adquirió la Policía están antenas móviles para hacer seguimientos que se fabrican en Chipre, pero son comercializadas por empresas israelíes. Son antenas móviles que pueden transportarse en vehículos y funcionar como receptoras de señal para capturar información como la ubicación de una persona e inferir con quién está reunido.
El coordinador de seguridad digital de FLD dijo que por la descripción del equipo parece ser un “IMSI Catcher”, un aparato que usa el protocolo de comunicación de los teléfonos celulares con las antenas. Los teléfonos siempre buscan conectarse a antenas y estas antenas deciden, gracias a información de la tarjeta SIM, si permiten o no que el teléfono se conecte. “Lo que hace el Imsi Catcher es ponerse en medio”, dijo. En la descripción del producto que consta en la oferta de Eyetech Solutions a la Policía de El Salvador no menciona si este equipo puede utilizarse para escuchar llamadas, pero el expediente sí menciona otras características.
En las bases que la Policía envió el 18 de noviembre de 2020 la institución hizo una lista de características del equipo: “IMSI Catcher/equipo activo para la identificación y localización de última milla de teléfonos celulares”. Ese documento también describe algunas funciones. “El equipo debe incluir un sistema de radar en mano para la ubicación final del teléfono objetivo” y también menciona que el equipo debe recolectar un mapa de historial: “permite visualizar en un mapa como un objetivo se desplaza, señalando con marcadores y números”.
La descripción del producto que Eyetech Solutions vendió al Gobierno -que consta en el expediente de compra- dice que el equipo incluye un sistema radar en mano para conocer la ubicación final del teléfono objetivo. Destaca que el equipo es bastante discreto y puede caber en un vehículo: 'una porta traje montado dentro del vehículo próximo a las ventanas para camuflaje de las antenas direccionales permitiendo operaciones encubiertas desde un vehículo en movimiento'.
*Esta historia fue realizada gracias al apoyo de la Google News Initiative y con la colaboración del Centro Latinoamericano de Investigación Periodística (Clip).
