En México, desde las fiscalías hasta gobiernos estatales e incluso instituciones como Petróleos Mexicanos y la Guardia Nacional o la Secretaría de la Defensa Nacional han adquirido y utilizado herramientas de intervención de comunicaciones, extracción de información de dispositivos, geolocalización, y hasta antenas falsas para espiar a ciudadanos, pese a que no tienen facultades legales o no contaron con orden judicial para ello.
Así lo revela el informe “El Estado de la Vigilancia” de la Red en Defensa de los Derechos Digitales (R3D), que incluye el diagnóstico de la vigilancia en las comunicaciones en el país realizada desde 2012 y hasta 2023, de acuerdo con registros oficiales de las adquisiciones y hallazgos de equipos intervenidos, sobre todo de periodistas, defensores de derechos humanos y políticos.
De acuerdo con datos publicados por el Poder Judicial de la Federación, existe una clara tendencia al alza en la resolución de solicitudes de intervención de comunicaciones privadas por parte de jueces federales en los últimos años.
Mientras en 2017, el último año de gobierno de Enrique Peña Nieto, los jueces recibieron mil 756 solicitudes para intervenir comunicaciones, en 2018, el año de la transición, hubo 5 mil 881 y para 2023 registraron 10 mil 626, lo que representa un crecimiento de 80% en el sexenio de Andrés Manuel López Obrador.
Sin embargo, existe evidencia de que las autoridades utilizan las herramientas de vigilancia aún sin orden judicial y sin tener facultades legales.
Por ejemplo, si bien la Guardia Nacional reportó haber solicitado la autorización para la intervención de comunicaciones privadas 92 veces en el año 2020, en una respuesta a una solicitud de acceso a la información realizada por R3D, la Guardia Nacional reportó haber intervenido las comunicaciones privadas de 289 líneas telefónicas (3.14 líneas por solicitud).
Además, aunque instituciones como las Fiscalías tienen la obligación de reportar las solicitudes de intervención de las comunicaciones, en 2020, la Fiscalía General de Chihuahua reportó en la Plataforma Nacional de Transparencia haber realizado 524 solicitudes de intervención de comunicaciones privadas. Pero en respuesta a solicitudes de información, dijo haber realizado 601.
Sobre el acceso a datos conservados y geolocalización a empresas de telecomunicaciones, R3D advierte que “existen otros indicios de un mayor subregistro derivado del abuso del mecanismo excepcional contemplado en el artículo 303 del CNPP, para solicitar directamente el acceso a datos conservados a las empresas de telecomunicaciones sin control judicial previo y sujeto a la ratificación posterior por parte de la autoridad judicial federal”.
A partir de los datos obtenidos mediante solicitudes de acceso a la información, entre 2016 y 2019, las autoridades admiten que al menos el 57.3% de las solicitudes reportadas fueron realizadas sin control judicial previo, de las cuales el 76.7% fueron realizadas invocando las causales de excepción a las que se refiere el artículo 303 del CNPP y de ellas, el 39.5% no fueron ratificadas total o parcialmente.
Entre los abusos que se han documentado, se encuentra evidencia revelada por The New York Times en noviembre de 2023 sobre cómo la Fiscalía General de Justicia de la Ciudad de México accedió a registros telefónicos, mensajes de texto y datos de localización de diversas figuras políticas, tanto del partido gobernante como de la oposición.
La Fiscalía solicitó esta información a la empresa de telecomunicaciones Telcel, argumentando que estos datos serían utilizados en investigaciones sobre secuestros y desapariciones e invocando las causales de excepción de la autorización judicial previa a las que se refiere el artículo 303 del CNPP.
Sin embargo, R3D sostiene que se trata de un “modus operandi”, toda vez que también le ocurrió a la periodista Marcela Turati, la cofundadora del Equipo Argentino de Antropología Forense (EAAF), Mercedes Doretti, y la defensora de derechos humanos Ana Lorena Delgadillo, quienes señalaron que la Subprocuraduría Especializada en Investigación de Delincuencia Organizada (SEIDO) accedió a sus registros telefónicos al incluirlas en en la misma carpeta donde se investigaba a integrantes de una organización delictiva.
“A partir de estos casos se ha apreciado un modus operandi en el que las fiscalías abren una investigación o usan una existente y, con base en ‘información anónima’, solicitan a las empresas de telecomunicaciones que les den información de números que no guardan relación con algún delito. De esta forma se utilizan carpetas sobre secuestro u otros delitos graves con la intención de eludir la obligación de obtener autorización judicial federal de manera previa”, señala el informe.
