Fundamentos de seguridad

Sabemos que ICE y otras agencias policiales están usando herramientas de rastreo de ubicación que dependen en parte del "ID de publicidad" que tu teléfono proporciona. Estas herramientas suelen usarse para reprimir movimientos sociales.

En los iPhones, esta función está desactivada por defecto. En Android, viene activada por defecto y hay que desactivarla.

Estas apps tal vez sí necesitan tu ubicación mientras las usas:

• Navegación (Apple Maps, Magic Earth, CoMaps)
• Apps para pedir transporte (pero solo mientras las usas activamente)

Algunas apps pueden necesitar permiso temporal:

• Las apps de entrega de comida solo necesitan tu ubicación cuando estás haciendo un pedido

Apps que definitivamente NO necesitan acceso a tu ubicación:

• Apps de fotos
• Apps de redes sociales
• Juegos
• La mayoría de las apps de compras
• Apps de banca
• Apps de noticias
• La mayoría de las apps de productividad

Recuerda: cada app con acceso a tu ubicación es una posible fuga de privacidad. Cuando tengas dudas, desactiva la ubicación y vuelve a activarla solo si descubres que realmente la necesitas.

La mayoría de los mensajes y llamadas normales pueden ser vistos por tu compañía telefónica y el gobierno. Telegram es increíblemente inseguro. (Más abajo te contamos lo que pensamos sobre WhatsApp.)

Signal es la mejor opción para mantener tus mensajes seguros y para que con quién hablas se mantenga privado.

Cuándo usar Signal

Algunos ejemplos de cuándo te conviene especialmente usar Signal

• Hablar de una protesta o acción que no es pública
• Organizar una protesta o acción que es pública, pero quienes la organizan quieren proteger su privacidad
• Criticar al gobierno o a otras personas con poder

¿Y qué pasa con WhatsApp? (Evítalo si puedes, úsalo si no te queda de otra)

Los mensajes de WhatsApp están protegidos con el método de cifrado desarrollado por Signal, así que el contenido de tus mensajes está seguro. Sin embargo, Meta recopila mucha información sobre con quién hablas, con qué frecuencia y en qué grupos estás. Solo en 2024, entregaron datos del 78% de las solicitudes del gobierno. Tus mensajes están seguros, pero con quién te comunicas no lo está. Es una opción a considerar si es poco probable que la comunidad con la que trabajas se cambie a Signal. Es más seguro que los mensajes normales, Telegram, etc. Si usas WhatsApp, asegúrate de activar la nueva función Strict Account Settings y refuerza tu configuración de privacidad

La mejor mejora que cualquiera puede hacer al usar Signal es asegurarse de que los mensajes que desaparecen estén activados por defecto. La mayoría de activistas con quienes hablamos no lo tienen activado por defecto. (Y la mayoría de la gente se olvida de activarlo manualmente en cada nuevo chat.)

Esto te mantiene a ti y a otras personas a salvo. No sabemos a quién le van a incautar el teléfono los cops. Aunque creamos que estamos hablando de cosas totalmente legales, el gobierno puede encontrar formas de tergiversar nuestras palabras para intentar armarnos un caso por disentir

Hay dos cosas que hay que tener en cuenta sobre los mensajes que desaparecen:

1. Primero, cambia tu configuración predeterminada para que cualquier chat que crees tenga esta función activada.
2. Segundo, asegúrate de que esté activado en los chats que otras personas inician: si alguien más inicia el chat, puede que no tenga los mensajes que desaparecen activados. Puede que necesites activarlo.

Cómo elegir el tiempo de tus mensajes que desaparecen: El tiempo que configures depende de qué tan sensibles sean tus mensajes. Una pregunta que puedes hacerte es: "si le incautaran o hackearan el dispositivo a alguien, ¿qué tan importante es que estos mensajes no sean accesibles?"

• Para chatear sobre cosas de bajo riesgo con amigues, puedes elegir 4 semanas.
• Para organizing político común, puedes elegir 1 semana.
• Para acciones de mayor riesgo, puedes ponerlo en 1 día, 1 hora o 5 minutos, para que los mensajes desaparezcan antes de que empiece la acción.

Recomendamos Brave porque ofrece la mayor privacidad sin necesidad de configuración adicional, que es nuestro objetivo en este sitio.

Tips extra para configurar Brave:

• Instala Privacy Badger para tener protección adicional.
• También puedes instalar la app de Brave para iPhone o Android.

Otras opciones de navegador:

• Firefox puede ofrecer aún más privacidad si te tomas el tiempo de instalar los plugins correctos y configurarlo bien.
• Usa Tor Browser para navegación muy sensible que sea realmente anónima

• Brave Search suele dar mejores resultados y confiamos en ellos, pero a algunas personas no les convence su modelo de negocio
• Los resultados de DuckDuckGo no son tan confiables, pero tiene un historial de privacidad un poco más sólido.

Tu historial de ubicación revela mucho sobre tus intereses, tus amistades y tu actividad política. También pueden usarlo en tu contra en un juicio.

