El jueves, el Congreso prorrogó una controvertida ley de vigilancia por 45 días, horas antes de su último vencimiento luego de una extensión anterior.
El Senado aprobó – luego la Cámara aprobó – una extensión de 45 días de la Sección 702 de la Ley de Vigilancia de Inteligencia Extranjera, que autoriza la vigilancia sin orden judicial de objetivos extranjeros. Pero esos objetivos a veces se comunican electrónicamente con los estadounidenses, y los funcionarios de inteligencia pueden buscar en la base de datos utilizando su información de identificación, lo que durante mucho tiempo ha causado acidez a los grupos de privacidad y a los legisladores preocupados por la privacidad.
El aplazamiento de 45 días da a los legisladores más tiempo para llegar a un acuerdo duradero, y se produce después de que los líderes del Comité de Inteligencia del Senado acordaron enviar una carta al Director de Inteligencia Nacional y al fiscal general, solicitando la rápida desclasificación de una carta sobre un fallo clasificado del Tribunal de Vigilancia de Inteligencia Extranjera.
El senador Ron Wyden, demócrata por Oregón, había pedido que se hiciera pública esa opinión y se había resistido a dar un consentimiento unánime para que la última extensión a corto plazo avanzara hasta que el presidente de Inteligencia del Senado, Tom Cotton, republicano por Arkansas, y el demócrata de Virginia, Mark Warner, de alto rango del panel, acordaron enviar la carta.
Ya estaba en marcha una revisión de la desclasificación, pero la carta de Cotton-Warner afirma que “esperamos que esta revisión de la desclasificación se complete y la opinión del FISC se haga pública dentro de 15 días”, según Wyden, hablando en el pleno del Senado.
La opinión del 17 de marzo supuestamente vino con recertificación anual del programa de vigilancia sin orden judicial. El Departamento de Justicia está apelando ese fallo porque les impedía usar ciertas herramientas para analizar las comunicaciones.
“Hace unas semanas, el Tribunal de Vigilancia de Inteligencia Extranjera encontró importantes problemas de cumplimiento relacionados con la ley de vigilancia conocida como sección 702”. Wyden dijo a principios de este mes. «Estos problemas de cumplimiento están directamente relacionados con los derechos constitucionales de los estadounidenses».
El líder de la mayoría del Senado, John Thune, RS.D., dijo que la extensión dará a los legisladores espacio adicional para mantener “discusiones sobre reformas”.
Esta semana, la Cámara había aprobado una reautorización de tres años con algunos cambios en el programa de vigilancia, pero la clave para hacerlo fue el acuerdo del liderazgo de adjuntar lenguaje legislativo sobre un asunto separado que prohibiría una moneda digital del banco central. Thune había dicho que el lenguaje no iba a ninguna parte en el Senado.
El jueves, la Cámara votó 261-111 para extender la ley por 45 días. El presidente Donald Trump ha buscado una reautorización “limpia” de los poderes de vigilancia por 18 meses.
La extensión continúa un ritual perenne para el Congreso cuando se trata de la Sección 702: se avecina una fecha límite y el Congreso posterga la decisión repetidamente.
Los jueces de la Corte Suprema lanzaron duras preguntas a ambas partes sobre la constitucionalidad de las órdenes de geovalla durante los argumentos orales del lunes en un caso que podría tener implicaciones más amplias para la recopilación de datos de los estadounidenses por parte de las fuerzas del orden.
Chatrie contra Estados Unidos surge de la condena de Okello Chatrie en 2019 por un robo a un banco, donde las autoridades obtuvieron datos de ubicación de Google sobre personas dentro de un área específica en un momento específico.
Al interrogar a un abogado del peticionario, Adam Unikowsky, varios jueces conservadores, incluido el presidente del Tribunal Supremo, John Roberts, preguntaron por qué no se debería permitir al gobierno acceder a datos de ubicación tomados de un tercero, dado que Chatrie había “optado por” compartir esos datos.
