La militarización del ciberespacio

La militarización de la vida pública en México ocurre a paso veloz y con frecuencia es difícil rastrear todas las funciones civiles que son entregadas mes con mes a las Fuerzas Armadas. Hay, sin embargo, un ámbito que destaca por el especial peligro que representa para el derecho a la privacidad de las mexicanas y los mexicanos: la militarización del ciberespacio.

Aunque ni la Constitución ni la Ley de Seguridad Nacional les otorgan atribuciones expresas para hacerlo, las Fuerzas Armadas conducen actividades de inteligencia en el ciberespacio con regularidad. La sección segunda del Estado Mayor de la Defensa (Sección de Contrainteligencia) tiene un largo historial de recolección de inteligencia de fuentes abiertas y, por su parte, el 16 julio de 2004 la Secretaría de Marina (Semar) creó su Comisión de Seguridad de la Información, a pesar de que en ningún ámbito de la legislación mexicana se ha reconocido expresamente la existencia, necesidad o límites de la inteligencia militar.

Ante la falta de desarrollos tecnológicos propios, los organismos de inteligencia mexicanos usan spyware extranjero para poder vulnerar los sistemas ciberfísicos de personas que consideran una amenaza a la seguridad nacional (teléfonos celulares, computadoras, antenas de retransmisión, etc.). La mayor prueba de esto fue la adquisición por parte de la Policía Federal, la entonces Procuraduría General de la República (PGR), el Centro de Investigación y Seguridad Nacional (Cisen) y la Secretaría de la Defensa Nacional (Sedena) del software Pegasus, manufacturado la empresa israelí NSO Group. A diferencia de países como Reino Unido o Estados Unidos, que cuentan literalmente con ejércitos de ingenieros informáticos que les permiten extraer información de sujetos de interés a los que monitorean con frecuencia, México depende de software de segunda mano disponible a nivel comercial para poder hacer inteligencia de fuentes cerradas (fundamentalmente en el rubro de la intercepción de comunicaciones).

A pesar de que este tipo de software siempre se adquiere en nombre de las mejores intenciones (localizar con rapidez a personas secuestradas, atrapar a capos de la delincuencia organizada, etc.), el caso Pegasus y las filtraciones de Guacamaya Leaks¹ nos han revelado que las autoridades mexicanas con frecuencia acaban destinando estas capacidades para el verdadero expertise de la comunidad de inteligencia mexicana, a saber, el espionaje político.² Durante el sexenio del presidente Enrique Peña Nieto, periodistas como Carmen Aristegui, Carlos Loret de Mola, Héctor de Mauleón, y empresarios como Carlos Slim y Germán Larrea fueron objeto de ataques de spyware con Pegasus.³ Pero las Fuerzas Armadas mexicanas han hecho particular uso de estas capacidades de espionaje para monitorear e intimidar a activistas de derechos humanos en el país. Durante la administración del presidente López Obrador, el Centro de Derechos Humanos Miguel Agustín Pro Juárez (Centro Prodh) y el subsecretario de Derechos Humanos Alejandro Encinas fueron espiados a través de Pegasus.⁴

Las propias matrices de riesgo con las que la Sedena pondera el peligro que representan ciertos actores a la seguridad nacional señalan que son amenazas a la seguridad nacional no sólo los cárteles y las organizaciones terroristas trasnacionales, sino también las organizaciones campesinas, los colectivos feministas y las mamás de los niños con cáncer.⁵

De acuerdo con las filtraciones de Guacamaya Leaks, el Ejército Mexicano ha creado dos instituciones para perpetrar actos ilegales de inteligencia en el ciberespacio, el Centro Militar de Inteligencia y el Centro de Operaciones del Ciberespacio.⁶ Ninguna de estas instituciones tienen atribuciones de recolección de inteligencia ni en la Ley de Seguridad Nacional ni en el Código Nacional de Procedimientos Penales, por la sencilla razón de que su existencia era secreta. No pueden tener atribuciones legales las instituciones que ni la ley ni los legisladores conocen.