Tu teléfono siempre le revela tu ubicación aproximada a tu compañía celular, porque sabe a qué torre celular estás conectade. Pero cualquier app a la que le des tu ubicación GPS exacta tiene mucho más detalle.

Puedes protegerte usando una app de mapas que cuide más tu privacidad.

Apple Maps (solo iPhone) ofrece protecciones de privacidad más fuertes de lo que podrías esperar y es mucho más privado que Google. Sin embargo, al ser una gran empresa de tecnología, es mejor para el uso cotidiano y no tanto para organización sensible. Lo recomendamos porque tiene funciones de tráfico en vivo y transporte público que las alternativas centradas en la privacidad no tienen.

Magic Earth (iPhone o Android; gratis) ofrece una privacidad sólida. Es mucho más fácil de usar que nuestra otra sugerencia multiplataforma (CoMaps). Eso sí, algunas funciones solo están disponibles en la versión de paga.

CoMaps (iPhone o Android; gratis) es menos fácil de usar que Magic Earth o Apple Maps, pero tiene las promesas de privacidad más fuertes. Puedes usarlo completamente sin conexión, lo cual es muy útil para activistas que hacen trabajo sensible. Dicho esto, no tiene datos de tráfico en vivo ni rutas de transporte público, lo que dificulta usarlo como tu app principal de navegación.

Cada vez que sale una nueva actualización del sistema operativo, se están corrigiendo fallos de seguridad. Cada actualización que no has instalado representa una lista más larga de formas en que la cana puede hackear tu dispositivo. Piénsalo como un edificio grande con cada vez más puertas sin llave.

Si tu sistema operativo no está actualizado, muchas de las otras recomendaciones de esta guía no van a proteger tus datos.

Empieza por tu teléfono. Si estás haciendo algo de mayor riesgo, asegúrate de actualizar todos tus dispositivos.

Los sitios de "búsqueda de personas" recopilan y publican perfiles de todes nosotres, incluyendo nombre, direcciones, números de teléfono, fotos de perfil, correos electrónicos y cuentas de redes sociales. La lista de abajo te muestra cómo eliminarte de estos sitios

El doxxing es una táctica cada vez más común usada contra activistas, donde alguien malintencionado publica tu correo, teléfono, dirección, etc., con la intención de que otras personas te acosen en línea y a veces en persona.

Si tienes tiempo, usar un gestor de contraseñas es la mejor opción porque te ayuda a generar contraseñas fuertes, aleatorias y únicas para cada sitio/app/cuenta de forma automática.

Si tienes que elegir entre contraseñas fuertes (largas, aleatorias) y contraseñas únicas (sin reutilizar la misma contraseña en distintos sitios), es mejor elegir contraseñas únicas. Esto ayuda a que una contraseña robada en un sitio no afecte a todos los demás.

Nuestras herramientas recomendadas son:

• 1Password: Muy fácil de usar. Un poco más seguro. Cuesta $3/mes.
• Bitwarden: Gratis. Bastante seguro también.

Extra: Aquí tienes una buena introducción sobre cómo sacarle el máximo provecho a 1Password.

Opciones alternativas:

• Proton Pass: tiene una opción gratis
• KeePassXC: De código abierto y te permite guardar las contraseñas solo en tu equipo en vez de en la nube, pero la interfaz es bastante incómoda.

Después de escribir tu contraseña, tendrás que ingresar un código desde tu teléfono para confirmar que realmente eres tú. Imagínalo como tener una llave y también un código de alarma para entrar a tu casa: alguien necesita ambas cosas para entrar.

Tu correo electrónico es la cuenta más importante que debes proteger con autenticación de dos factores. Si una persona atacante accede a tu correo, puede restablecer todas tus demás contraseñas.

Nota: Cuando un servicio te permite elegir entre una app de autenticación y códigos de verificación por SMS, siempre es mejor elegir la app de autenticación. Es posible que alguien intercepte tus mensajes SMS.

¿Cuánto tarda en descifrarse un código de acceso?

Nota: Estos tiempos solo aplican a teléfonos. Las computadoras se pueden descifrar mucho más rápido y necesitan contraseñas mucho más fuertes.

Fuentes: Las estimaciones en la tabla de arriba asumen los intentos por segundo observados en el mundo real con las herramientas forenses de hackeo que usan los cops. Si necesitas más seguridad, usa un código de acceso de 10 dígitos, que te protegerá incluso en los peores escenarios posibles de descifrado. Mira las fuentes enlazadas en las preguntas frecuentes sobre códigos de acceso aquí.

Las empresas de tecnología (como Google) a menudo reciben solicitudes del gobierno para entregar todos los datos de la cuenta de una persona activista. Esto suele incluir una "orden de silencio", lo que significa que la empresa no puede avisarle a la persona usuaria hasta meses o años después.

