¿Existe el anonimato en la red?

Congregación de Anonymous en L.A.

 Una pregunta controvertida, sin lugar a dudas.

La respuesta no es sencilla, pero antes, definiremos el anonimato en Internet como la capacidad de realizar cualquier acción sin posibilidad de identificar al autor material de la misma. En el contexto actual esto puede ser enviar un correo electrónico, actualizar tu estado en una red social, publicar un mensaje en un foro, colgar o visualizar un video, escribir un comentario o un artículo en un blog, twittear un titular, etc. Sin embargo, también es posible utilizar la red para fines más oscuros.

Cada vez son más las empresas y organizaciones que, habiendo sufrido ya ataques directos o indirectos por parte de usuarios anónimos o viendo como sus competidores los han sufrido, dedican más recursos internos y externos a la vigilancia y protección de su imagen en Internet.
Algunos ejemplos de los ataques más recurrentes (y dolorosos para sus víctimas) son: orquestar una campaña de desprestigio contra una empresa a través de foros, verter injurias o calumnias contra trabajadores y directivos en un blog (propio o ajeno), enviar mensajes amenazantes (ciberacoso), publicar información secreta de una compañía, hackear, o mejor dicho crackear, la página Web de una organización, etc.

¿Sospechoso habitual?

Planteado así, parece obvio que no existe el anonimato. Cada acción deja su traza digital y ésta puede ser investigada. En la práctica, como siempre, todo pasa del blanco y negro a un tono gris con diferentes matices. La lucha contra el anonimato tiene, al menos, dos enemigos: uno técnico y otro legal.

Obstáculos técnicos

Desde el punto de vista digital, si bien es cierto que toda acción deja su huella (ya sea en un ordenador, en un servidor, en un ISP, etc.), hay técnicas más o menos elaboradas que permiten potencialmente que nunca se pueda conocer el autor real de una acción determinada. Las pruebas digitales, generalmente nos llevarán hasta un elemento informático, pero rara vez hasta su autor real, entendiéndolo como persona con nombres y apellidos.

Además de este problema, intrínseco al mundo digital, entre el autor y la víctima puede haber Starbucks, bibliotecas públicas, wifis de vecinos, cibercafes, proxys anonimizadores.
Si a esto le añadimos capas de complejidad adicionales como cloud, computación distribuida, virtualización, etc. la cosa todavía se complica más.

Al final, al juzgador no le interesa una respuesta gris. Los hechos se han probado o no se han probado. El autor es ésto u otro. No valen medias tintas cuando puede haber condenas de por medio (especialmente en el ámbito penal).

Protección legal

En el ámbito legal, existen diversas limitaciones que pueden complicar la tarea de la identificación. Desde el punto de vista de la víctima, se pueden investigar los hechos, pero salvo algunas excepciones, para poder determinar con plena seguridad quien está detrás de los mismos o poder mitigar los daños será precisa la intervención de la Autoridad Judicial, a través de oficios a operadores ISP, por ejemplo.

Típico anónimo

Creo que todos estaremos de acuerdo en esta medida es necesaria y fundamental en un estado de derecho. Sin embargo, esto nos lleva al siguiente problema, y es que para que intervenga la Justicia, debe establecerse que los hechos son constitutivos de delito, lo cual no siempre está claro: libertad de expresión vs. Injurias, hacking ético vs. cracking, etc. Muchas veces, los ataques perpetrados por anónimos son difíciles de tipificar o caen en una zona gris que nadie quiere delimitar.

Además, los tiempos requeridos para movilizar toda esta maquinaria legal, siguen siendo en muchos casos prohibitivos, dejando indefensa a víctima de los ataques o llegando tarde, cuando el daño ya está hecho.

Si además los operadores o proveedores de servicio son extranjeros, la situación se complica en varios órdenes de magnitud.

Resumiendo

En esencia, nos encontramos ante retos tanto tecnológicos como legales. Los que nos dedicamos a la seguridad y al forense tenemos que ponernos las pilas, tanto para estar al día de las nuevas tecnologías como para saber traducir las investigaciones electrónicas a sus destinatarios no técnicos.

Pamfleto de Anonymous

Los deberes del estamento legal y policial, los dejo a criterio del lector, pero creo que pasan por la agilización y optimización de los recursos, muchas veces insuficientes, de los que dispone.

Nuestra recomendación para aquellas empresas o particulares que sufran una situación de acoso o ataque a través de los medios digitales, consiste en poner en manos de profesionales la investigación y sobre todo, no dejarse llevar por la situación o tomar cartas en el asunto. Los contraataques, ya sea contestando a los contenidos vertidos, tratando de hacerlos desaparecer o incluso crackeando a los autores, suelen arrojar unos resultados desastrosos.

Existen varios organismos que pueden actuar como expertos para asesorar a las víctimas, entre ellos, empresas especializadas en la investigación digital y la prueba electrónica, abogados especializados en nuevas tecnologías, las brigadas tecnológicas de las Fuerzas de Seguridad del Estado, agencias estatales de seguridad y las propias Autoridades Judiciales.

Cuando existe una buena estrategia y los diversos actores están bien coordinados, los resultados suelen ser muy positivos y se consigue localizar y, en su caso, detener al autor de los hechos y forzar el cese de sus actividades.