La suplantación de identidad de espías ha llegado a la cúpula de la Casa Blanca y a Downing Street. El primer ministro británico, Andy Burnham, intercambió mensajes con un impostor que se hacía pasar por Susie Wiles, la jefa de gabinete de la Casa Blanca.
El intercambio —que sacó Politico la semana pasada y que ahora explica The Cipher Brief— fue breve y aparentemente trivial. Burnham desconfió, dejó de responder y avisó a los canales adecuados: la embajada británica en Washington informó discretamente a la Casa Blanca, que confirmó que los dispositivos de Wiles no habían sido tocados. Oficialmente, no hubo daño.
Le adelanto que el episodio no es una anécdota. El FBI ya advirtió el año pasado de impostores que usan inteligencia artificial para suplantar a altos cargos. Alguien que se hacía pasar por Wiles contactó antes con altos cargos republicanos y figuras empresariales. El Departamento de Estado persiguió después a un falso Marco Rubio que llegó a tres ministros de Exteriores.
Todo aterriza en un hábito que Signalgate ya dejó expuesto: cuando una tarjeta de contacto equivocada podía añadir a un periodista a un hilo de planificación de ataques, el nombre en pantalla era la única autenticación disponible en la sala.
El anzuelo de la identidad alquilada: de Downing Street a Taipei
El caso que se cerró discretamente en Taipei el mes pasado es el ejemplo más crudo. En julio, la fiscalía del distrito de Shilin concluyó las actuaciones contra dos empresarios locales, Li Hualun y Chen Mengsen. Durante meses habían registrado cuentas en LINE, la aplicación de mensajería que casi todo el mundo usa en Taiwán, cada una vinculada a un número de teléfono taiwanés real. Las alquilaban a Xiamen Empress Information Technology, una empresa continental que los investigadores taiwaneses sitúan bajo la dirección de las fuerzas cibernéticas del Partido Comunista Chino. La tarifa rondaba los 1.100 yuanes por cuenta: unos 160 dólares. Un exploit funcional para una plataforma mayor cuesta millones en el mercado gris. Una identidad local de confianza costaba menos que una cena decente y lograba algo que ningún fallo técnico puede hacer.
Los operadores usaron las cuentas falsas para convertirse en periodistas. En el acercamiento que acabó destapando el esquema, uno de ellos vistió una cuenta alquilada con el nombre y la foto de Chen Yishan, director de la revista CommonWealth Magazine, y empezó a cortejar a un asistente del despacho de un legislador. Siguieron solicitudes de entrevista e invitaciones a colaborar, el tráfico ordinario del periodismo político. No había enlace malicioso en el primer mensaje, ni en el décimo. Los investigadores comprobaron que los operadores trabajaban a sus objetivos durante meses, a veces cerca de un año. Cualquier oficial de contrainteligencia reconocería el ritmo de cultivo y reclutamiento de un agente a través de una app de mensajería.
La suplantación no explota una red, explota la confianza en una identidad que no vivimos ni verificamos en persona.
Anatomía del cultivo: periodistas falsos, meses de paciencia y una app maliciosa
La petición final era pequeña y de apariencia razonable. Los periodistas usan herramientas cifradas para proteger a sus fuentes, así que ¿le importaría al contacto instalar una aplicación de comunicación segura para seguir hablando? La aplicación era, en realidad, malware. El modus operandi da la vuelta a una década de buenos consejos de seguridad: cuanto más sabían los atacantes sobre el funcionamiento real de los periodistas cuidadosos, más normal parecía la petición.
Citizen Lab y el Consorcio Internacional de Periodistas de Investigación (ICIJ) contaron más de un centenar de dominios maliciosos detrás de la campaña, y detectaron errores en los mensajes de suplantación que sugerían que los atacantes usaban inteligencia artificial para redactarlos y elegir objetivos. En el punto de mira estaban legisladores y sus equipos, think tanks de defensa, empresas de semiconductores y disidentes dentro y fuera del país. La prensa taiwanesa informó de que incluso las misiones en el exterior de la isla fueron sondeadas.
Lo veo como el dato más incómodo: nada falló técnicamente. Las redes resistieron y los parches estaban al día. Los atacantes rodearon por completo la pila de seguridad y gastaron su verdadera divisa operativa: la credibilidad de la prensa libre. Cada solicitud de entrevista falsa hace un poco más difíciles las verdaderas. Ese coste no aparece en ningún informe de incidentes.
Los dos hombres que suministraron las cuentas recibieron acuerdos de procesamiento diferido y pagos por un total algo inferior a 6.000 dólares. Ese es el precio legal actual, en una democracia de primera línea, por alquilar infraestructura de identidad a un servicio de inteligencia extranjero. No disuade a nadie. Es apenas un gasto de negocio.
Volvamos a Downing Street. Un primer ministro con todo el aparato de inteligencia británico detrás respondió a un desconocido porque el nombre en pantalla parecía correcto. Nada en esta historia depende de LINE, Taiwán o Westminster. Cambien WhatsApp por LinkedIn; cambien a la falsa directora por un falso reclutador o una falsa jefa de gabinete. Las cuentas envejecidas y registradas localmente ya son una mercancía en los mercados criminales. Todo lo que el modelo requiere es una persona que maneje algo valioso y una identidad que no tenga forma rápida de comprobar.
Dossier Moncloa: Ojos en la Sombra
Le pongo el caso en términos de oficio. La suplantación de identidad es la nueva puerta de entrada del espionaje, y no exige un solo zero-day. El vector de amenaza que describe The Cipher Brief es infiltración HUMINT con soporte digital: el viejo tradecraft del cultivo paciente de un agente, trasladado a una app de mensajería y financiado con identidades locales alquiladas.
En mi lectura, hay tres servicios en juego. El atacante es la inteligencia china a través de una empresa instrumental; la defensa inmediata corresponde al CNI y al CCN-CERT para el perímetro español, y a los socios del Five Eyes para Reino Unido y Estados Unidos. Los terceros observadores son los servicios marroquíes (DGST/DGED) y rusos, que estudian el manual porque les resulta barato y exportable. Signalgate demostró que la autenticación por nombre en pantalla es la debilidad sistémica; ahora se explota de forma industrial.
Tengo claro el precedente histórico que lo ilumina todo: así se reclutaba a un agente en la Viena de la Guerra Fría, con paciencia, con una identidad creíble y sin un solo movimiento brusco hasta el final. Lo que ha cambiado es el coste. El adversario miró las redes endurecidas y el software vigilante y tomó una decisión racional: fabricar una identidad de confianza por 160 dólares resultaba más barato que gastar millones en un exploit sofisticado. La clasificación del material implicado la estimo en Sin Clasificar pero Sensible: los daños no están en el secreto, sino en la confianza y en la credibilidad de las identidades verificadas.
Debo reconocer una limitación: la atribución china en el caso de Taiwán no la firma una agencia occidental; la corroboran la fiscalía taiwanesa, Citizen Lab y el ICIJ. No la doy por cerrada, pero los indicios operativos son sólidos. Usted puede comprobar el patrón en cualquier incidente bien documentado de suplantación de altos cargos.
El cierre que propongo no es una conclusión, es un hito. Habrá que observar la próxima advertencia del FBI o del ODNI sobre el uso de IA para suplantar cargos y eventuales detenciones en Europa por alquiler de cuentas locales a servicios extranjeros. Mientras tanto, las organizaciones que manejan trabajo sensible deberían convertir la verificación de identidad en un hábito de contrainteligencia. No lo arreglará solo el equipo de seguridad.