Mientras que antes de 2018 la Sedena y la Semar eran dos actores dentro del gobierno que hacían “labores de inteligencia” en el ciberespacio tal como otras instituciones, como el Cisen, la PGR, la Policía Federal, el Estado Mayor Presidencial y las policías estatales, durante la administración del presidente López Obrador el ciberespacio se ha pintado cada vez más de verde olivo. Tras la creación de la Guardia Nacional, la Secretaría de la Defensa designó como titular de la División Científica al Teniente Coronel de Infantería Jorge Jesús Borrego Álvarez que, con dicho nombramiento, se convirtió en jefe del Centro de Respuesta a Incidentes Cibernéticos (CERT-MX), el máximo organismo de persecución del ciberdelito en el país, antes a cargo de la Policía Federal. En el contexto de la creación de la Guardia Nacional, el Ejército no sólo se deshizo de un rival —la Policía Federal— sino que, con este nombramiento, también puso en riesgo la ciberseguridad del país al nombrar a un individuo sin experiencia técnica en materia ciberseguridad o programación, pues en su calidad de infante del Ejército mexicano no es requerido ni esperado que en su desarrollo profesional adquiriera dichos conocimientos, propios más bien de un ingeniero en sistemas. Más aún, incluso si el nombramiento lo hubiese recibido un ingeniero militar con certificaciones en materia de ciberseguridad, no se puede obviar que tanto el artículo 129 de la Constitución como la sentencia de la Suprema Corte en torno a la acción de inconstitucionalidad 137/2022 demandan que sean civiles quienes se hagan cargo de la seguridad pública. Con este nombramiento, no se militarizó la ciberdefensa: se militarizó la ciberseguridad del país. O dicho de otra manera, la ciberdefensa subsumió la labor policial de patrullar el ciberespacio.

La Armada no se quedó atrás tras la captura militar del CERT-MX. A través del acuerdo secretarial 335/2022, la Semar transformó la Unidad de Ciberseguridad de la dependencia en la Coordinadora General del Ciberespacio. Incluso el propio Centro Nacional de Inteligencia, única agencia de inteligencia civil del Estado mexicano y con una larga lista de operaciones encubiertas activas en el ciberespacio, fue puesta bajo el mando del general Audomaro Martínez Zapata en 2018.

Por si fuera poco, en el transcurso de 2024 el Congreso pretende discutir y aprobar la iniciativa de Ley de Ciberseguridad, una ley que no sólo reconocería la militarización de facto del ciberespacio, sino que la legitimaría de iure, amenazando los derechos humanos.

¿Por qué debe ser de preocupación el involucramiento de los militares en el ciberespacio? ¿No todas las democracias del mundo tienen una política de ciberdefensa? La respuesta es que, como en muchos otros ámbitos de su actuar, las Fuerzas Armadas no se dedican a la defensa exterior, sino a su interpretación de la seguridad interior. Bajo el manto de opacidad que les permite actuar en nombre de la “seguridad nacional”, los militares han utilizado sus capacidades de ciberinteligencia para la exfiltración ilegal de información de periodistas, activistas, defensores de derechos humanos y funcionarios gubernamentales. Este fenómeno no ocurre (necesariamente) por una falta de probidad moral de los uniformados, sino por un problema de diseño. Donde hay poder irrestricto, al que no se le puede monitorear, auditar, llamar a cuentas, hay tentación de abusar de dicho poder. Una política de ciberseguridad sin controles judiciales, sin control democrático y una perspectiva de seguridad democrática no es una política de ciberseguridad: es una política de espionaje.

Víctor Antonio Hernández Ojeda

Director de Formación en México Unido Contra la Delincuencia. Maestro en Inteligencia y Seguridad Internacional por el King’s College London. Docente, analista político y autor.

¹ Hackeo masivo realizado en 2022 por parte del grupo de hackers autodenominado Guacamaya, que filtró seis terabytes de información perteneciente a la Secretaría de la Defensa Nacional (Sedena).

² Sergio Aguayo, La charola: Una historia de los servicios de inteligencia en México, Grijalbo, 2001; Thomas G. Rath, Myths of Demilitarization in Postrevolutionary Mexico, 1920-1960, University of North Carolina Press, 2013

³ Cfr. Anayeli Tapia, “De Carlos Slim a Loret de Mola: revelan lista de espiados en sexenio de Peña Nieto con Pegasus”, Infobae (05/12/24), consultado el 10/04/24  

⁴Centro Prodh, “Nuevamente, Centro Prodh es atacado con Pegasus” (18/04/23), consultado el 10/04/24,  y  Carlos Maldonado, “El Ejército espió con Pegasus a Alejandro Encinas, subsecretario de derechos humanos”, El País (22/05/23), consultado el 10/04/24

⁵ Cfr. “Familias de niños con cáncer, mamás y feministas son “riesgos” para el AIFA, según Sedena”, Etcétera (6/10/22), consultado el 10/04/24

⁶ Mathieu Tourliere, “Centro Militar de Inteligencia, el búnker de la 4T para espiar”, Proceso (11/03/24), consultado el 10/04/24,; Red en Defensa de los Derechos Digitales, “Ejército de bots: las operaciones militares para monitorear las críticas en redes sociales y manipular la conversación digital”, consultado el 10/04/24