Las herramientas de nube cifradas como Proton Mail, Drive, Docs y Sheets hacen que la empresa no tenga copias legibles de tus datos para entregar. Si el gobierno los quiere, tendría que pedírtelos a ti, dándote aviso y la oportunidad de impugnarlo con apoyo legal.

CryptPad es otra opción popular de documentos cifrados, pero es muy difícil de usar. Si tiene las funciones que necesitas, logra el mismo resultado.

Si tienes una contraseña fuerte, desactivas el desbloqueo con rostro/huella y activas el cifrado del disco, tu laptop y otros dispositivos serán muy difíciles de acceder. El cifrado es una parte esencial de estas defensas. Sin él, tu contraseña y demás pasos básicamente no sirven de nada si el Estado se queda con tu dispositivo.

El spyware mercenario es un ataque sumamente avanzado que aprovecha vulnerabilidades sofisticadas en nuestros dispositivos. En respuesta, Apple y Google han creado un modo de seguridad avanzado que ofrece mayor protección contra el spyware.

En los iPhone se llama Modo Aislamiento y en Android se llama Programa de Protección Avanzada. (También puedes activar el Programa de Protección Avanzada solo en tu cuenta de Google aunque no tengas un teléfono Android.)

No tenemos reportes de nadie que se haya infectado con spyware teniendo activado el Modo Aislamiento de Apple. La Protección Avanzada de Android es más reciente y todavía no se ha podido comprobar qué tan efectiva es.

Si estás en una categoría de mayor riesgo, deberías estar atente cada vez que hables de actividad política cerca de un micrófono. Esto incluye laptops, teléfonos, relojes inteligentes y bocinas inteligentes.

Riesgos: Estos dispositivos tienen micrófonos que están escuchando todo el tiempo.

Cómo protegerte: Sacar las bocinas inteligentes de tu casa es un paso fácil para reducir la probabilidad de vigilancia.

A la mayoría no nos vigilan activamente todo el tiempo, pero es más seguro acostumbrarte a asumir que sí podrían estar haciéndolo. Una vez que te acostumbras, no cuesta mucho trabajo.

Si vas a reemplazar un producto, trata de comprarlo usado para reducir la basura electrónica y la extracción de recursos.

Contexto:

• En 2017 nos enteramos de que la CIA desarrolló un hack para que algunas smart TVs estuvieran siempre escuchando incluso cuando parecían estar apagadas.
• Amazon también recibe con frecuencia solicitudes legales de grabaciones de bocinas inteligentes por parte de los cops.

Si los cops te confiscan el teléfono, uno de los mayores riesgos es exponer a toda tu red. Aunque la gente no use su nombre real en su cuenta de Signal, sigue existiendo un ID único detrás de cada nombre de usuario de Signal. Y los cops pueden usar esto para correlacionar la identidad de alguien entre varios dispositivos incautados.

Necesitas salir Y borrar el grupo:

• Si solo sales del grupo, los mensajes antiguos quedan en tu teléfono, junto con el historial de quiénes estaban en el grupo.
• Si solo borras el grupo, los nuevos mensajes seguirán llegando y la conversación vuelve a aparecer.

Consejos de higiene de seguridad:

• Pon un recordatorio recurrente para limpiar tus conversaciones de Signal cada 3 meses.
• Asegúrate de anotar de qué grupos estás saliendo y a quién le puedes pedir que te vuelva a agregar después de la acción.

Nota: Si este proceso te parece muy molesto y engorroso (¡porque lo es!), esa es otra buena razón para usar un teléfono secundario para las acciones. Ese teléfono solo estaría en uno o dos grupos necesarios para llevar a cabo la acción ese día.

El spyware suele llegar por mensaje de texto o correo con un enlace diseñado a tu medida para que te resulte imposible ignorarlo. No son spam al azar: son ataques personalizados que aprovechan lo que más te importa.

Los mensajes con spyware pueden ser muy dirigidos. Aquí tienes algunos ejemplos reales de cómo se ha usado el spyware Pegasus:

"Querida Carmen, mi hermano murió en un accidente, estoy devastada, te mando la información del funeral, espero que puedas venir: [spyware link]" (fuente)

USEMBASSY.GOV/ DETECTAMOS UN PROBLEMA CON TU VISA POR FAVOR ACUDE DE INMEDIATO A LA EMBAJADA. VER DETALLES [spyware link] (fuente)

LX 1955 BCN-ZRH 26Jun2020 - Haz clic en el enlace para recibir tu pase de abordar móvil [spyware link] (fuente)

Ten en cuenta: Algunos spyware se instalan con exploits que no requieren que hagas clic en ningún enlace ("zero click exploits"). Pueden aparecer, por ejemplo, como llamadas perdidas en WhatsApp.

Cada vez que usas "Iniciar sesión con Google" (u opciones similares) le estás permitiendo a Google rastrear qué servicios usas y conectarlos con tu identidad real. Crear cuentas separadas con contraseñas únicas (usando tu gestor de contraseñas) hace más difícil que las corporaciones y las autoridades armen un panorama completo de tu actividad en línea.