«Simplemente no estoy de acuerdo en que uno deba desactivar su historial de ubicación y otros servicios en la nube para evitar la vigilancia gubernamental», respondió Unikowsky, preguntando si el gobierno tenía derecho a recibir correos electrónicos o datos de calendario que también se almacenan en la nube. (Desde entonces, Google ha movido los datos de ubicación a los dispositivos individuales de los usuarios).
Algunos jueces liberales también plantearon preguntas escépticas a Unikowsky. “Esto identifica un lugar, un delito, un período de tiempo limitado, pero un período de tiempo”, dijo Sonia Sotomayor, refiriéndose a las protecciones contra registros indefinidos bajo la Cuarta Enmienda. «Así que no es una orden general en este sentido histórico». Pero también dijo que debido a que los datos de ubicación siguen a los usuarios a todas partes: «Cuando la policía busca o solicita un resultado de búsqueda, no hay forma de predecir si van a invadir su privacidad».
La línea de preguntas sobre hasta dónde puede llegar una solicitud gubernamental de datos masivos continuó tanto por parte de los jueces conservadores como de los liberales cuando fue el turno del gobierno de argumentar su posición. Los jueces investigaron con escepticismo qué hacía que los correos electrónicos o los datos del calendario fueran diferentes, y si el gobierno podía realizar una búsqueda física de todos los casilleros en una instalación de almacenamiento para encontrar un arma que creían que podría estar allí.
fue un sesión inusualmente larga para la Corte Suprema, dos horas. Podría llegar un fallo junio o julio. Predecir cómo decidirá un tribunal basándose en las preguntas de los magistrados es muy complicado. Sólo un juez, Samuel Alito, insinuó claramente cómo probablemente decidiría.
«Me cuesta entender por qué estamos aquí en este caso, aparte del hecho de que al menos cuatro de nosotros votamos a favor», dijo. Dijo que no creía que nada nuevo de importancia pudiera surgir del tribunal basándose en los fallos de los tribunales inferiores durante el interrogatorio de Unikowsky. «Todos somos libres de escribir artículos de revisión de leyes sobre este fascinante tema, pero parece que eso es lo que estás pidiendo».
Orin Kerr, profesor de derecho de la Universidad de Stanford que presentó un escrito como amigo del tribunal a favor del gobierno, dijo que creía, basándose en los argumentos orales, que el tribunal dirá que las órdenes de geocerca se pueden redactar legalmente.
«Parece probable que los jueces rechacen el argumento más amplio que presentó Chatrie sobre la legalidad de la orden». escribió en las redes sociales. «Probablemente dirán que las órdenes de geocerca deben ser limitadas en tiempo y espacio».
A Casey Waughn, abogado especializado en privacidad y asociado senior de Armstrong Teasdale, le sorprendió la ausencia de un enfoque importante en la “doctrina de terceros”, según la cual no hay expectativas razonables de privacidad cuando los ciudadanos dan su información a una parte externa como un banco.
También se centró en los argumentos presentados por Unikowsky.
«Su argumento realmente dio dos líneas para los jueces, y una fue que usted tiene un interés de propiedad sobre sus datos en la nube, y la otra fue que tiene una expectativa razonable de privacidad para sus datos en la nube», dijo a CyberScoop. «E históricamente, ambas vías han sido motivos por los cuales la Corte ha determinado que… la cuestión está protegida por la Cuarta Enmienda y, por lo tanto, que las acciones constituyeron una búsqueda. Así que pensé que era interesante que él fuera y argumentara ambos carriles».
Alan Butler, director ejecutivo del Centro de Información sobre Privacidad Electrónica que presentó un escrito amigo del tribunal del lado del peticionario, dijo que hay mucho en juego en el caso.
