Dos legisladores demócratas solicitan a la GAO revisar el uso de spyware y herramientas de intrusión por agencias federales, incluyendo casos documentados de abuso interno.
El senador Ron Wyden y el representante Greg Casar escribieron el viernes a la Government Accountability Office solicitando una revisión integral sobre cómo las agencias federales de aplicación de la ley hackean dispositivos de ciudadanos estadounidenses. La carta, que abarca desde el uso de spyware comercial hasta capacidades de intrusión desarrolladas internamente, apunta a un vacío de transparencia que persiste desde hace más de dos décadas: a diferencia de las escuchas telefónicas o los registros de llamadas, el gobierno federal no publica reportes anuales sobre operaciones de hacking. Casar, principal demócrata del Subcomité de Supervisión de la Cámara sobre Aplicación de la Ley Federal, y Wyden, con un historial prolongado de escrutinio a programas de vigilancia, plantean la revisión en un momento en que Immigration and Customs Enforcement ha reconocido trabajar con la empresa de spyware Paragon durante la segunda administración Trump, después de que el gobierno de Biden evitara en gran medida este tipo de herramientas.
Cómo el gobierno federal adquiere capacidades de intrusión sin supervisión pública
Las agencias federales de aplicación de la ley han utilizado hacking y spyware como herramienta de investigación durante más de 25 años, pero la información pública sobre el alcance, frecuencia y salvaguardas operacionales de estas prácticas es escasa. La carta de Wyden y Casar solicita a la GAO que revise cómo las agencias compran y protegen herramientas de hacking sofisticadas, un proceso que quedó expuesto este año cuando un ex funcionario senior de la contratista de defensa L3Harris fue sentenciado por robar y vender capacidades de hacking desarrolladas para el gobierno federal. El caso ilustra los riesgos de una cadena de suministro de herramientas ofensivas que opera sin los controles de transparencia aplicados a otras tecnologías de vigilancia.
Los legisladores también piden análisis de las facultades de hacking bajo la Regla 41, que permite a las agencias solicitar autorizaciones judiciales para operaciones de intrusión remota. La revisión solicitada incluye examinar cómo las agencias presentan estas solicitudes a los tribunales y qué tipo de supervisión judicial existe en la práctica. A diferencia de las wiretaps, donde el Congreso recibe reportes anuales con estadísticas agregadas, las operaciones de hacking federal no están sujetas a ningún mecanismo de reporte público consolidado.
Spyware comercial y el precedente de Paragon en ICE
El reconocimiento de ICE sobre su trabajo con Paragon marca un punto de inflexión en el uso gubernamental de spyware comercial en Estados Unidos. Paragon, empresa israelí que vende capacidades de acceso remoto a dispositivos móviles, había quedado fuera del radar de las agencias federales durante la administración Biden, que adoptó una postura restrictiva hacia este tipo de herramientas después de los escándalos vinculados a NSO Group y Pegasus. La carta de Wyden y Casar plantea si Paragon es el único proveedor de spyware con el que trabajan agencias federales o si existen contratos adicionales no revelados.
El spyware y otras herramientas de hacking otorgan acceso expansivo a dispositivos personales, incluyendo cámaras web, datos de ubicación, archivos almacenados y comunicaciones cifradas. Los legisladores argumentan que el acceso sin restricciones a capacidades de vigilancia tan invasivas invita al abuso por parte de personal interno. La carta menciona ejemplos documentados de empleados gubernamentales que han abusado de otras bases de datos y herramientas de vigilancia sensibles para propósitos personales no autorizados, un patrón que se repite en múltiples agencias y que la revisión de la GAO debería examinar en el contexto específico de las herramientas de hacking.
Qué salvaguardas existen contra el abuso interno de capacidades ofensivas
La solicitud a la GAO incluye revisar casos documentados de personal de aplicación de la ley federal que ha utilizado capacidades de hacking de manera indebida, ya sea para fines personales o para propósitos no autorizados. Este eje de la revisión apunta a determinar qué tipo de salvaguardas tienen las agencias contra abusos de hacking, un aspecto que no ha sido objeto de auditoría pública sistemática. Los legisladores señalan que el acceso a herramientas que permiten activar cámaras, extraer archivos o interceptar comunicaciones cifradas representa un nivel de intrusión cualitativamente distinto al de las tecnologías de vigilancia tradicionales, y que los controles internos deberían reflejar esa diferencia.
La ausencia de reportes anuales sobre operaciones de hacking contrasta con el régimen de transparencia aplicado a wiretaps y pen registers, donde el Congreso y el público reciben estadísticas agregadas que permiten evaluar tendencias y volumen de uso. La carta de Wyden y Casar sugiere que la falta de un mecanismo similar para hacking no es una omisión técnica sino una brecha estructural en la supervisión de capacidades que han estado en uso durante un cuarto de siglo.
Impacto potencial en América Latina por transferencia de capacidades y precedentes normativos
Aunque la carta de Wyden y Casar se enfoca en prácticas domésticas de Estados Unidos, el uso gubernamental de spyware comercial y herramientas de hacking tiene implicancias directas para América Latina. Empresas como Paragon y NSO Group han vendido capacidades similares a gobiernos de la región, y los precedentes normativos que establezca Estados Unidos en cuanto a transparencia y salvaguardas pueden influir en cómo países latinoamericanos regulan o justifican el uso de estas tecnologías. México, Brasil, Colombia y otros países han enfrentado escándalos por uso de spyware contra periodistas, activistas y opositores políticos, y la ausencia de marcos de supervisión robustos en Estados Unidos debilita los argumentos para exigir transparencia en la región.
Adicionalmente, ICE opera en coordinación con agencias de inmigración y seguridad de múltiples países latinoamericanos. Si la agencia utiliza spyware comercial en investigaciones que involucran a ciudadanos o residentes de la región, la falta de reportes públicos sobre estas operaciones impide evaluar el alcance de la vigilancia transfronteriza. La revisión de la GAO, si se concreta, podría revelar patrones de uso que afectan directamente a poblaciones latinoamericanas bajo jurisdicción o interés de agencias federales estadounidenses.
Nuestro análisis
La solicitud de Wyden y Casar expone una asimetría de transparencia que ha persistido durante décadas: mientras las tecnologías de vigilancia tradicionales están sujetas a reportes anuales y supervisión legislativa, las capacidades de hacking gubernamental operan en una zona de opacidad casi total. El reconocimiento de ICE sobre su trabajo con Paragon no es un caso aislado sino un síntoma de un ecosistema más amplio de adquisición y uso de herramientas ofensivas que nunca ha sido auditado de manera sistemática. El caso del ex funcionario de L3Harris sentenciado por robar capacidades de hacking desarrolladas para el gobierno federal sugiere que ni siquiera los controles internos sobre la custodia de estas herramientas son suficientemente robustos.
La ausencia de reportes públicos sobre operaciones de hacking no es solo un problema de transparencia sino de rendición de cuentas estructural. Sin datos agregados sobre frecuencia, tipo de casos, autorizaciones judiciales y resultados, el Congreso y el público carecen de la información básica para evaluar si el uso de estas capacidades es proporcional, está adecuadamente supervisado o respeta límites constitucionales. La revisión de la GAO, si se ejecuta con acceso completo a información clasificada y operacional, podría ser el primer mapeo comprehensivo de un aparato de vigilancia ofensiva que ha crecido sin los controles aplicados a otras formas de intrusión gubernamental. La pregunta que queda abierta es si la GAO tendrá acceso real a los datos operacionales necesarios para producir una auditoría sustantiva, o si las agencias invocarán clasificación y sensibilidad operacional para limitar el alcance de la revisión.