GrapheneOS: un sistema diseñado con foco en la privacidad y la seguridad

El auge de las ultraderechas en nuestra región no solo trae consigo la preocupación por la pérdida de derechos sociales o la profundización del modelo económico neoliberal. Es un fenómeno que también trae aparejada la imposición de agendas de seguridad pública por medio de la introducción de más vigilancia en distintos niveles. Hoy, con más razón, resulta imperativo preguntarse ¿qué medidas de seguridad estamos tomando en el ámbito digital?

Tal como venimos abordando en anteriores columnas, cada vez es más frecuente, por diversos motivos, la incautación temporal o permanente de los dispositivos móviles, cuyas intrusiones no siempre tienen un fin relacionado con lo investigado o se hacen fuera del marco legal.

A comienzos de julio, el centro de investigación CitizenLab reveló el resultado de un informe sobre el hackeo del teléfono de Stelios Kouloglou, miembro del parlamento europeo, efectuado a través del software Pegasus. Si bien la investigación se llevó a cabo durante 2026, los hechos se remontan a los años 2022 y 2023. Kouloglou era miembro del comité PEGA que durante ese período tuvo como parte de sus tareas investigar el uso de aplicaciones maliciosas en territorio europeo, incluyendo Pegasus. Mediante análisis forense de su iPhone, CitizenLab confirmó que el dispositivo fue infectado dos veces: el 21 de octubre de 2022 y los días 6 y 7 de marzo de 2023, coincidiendo con momentos clave de la actividad de la comisión como audiencias, visitas a países y la redacción de su informe final.

América Latina no escapa al contexto global

CitizenLab y R3D llevan varios años haciendo seguimiento del espionaje efectuado a través de Pegasus. El año pasado, R3D reportó que el uso de este software sirvió para espiar a más de 450 personas durante 2019 en México. Por su parte, Amnistía Internacional en 2022 verificó el uso de Pegasus para vigilar a periodistas en El Salvador. Asimismo, en 2024 el presidente de Colombia Gustavo Petro denunció la adquisición del software espía por parte de la Dirección de Inteligencia de la Policía en 2021.

Al tratarse de herramientas costosas, estos fueron algunos de los casos más conocidos, pero también existen otras formas de vigilancia e intrusión, como los programas de análisis forense, que mediante acceso físico al dispositivo logran desbloquearlo y extraer su información. A diferencia de Pegasus, ese uso tiende a ser público y reconocido, pese a su nivel de intrusión. Además, dio pie a otros abusos. Por ejemplo, en Chile, a partir de una investigación sobre la ex alcaldesa de Santiago Irací Hassler, el análisis del dispositivo llevó a la apertura de una nueva investigación sobre posible tráfico de influencias, en que se decretó la confiscación de la computadora y el teléfono de la Diputada Karol Cariola. El caso tuvo un alto grado de connotación debido a que la diligencia se realizó a horas del nacimiento de su hijo. Durante el proceso se “filtraron” una serie de conversaciones que nada tenían que ver con delitos, sino que parecían tener como objetivo denostar la figura de ambas políticas.

En general, los Estados cuentan con herramientas para realizar procedimientos de extracción de información desde teléfonos y computadoras, por lo que es fácil encontrar referencias a este tipo de métodos, con mayor o menor connotación pública, y aún sin regulación legal expresa. La vigilancia digital en América Latina existió y seguirá existiendo, dentro o fuera de la ley.

¿Qué hacer ante este escenario? La importancia del sistema operativo

Existen una serie de mecanismos legales para proteger nuestra privacidad digital frente a este escenario de riesgo. Y también unas cuantas medidas prácticas que nos pueden ayudar a reducir la exposición cuando sufrimos ataques digitales. En anteriores columnas ya mencionamos mecanismos de mitigación ante la intrusión de dispositivos a través de buenas prácticas de seguridad en el uso de cualquier dispositivo así como el manejo seguro de mensajería. Esta vez queremos ir un paso más allá.

Todos los dispositivos móviles poseen un sistema base que los hace funcionar: “sistema operativo”. Los dos principales son Android e iOS. En iOS, al tratarse de una sola empresa –Apple– proveedora tanto del teléfono como del sistema, lo único que varía es la versión. En el caso de Android es distinto: cada marca de teléfono crea su propia versión a partir de Android Open Source Project (AOSP), con configuraciones particulares según el modelo.

El sistema operativo es unan pieza clave para la seguridad digital, pues sostiene el funcionamiento de las aplicaciones y decide qué tanto acceso pueden tenar a la cámara, el micrófono o los sensores del equipo. Existe una distribución de Android diseñada con foco en la privacidad y la seguridad: GrapheneOS. Se trata de un proyecto que nació en 2014 y se erigió como una de las alternativas más seguras para dispositivos móviles.

Algunas de sus principales características por defecto son:

– No permite el acceso al contenido del dispositivo por conexión USB una vez que el equipo está bloqueado, impidiendo la extracción forense por cable.

– Limita los intentos de ingresar el PIN o contraseña de acceso, haciendo casi imposible un ataque de fuerza bruta.

– Se reinicia automáticamente tras un tiempo definido, quedando cifrado y bloqueando el acceso a las llaves que normalmente quedan en memoria tras desbloquear el equipo.

– Usa perfiles separados para distintas cuentas. Cada aplicación corre aislada evitando que una infecte a otra.

– No viene desde la instalación con servicios de Google, como suele ocurrir con distribuciones Android, aunque pueden instalarse si la persona usuaria lo desea.

A pesar de ser más seguro, un límite importante de GrapheneOS es que solo funciona en dispositivos Google Pixel. La elección de Pixel no es casualidad, pues estos equipos permiten desbloquear y volver a bloquear los permisos para instalar un sistema nuevo, algo que la mayoría de otros dispositivos no ofrece. En otras marcas, una vez desbloqueado el equipo queda así de forma permanente, abriendo la puerta a futuros ataques que reinstalen el sistema.

Los teléfonos Pixel tienen además un pequeño chip especial llamado Titan M2, que funciona como una especie de caja fuerte separada del resto del teléfono. Su trabajo es guardar las claves secretas del aparato y revisar que nadie haya manipulado el sistema. Cada vez que enciendes el teléfono, este chip comprueba que el sistema operativo sea el original y no haya sido modificado por alguien más. GrapheneOS, además, agrega su propia firma de seguridad a todo lo que instala, aprovechando esa misma revisión.

Como dijimos, pese a estas ventajas, GrapheneOS tiene límites importantes: el alto costo de un equipo nuevo, la necesidad de alguien con conocimientos técnicos para instalar el sistema operativo, y los posibles fallos de algunas aplicaciones –como las bancarias– donde los perfiles aislados les bloquean el acceso a ciertos recursos.

Avanzando hacia alternativas más seguras

Desde Derechos Digitales creemos que es fundamental continuar con los esfuerzos para que las regulaciones de nuestra región nos permitan ejercer los derechos fundamentales, incluyendo nuestra privacidad de manera efectiva, en especial frente a la amenaza de vigilancia y explotación de nuestros datos.

Mientras la agenda de la ultraderecha avanza, tenemos algunas herramientas disponibles como GrapheneOS. Un sistema operativo de estas características resulta una opción recomendable para perfiles de alto riesgo que, dado su quehacer, necesiten contar con un dispositivo que les entregue confianza en que la información contenida dentro del mismo posee salvaguardas suficientes ante ataques o intentos de intrusión.