«Los argumentos de hoy subrayaron que la Corte Suprema está sopesando una de las cuestiones de privacidad más importantes de la era digital: si el gobierno puede utilizar búsquedas exhaustivas de datos de ubicación para identificar a un sospechoso», dijo en una declaración después de los argumentos. «La Corte debería sostener que la Constitución protege nuestros datos digitales incluso cuando son almacenados por una aplicación o un proveedor de nube. La Corte debería garantizar que los registros altamente confidenciales generados por nuestros teléfonos no puedan obtenerse sin sospechas particularizadas y una estrecha supervisión judicial».
Las campañas que emplean proveedores comerciales de vigilancia rastrearon objetivos explotando las vulnerabilidades de la red de telefonía móvil en lo que los investigadores dijeron el jueves fue la primera vinculación de «tráfico de ataque del mundo real a la infraestructura de señalización de operadores móviles».
Los dos desconocidos detrás de las campañas imitaron las identidades de operadores de telefonía móvil con herramientas de vigilancia personalizadas, manipularon protocolos de señalización y dirigieron el tráfico a través de vías de red para ocultarse, según investigación del Citizen Lab de la Universidad de Toronto.
«Nuestros hallazgos resaltan un problema sistémico en el centro de las telecomunicaciones globales: la infraestructura del operador diseñada para permitir una conectividad internacional fluida se está aprovechando para respaldar operaciones de vigilancia encubiertas que son difíciles de monitorear, atribuir y regular», se lee en un informe publicado el jueves.
«A pesar de los repetidos informes públicos, esta actividad continúa sin cesar y sin consecuencias», escribieron Gary Miller y Swantje Lange para Citizen Lab. «El uso continuo de redes móviles, construidas sobre un modelo de estrecha confianza entre operadores y en las que confían usuarios de todo el mundo, plantea preguntas más amplias para los reguladores nacionales, los formuladores de políticas y la industria de las telecomunicaciones sobre la responsabilidad, la supervisión y la seguridad global».
Los atacantes se basaron en identificadores e infraestructura asociados con operadores de todo el mundo, incluidas redes con sede en Camboya, China, la isla autónoma de Jersey, Israel, Italia, Lesotho, Liechtenstein, Marruecos, Mozambique, Namibia, Polonia, Ruanda, Suecia, Suiza, Tailandia, Uganda y el Reino Unido.
Cambiaron entre los protocolos SS7 y Diámetro, los protocolos de señalización conocidos para 3G y 4G/la mayor parte de 5G, respectivamente, según el informe. Si bien se suponía que Diámetro era más seguro que SS7, la Comisión Federal de Comunicaciones en 2024 abrió una sonda tanto en sus vulnerabilidades como en las de SS7, y el senador Ron Wyden, demócrata por Oregon, ha pedido un informe de la Agencia de Ciberseguridad y Seguridad de la Información sobre las vulnerabilidades de las telecomunicaciones arraigadas en ambos protocolos.
Pero identificar a los proveedores utilizados en las dos campañas de vigilancia, o quién estaba detrás de ellas, estaba fuera del alcance de los investigadores.
«La realidad es que hay varios proveedores de vigilancia conocidos y malos actores en este espacio, pero dada la naturaleza opaca de los protocolos de señalización de telecomunicaciones, esos proveedores pueden operar sin revelar exactamente quiénes son realmente», escribió Ron Deibert, director de Citizen Lab, en su boletín. «Muchas de las cosas maliciosas que están haciendo se mezclan con el flujo, que de otro modo sería voluminoso, de miles de millones de mensajes normales y señales itinerantes. Son 'operadores fantasmas' dentro del ecosistema global de telecomunicaciones».
Uno de los operadores mencionados en el informe de Citizen Lab, 019 Mobile, con sede en Israel, respondió que no reconocía los nombres de host a los que se hace referencia en el informe como nodos de red de 019 Mobile y no podía atribuir la actividad de señalización que representa a la infraestructura operada por 019 Mobile.
Otro operador, claro, dijo a TechCrunch que no cede conscientemente el acceso a la señalización a organizaciones que la utilizan para rastrear personas y que ha tomado medidas preventivas para defenderse contra el uso indebido.
