El policía de la ‘dark web’

La policía detuvo hace unos días a un estudiante de 28 años en Sevilla. Era, presuntamente, un líder internacional de pedófilos. Tenía foros cerrados muy valorados, según la policía, donde se intercambiaba pornografía infantil. Para acceder a sus páginas, pedía a los pretendientes una prueba de fuego: el "envío de imágenes de incestos reales".

Todo eso ocurre en la dark web. Tiene un nombre fascinante, que evoca túneles infinitos llenos de asesinos y traficantes. Sin embargo, sería mejor que se llamara el cuarto oscuro de Internet. Allí se esconden ahora unos dos millones de personas que se conectan a unas 100.000 páginas, según datos de Tor Project, que es el navegador principal para entrar en la dark web.

En 2013, tras las revelaciones del entonces del Gobierno estadounidense Edward Snowden,  los usuarios llegaron hasta los seis millones, pero posteriormente esa cifra volvió a caer. La navegación por la dark web es más lenta y menos fiable. En España, los usuarios que se conectan rondan los 25.000. El tráfico de la dark web representa un 0,01% del total.

La dark web no es ninguna enorme ciudad. Es un cuchitril pequeño, encerrado debajo de una capa de oscuridad. "No es un panorama de infinitud, sino de oscuridad. Si fuera grande y con luz a lo mejor sería más difícil navegarlo", dice Manuel Guerra, analista de la Unidad Central de Ciberdelincuencia de la Policía Nacional. Guerra lleva "desde el principio"  trabajando en la dark web.

En el complejo policial de Madrid donde trabaja, Guerra tiene en su escritorio un equipo con cinco pantallas: "Las necesito", dice. Hay mucho servidor que controlar. El trabajo de Guerra consiste en ayudar a que sus colegas ciberpatrullen la dark web, como si pasearan por la web abierta. Prepara equipos "torificados", es decir, donde todas las conexiones se hacen a través de Tor, no solo la navegación sino también herramientas como DropBox, Skype o programas de ciberataques.

Guerra tiene en su escritorio un equipo con cinco pantallas: "Las necesito", dice.

Todas las dudas técnicas de los agentes sobre esta web oscura relacionadas con crímenes, que no incluyen el terrorismo, pasan por Guerra, que impartió una de las ponencias centrales sobre la dark web en el reciente C1b3rwall, el congreso de Seguridad Digital y Ciberinteligencia que se celebra en la Academia de Policía en Ávila.

La dark web es un lugar donde esconderse y comunicarse. El objetivo del navegador Tor es santificar la privacidad online: que nadie sepa desde dónde navegas ni qué visitas. Es útil para criminales, pero también lo usan ciudadanos de países donde la comunicación online está vigilada.

La dark web se confunde a veces con la deep web, que es esa parte de la web en abierto privada y que no está indexada por Google: los correos electrónicos, la banca online, los repositorios académicos cerrados, las fotografías privadas de Facebook. Ni la deep web ni la dark web aparecen en Google o en ningún otro buscador, pero por motivos distintos.

Nunca está todo bajo control

El pedófilo de Sevilla creía que tenía las cosas bajo control. Incluso impartía "las instrucciones precisas acerca de qué medidas de seguridad debían tomar para no ser objeto de una investigación policial", dice. No parece, sin embargo, que fuera tan capaz.

El objetivo en la dark web es esconderse. Se crea un foro o página y no se permite verlo a nadie que no tenga la dirección. Ningún buscador puede trazarlo, flota suelto en el ciberespacio. Es como una calle de una ciudad que solo la ven quienes saben dónde está. Pero ahí empiezan los peligros: un criminal no crea un foro para luego no compartirlo. Su objetivo es vender u ofrecer algún tipo de mercancía. Otros necesitan, por tanto, la dirección.

En el caso del pederasta de Sevilla y su red española, fueron las autoridades de Estados Unidos quienes alertaron a la policía. Alguien había visto o estado en ese foro. La colaboración ciudadana es central para encontrar la primera pista en estos casos. En Estados Unidos comprobaron que los malos vivían en España. Y mandaron un informe. La policía española ya sabía esta vez dónde buscar. Ahora había que entrar al foro.

"He buscado muchos tutoriales para ver cómo se montan esos foros", dice Guerra. "Una vez lo tengo montado tal cual se explica ahí, voy a ver qué fallos tiene. Son tutoriales hechos para que el sistema funcione, no para que sea seguro", añade.

