Espionaje: ¡qué terrible efecto de señalización!

Desde hace semanas se lleva a cabo una notable campaña de espionaje contra altos políticos alemanes y otras figuras públicas. Funciona a través del servicio de mensajería Signal. Las agencias rusas, según el gobierno estadounidense y en particular los servicios secretos rusos, serían responsables de la operación. Debería tener acceso a las noticias de la presidenta del Bundestag, Julia Klöckner, de la ministra de Vivienda, Verena Hubertz, y de la ministra de Familia, Karin Prien, así como de la ex vicepresidenta del Servicio Federal de InformaciónArndt Freytag von Loringhoven.

El vicepresidente del Bundestag, Andrea Lindholz, pidió públicamente “considerar una prohibición de señales en los dispositivos oficiales de los parlamentarios y empleados del Bundestag”. debería ser el martes Bundestag Lo recomiendo. Sin embargo, tal medida no resolvería el problema; de hecho, sería contraproducente. En cambio, se necesitan advertencias más rápidas por parte de las autoridades de seguridad y medidas de ciberseguridad para la política y la administración, como la capacitación obligatoria para el personal de alto nivel.

Cómo funciona el ataque de señal

Para comprender por qué cambiar la plataforma de mensajería sería de poca ayuda contra esta amenaza, resulta útil observar el enfoque de los atacantes. El requisito previo para el ataque era que los atacantes conocieran el número de teléfono o el nombre de usuario de Signal de sus objetivos. Luego se presentaron como soporte de Signal en un mensaje y pidieron a los usuarios que ingresaran su PIN de Signal (una contraseña de seguridad), abrir un enlace o escanear un código QR. Quien respondió no protegió su cuenta, sino que dio a los atacantes acceso a su historial de conversaciones actual y hasta hace 45 días.

Entre los objetivos conocidos de la operación de espionaje se encuentran, además de la política alemana, también miembros del gobierno estadounidense, militares holandeses y estadounidenses, parlamentarios alemanes y británicos, así como periodistas y representantes de la sociedad civil. En lenguaje técnico, esto se llama “spear phishing”: los atacantes obtienen específicamente información de personas que consideran objetivos de alto valor.

Los servicios supuestamente rusos no “piratearon” el servicio de mensajería Signal para su golpe de espionaje. De hecho, Signal es uno de los servicios de mensajería más seguros del mundo. En lugar de eso, aprovecharon las funciones que tienen muchos mensajeros por una buena razón: cuando los usuarios cambian de teléfono, pueden usar la contraseña para transferir la cuenta de Signal al nuevo dispositivo.

Esto no requirió ningún conocimiento técnico, sino que los atacantes tuvieron que persuadir hábilmente a las personas para que cayeran en el engaño. el como “ingeniería social” El procedimiento descrito es probablemente tan antiguo como el propio arte del espionaje. Los servicios rusos utilizaron una técnica similar hace años para atacar objetivos en Armenia, Bielorrusia, Moldavia y Ucrania.

El método es similar a una estafa utilizada por delincuentes que utilizan el chat para hacerse pasar por el médico de un familiar herido. Las personas contactadas deben transferir urgente e inmediatamente el dinero a una cuenta bancaria para recibir tratamiento. También en este caso no se manipula ni el chat ni el banco, sino que los delincuentes explotan las relaciones de confianza. En consecuencia, no se trata de cambiar de banco en respuesta a tales transacciones. Después de todo, no serviría de nada.

Además, el público y especialmente los políticos de alto nivel conocían exactamente esta operación de espionaje. Así fue como fue Protección de la Constitución A finales de enero se dirigió a la administración del Bundestag. A principios de febrero, la Oficina para la Protección de la Constitución y la autoridad nacional alemana de ciberseguridad, BSI, emitieron una advertencia pública. La Fiscalía Federal investiga el caso desde mediados de febrero. Los medios especializados estadounidenses informaron de ello ya en octubre de 2025 y la administración parlamentaria británica notificó a sus familiares ya en diciembre de 2025.

Política simbólica cuestionable

Después de que el vicepresidente del Bundestag, Andrea Lindholz, pidiera que se prohibiera a la administración del Bundestag utilizar Signal, la comisión de tecnologías de la información y digitalización del consejo de ancianos del Bundestag debatirá el tema el 5 de mayo. Si la comisión decide a favor de la prohibición y el consejo de ancianos del Bundestag está de acuerdo, Signal podría quedar excluido de los dispositivos oficiales del Bundestag alemán. Una decisión así probablemente tendría un efecto de señal para todo el gobierno y la administración federal.

Desgraciadamente, se trata de una política simbólica cuestionable que no mejoraría la ciberseguridad de los principales políticos alemanes, sino todo lo contrario. Cambiar a otro mensajero como Wire solo solucionaría el problema subyacente, no lo eliminaría. Primero, el procedimiento funcionaría de la misma manera con otros mensajeros. En segundo lugar, muchos contactos políticos seguirán utilizando Signal, razón por la cual es probable que los políticos sigan haciéndolo. Si esto no fuera posible en sus dispositivos de trabajo, las comunicaciones laborales se trasladarían a dispositivos privados (generalmente menos seguros), que a su vez se convertirían en un blanco fácil para espionaje oferta. Esto significaría que se perdería más seguridad de la que se ganaría.

Entonces, ¿qué se debe hacer? En primer lugar, los políticos de alto nivel deberían ser informados específicamente de las amenazas. Las advertencias deben emitirse con prontitud y no meses después de que la prensa ya haya informado sobre una campaña de espionaje rusa en curso contra otros estados occidentales.

Pero no deberían ser simplemente ofertas voluntarias de información. En la economía regulada, la ley ahora exige medidas de capacitación y concientización en ciberseguridad. Las instituciones políticas, la administración pública y los partidos políticos ciertamente pueden describirse como “infraestructuras críticas”, pero no están regulados como tales. En cambio, los requisitos son mucho más permisivos: no existen estándares mínimos para la seguridad informática de los partidos políticos. Los municipios incluso fueron excluidos de la implementación nacional de la directiva europea NIS 2, que define un alto nivel de ciberseguridad en la UE.

Entonces, si los responsables de las políticas quieren garantizar que operaciones similares (o la actual campaña de Rusia) causen menos daños en el futuro, deberían aumentar su experiencia en seguridad. Por lo tanto, tendría sentido impartir capacitación obligatoria a parlamentarios y otros “objetivos políticos de alto valor”. Por el contrario, una prohibición de las señales sería un instrumento que agravaría aún más la situación de la ciberseguridad en Alemania.

Alexandra Paulus es científica especializada en ciberseguridad y tecnologías críticas en la Fundación Ciencia y Política (SWP).

Sven Herpig es jefe de ciberseguridad y amenazas emergentes en el grupo de expertos tecnológico europeo Interface.

Stefan Hessel es abogado, socio y director de Negocios Digitales del bufete de abogados Reuschlaw.

Dennis-Kenji Kipker es profesor de derecho de ciberseguridad en la Universidad de Ciencias Aplicadas de Bremen y fundador y director de investigación del Instituto de Ciberinteligencia (CII).

Nota del editor: los autores invitados utilizan la ortografía de dos puntos para algunos términos, lo que deja espacio para diferentes identidades (por ejemplo, no binaria o transgénero). Como equipo editorial, utilizamos esta ortografía.