Claro, 019 Mobile y un tercer operador, Tango Networks UK, no respondieron a las solicitudes de comentarios de CyberScoop. El informe de Citizen Lab dio cierta gracia a los operadores.
«Es importante señalar que el hecho de que el operador señale las direcciones observadas en los ataques no implica necesariamente la participación directa del operador», afirma. «En algunos casos, el acceso al ecosistema de señalización se puede obtener a través de proveedores externos, acuerdos de arrendamiento comercial u otros servicios intermediarios que permiten a los actores enviar mensajes utilizando identificadores de operador de redes legítimas».
El Congreso está lidiando con la renovación de una ley de vigilancia que expirará a finales de este mes y que, según los críticos, es un misterio en cuanto a la diferencia que ha supuesto para las controvertidas autoridades gubernamentales de espionaje, para bien o para mal.
La ley de 2024 reautorizó los llamados poderes de la Sección 702 de la Ley de Vigilancia de Inteligencia Extranjera (FISA), que autoriza la vigilancia sin orden judicial de las comunicaciones electrónicas de objetivos extranjeros. Lo más controvertido es que la ley permite a los funcionarios estadounidenses buscar (“consultar”) en esas bases de datos de comunicaciones utilizando información personal de los estadounidenses, siempre que el estadounidense esté en contacto con alguien en el extranjero, lo que plantea importantes preocupaciones sobre la privacidad.
Los partidarios de la ley de 2024, conocida como la Ley de reforma de la inteligencia y protección de Estados Unidos (RISAA), señalan 56 cambios que realizó para abordar las críticas a la Sección 702, luego de un período en el que salieron a la luz abusos, incluidos cientos de miles de registros indebidos. Al mismo tiempo, la ley introdujo cambios que algunos temían que en realidad pudieran ampliar los poderes de la Sección 702.
La Cámara votó para extender la ley tal como está para 10 dias temprano el viernes. El Senado entonces hizo lo mismo. La administración Trump ha buscado una reautorización “limpia” de 180 días.
Mientras el Congreso sopesa posibles extensiones de la ley de 2024 sin realizar cambios, “no creo que sepamos” qué beneficio ha obtenido, dijo Elizabeth Goitein, directora principal del programa de libertad y seguridad nacional del Centro Brennan para la Justicia. Del mismo modo, es difícil saber si algunos de los temores de expansión se han hecho realidad, afirmó: «No tenemos información fiable al respecto».
Jake Laperruque, del Centro para la Democracia y la Tecnología, añadió: «Aquí hay muchas cajas negras».
Examinando cambios pasados
Sin embargo, tanto Goitein como Laperruque se muestran escépticos ante cualquier cambio positivo por parte de RISAA y han abogado durante mucho tiempo por un requisito de orden judicial para las búsquedas de personas en Estados Unidos. Las agencias de inteligencia se han resistido a esa adición, alegando que ralentizaría drásticamente las investigaciones de seguridad nacional urgentes.
Por el contrario, Glenn Gerstell, ex asesor general de la Agencia de Seguridad Nacional, dijo que RISAA constituía “el conjunto de reformas más importante al estatuto desde su adopción en 2008”. y que “esas reformas han tenido un efecto dramático”.
Un punto importante de controversia es hasta qué punto disminuyó el número de búsquedas de personas en Estados Unidos, particularmente debido a una conclusión del Departamento de Justicia del año pasado. informe del inspector general descubriendo que una “herramienta de filtrado avanzada generó consultas que no fueron rastreadas por el FBI”.
Como lo describe el informe, un sistema del FBI tiene una “'función de filtro avanzado' que permite a los usuarios seleccionar un número de expediente del FBI o una 'instalación' específica (por ejemplo, un número de teléfono o una dirección de correo electrónico), utilizando un menú desplegable o una barra de búsqueda, para revisar las comunicaciones con las instalaciones específicas.