La organización R3D documentó en “El estado de la Vigilancia” que en México se han usado herramientas como FinFisher de Gamma International, Galileo de Hacking Team, Pegasus de NSO Group y Reign de Quadream para infectar equipos y acceder a toda la información del usuario.
También han utilizado herramientas de extracción forense e incluso antenas falsas y geolocalización basada en la explotación de vulnerabilidades en la infraestructura de telecomunicaciones.
En 2013 y 2015, una investigación de Citizen Lab –laboratorio multidisciplinario de la Universidad de Toronto– reveló evidencia sobre la presencia de servidores de comando y control de FinFisher en 32 países, incluyendo en México.
Sobre Galileo de Hacking Team, gracias a una gran cantidad de correos electrónicos y documentos internos de la firma italiana Hacking Team fueron filtrados al público el 5 de julio de 2015, se demostró que la empresa de software de espionaje había vendido sus productos a gobiernos de países bajo graves crisis de derechos humanos, tales como Baréin, Sudán o Uzbekistán. De un total de 35 naciones.
En México, los gobiernos locales mencionados con relaciones comerciales con Hacking Team se encuentran: Baja California, Campeche, Chihuahua, Durango, Estado de México, Guerrero, Jalisco, Nayarit, Puebla, Querétaro, Tamaulipas y Yucatán; así como dependencias como la Secretaría de la Defensa Nacional (Sedena), el Centro de Investigación y Seguridad Nacional (CISEN), la Policía Federal, la Procuraduría General de la República (PGR) y Petróleos Mexicanos (Pemex).
Otro ejemplo es Pegasus de NSO Group, una compañía israelí que asegura dedicarse a “proveer a gobiernos autorizados con tecnología que los ayude a combatir el terror y el crimen; la compañía vende solo a agencias gubernamentales autorizadas, y cumple cabalmente con estrictas leyes y regulaciones de control de exportaciones”
El primer antecedente de Pegasus en México se registró en 2012, cuando investigaciones periodísticas publicaron que la Secretaría de la Defensa Nacional (SEDENA) se convirtió en el primer cliente internacional de NSO Group, al adquirir el sistema Pegasus como parte de una serie de contratos celebrados con la empresa Security Tracking Devices S.A. de C.V., los cuales ascendieron a 5.6 mil millones de pesos.
El espionaje continuó en el gobierno de Andrés Manuel López Obrador, en 2019 y 2022, toda vez que existe evidencia de que la Sedena adquirió un software a la empresa autorizada para la venta del software en México, con el que accedió a la comunicación celular del defensor de derechos humanos, Raymundo Ramos, el periodista Ricardo Raphael y un periodista de Animal Político.
También se realiza vigilancia masiva con antenas falsas, aunque México no tenga un marco legal de regulación. Mediante una serie de solicitudes de acceso a la información pública realizadas por R3D, se ha documentado la compra de antenas falsas por parte de diversas autoridades como las Procuradurías de Baja California, de la Ciudad de México, Morelos, Nayarit, Quintana Roo, Puebla.
Además, documentos internos de la SEDENA revelan la adquisición y uso de antenas falsas de marca Verint, Modelo Engage Pi2, también denominado por el Ejército como “Sistema GSM Pasivo”.
Pese a la ilegalidad del espionaje, en México no hay un solo sentenciado por ello, y las autoridades ni siquiera han realizado el trabajo de investigación de manera expedita. en 2017, 2022 y 2023, las personas vigiladas por el spyware Pegasus, principalmente personas defensoras de derechos humanos y periodistas, presentaron denuncias penales ante la Fiscalía Especial para la Atención de Delitos Cometidos contra la Libertad de Expresión (FEADLE), pero hasta el momento no han hallado a ningún responsable.
“La Fiscalía, entre otras deficiencias, se ha negado a realizar actos esenciales de investigación, ha obstruido y fragmentado las investigaciones, ha hecho recaer la carga de la prueba en las víctimas y les ha negado copia de los expedientes”, afirma el informe.
Respecto a la más reciente investigación sobre el abuso de Pegasus por parte del Ejército entre 2019 y 2022, la Fiscalía no ha logrado ningún avance en más de dos años. Ni siquiera ha podido obtener los contratos en los que el Ejército obtuvo licencias para operar Pegasus.
Esto porque la Sedena se ha negado a hacer públicos los contratos con NSO Group para la adquisición de Pegasus u otros sistemas de vigilancia, como prometió públicamente el presidente López Obrador, a pesar de las numerosas pruebas y documentos que muestran el número y las fechas de los contratos, así como los pagos realizados por la institución.