"Es como un cocinero al ver un plato: no hace falta ver la receta para saber que algo que no se ha hecho bien"

Junto a esos conocimientos, está la práctica de haber cerrado más de 100 servidores donde se alojaban páginas o foros delictivos: "Es como un cocinero al ver un plato: no hace falta ver la receta para saber que algo no se ha hecho bien. Solo con olerla, con ver la textura ya sabe que no está bien hecha. Es parecido al ver un servidor", explica Guerra.

Pero muchas veces no es tan fácil entrar sin contraseña. En el caso de Sevilla, además de usuario y contraseña, el administrador requería una prueba de iniciación: incestos reales. "En casos así usamos un agente encubierto tecnológico, que es como los policías que se hacían pasar por compradores de droga o se metían en una organización criminal. Nosotros lo hacemos igual pero de forma tecnológica. Creas una identidad simulada con autorización judicial. Es una identidad que luego hay que madurar. De repente, aparece el supercriminal y quiere ser tu amigo", dice Guerra.

Los agentes encubiertos son buenos disfrazados de malos. Entre los, por ejemplo, 42 miembros de un foro de pornografía infantil o de venta de números de tarjeta puede haber varios policías, con su papel perfectamente elaborado durante meses de trabajo de investigación. Una vez dentro del foro, la dark web complica la identificación de cada uno de los miembros. Trazar la identidad hasta una IP fiable a menudo requiere investigar fuera de la red. Se sospecha de alguien y se estudian sus movimientos en la vida real para ver si está conectado a la misma hora que su alias online. Es un modo de confirmar o descartar. Son operaciones largas

La vieja 'dark web'

"La tecnología sigue siendo la misma, casi todo sigue siendo igual", dice Guerra. La dark web ya no es ninguna novedad. Las primeras drogas vendidas online provocaron muchos titulares: Silk Road era en 2011 el "Amazon de las drogas" y otros productos clandestinos. Luego las fuerzas de seguridad han desmontado otros supermercados criminales, como AlphaBay, Hansa o Wall Street Market, pero no han sido tan notorios.

Este cambio de modelo tiene una explicación, dice Sergio Pastrana, profesor de la Universidad Carlos III: "Silk Road fue el inicio de un nuevo modelo de negocio para vendedores de droga y otros productos del mercado negro. Que cayera no supone que la tecnología de anonimato fuera mala, y es normal que desde entonces hayan aparecido nuevos. Hubo entonces una liberalización del mercado. Antes era como un monopolio: nadie podía competir con su volumen. Pero desde que cayó Silk Road, fueron muchos los que se animaron a montar su dark market [mercado negro]", explica.

"Cuando alguien entra y lo ve dice que no mola. Tienes unas expectativas altas y crees que vas a entrar y te van a ofrecer matar a tu vecino, pero no. Entras, funciona lento, es feo y la mitad son engaños", aclara Guerra.

"Tienes unas expectativas altas y crees que vas a entrar y te van a ofrecer matar a tu vecino, pero no"

Pero esto no implica que la policía deje de investigar: "Nunca he dejado de mirarlo. Pero hay que entender qué es eso en su justa medida, para qué sirve, qué resultados puede dar y quién lo puede usar. Alguien dirá que ha entrado en Tor y ha visto una página de tráfico de drogas. Claro, pero eso no es todo lo que da la dark web. Ahora, además, tecleas drogas y te lleva a tiendas que imitan a eBay o Wallapop, pero que son vendedores de droga, con sus estrellitas. Hay muchas páginas, tantas como tiendas online hay de zapatos", explica el investigador.

Según las tendencias de búsqueda en Google, el interés por la dark web ha ido creciendo paulatinamente en todo el mundo.

Guerra empezó su carrera policial con atracos a farmacias o bancos. Ahora las cosas han cambiado: "Desde entonces los atracos han bajado notablemente. ¿Cuánto tiempo hace que no sale una noticia de un atraco a un banco?", dice. En cambio, el cibercrimen no para. "¿Quiere esto decir que un atracador de bancos se ha pasado al cibercrimen? No. Quiere decir que son generaciones distintas", dice Guerra.

El policía recuerda el momento en que pasó de detener a veteranos atracadores a chavales. Tendría 23 años. Llevaba poco en la policía. "Fuimos a detener a un chaval de 18 años. Había hackeado unas cuentas de Twitter. Yo pensaba que ese podría haber sido yo. No porque hubiera hecho algo malo sino porque era de mi edad", dice.

El interés de Guerra por los delitos y trampas no termina cuando acaba su jornada. Sus recomendaciones para gestionar la privacidad son valoradas por un buen grupo de seguidores: "¿Tienes tu gestor de contraseñas subido en la nube? ¿Confías en la nube?", pregunta. Y añade una de las grandes máximas de la seguridad en Internet: "Nada es infalible". Su labor en la dark web es la prueba.