“Esta funcionalidad permite a los usuarios seleccionar de listas de 'participantes' en comunicación con instalaciones específicas y revisar las comunicaciones de esos participantes. En agosto de 2024 o alrededor de esa fecha”, continúa el informe. La División de Seguridad Nacional del Departamento de Justicia “se dio cuenta de la función de filtro de participantes en [the system] y le preocupaba que las búsquedas realizadas mediante el uso del filtro de participantes constituyan consultas separadas que deben satisfacer el estándar de consulta y cumplir con todos los requisitos de procedimiento de consulta”.
Según el recuento de la comunidad de inteligencia, el número de búsquedas de personas en Estados Unidos ha disminuido en gran medida incluso desde antes de la aprobación de la ley de 2024: 119.383 en 2022, 57.094 en 2023, 5.518 en 2024 y 7.413 en 2025.
«Está bastante claro que las búsquedas que se realizaron utilizando esta función de filtro cumplían con la definición legal de consultas y, sin embargo, el FBI durante un período de tiempo significativo decidió no contarlas como consultas», dijo Goitein.
Laperruque, subdirector del proyecto de seguridad y vigilancia del CDT, dijo que un mandato de auditoría en la ley de 2024 era potencialmente útil, pero no ha demostrado serlo en la realidad.
«Al menos debería significar que debería ayudar a intentar detectar abusos si están ocurriendo», dijo. «El problema aquí, sin embargo, es que todavía se confía en que el FBI registre adecuadamente todas sus canteras y las entregue al Departamento de Justicia para que las revise, lo cual no ha sucedido. Se confía en que el Departamento de Justicia y el ejecutivo se autocontrolen, y eso es algo sobre lo que la gente, con razón, tiene mucho escepticismo basándose en cómo se ha comportado el Departamento de Justicia recientemente».
Gerstell, asesor principal del Centro de Estudios Estratégicos e Internacionales, señala numerosas revisiones (incluido un informe del personal de la Junta de Supervisión de la Privacidad y las Libertades Civiles (PCLOB)) que indican una caída en las búsquedas de personas en Estados Unidos. Es el cambio más grande de RISAA, dijo.
“La más significativa es una caída muy sustancial en el número de consultas a la base de datos de información de personas estadounidenses, que ha sido un gran foco para los defensores de la privacidad, y ha habido una caída dramática, hasta el punto de que tanto el Inspector General del Departamento de Justicia como el personal del PCLOB han dicho: 'Me pregunto si nos estamos exagerando'. … Cada uno de ellos presenta esos números, sin reservas”.
En cuanto al recuento de la función de filtro avanzado, Gerstell reconoció la ambigüedad, pero se refirió a informes que decían, como resumió: «Si se hubieran considerado consultas, parece que la mayoría habría cumplido de todos modos… porque eran un subconjunto de algo que ya cumplía. Pero no sabemos si alguno de ellos no cumplía, y no tenemos los datos».
En el otro lado del debate sobre RISAA, los críticos argumentaron que su definición revisada de “proveedor de servicios de comunicaciones electrónicas” podría ampliar drásticamente la vigilancia para incluir empresas como cafeterías o propietarios. El objetivo real del cambio, informado, pero no revelado formalmente, fueron los centros de datos.
«Esa fue una expansión bastante grande con muchos abusos potenciales», dijo Laperruque. Pero «realmente no sabemos mucho sobre cómo ha cambiado», dijo.
El senador de Virginia Mark Warner, el principal demócrata del Comité de Inteligencia, intentó avanzar lenguaje clarificador sobre ese tema después de la aprobación de RISAA, y la administración Biden dijo limitaría el uso de la disposición al tipo de negocios no divulgados que motivaron la disposición en primer lugar. Laperreque señaló que la administración Trump no ha hecho tales promesas y que el lenguaje aclaratorio de Warner nunca se convirtió en ley.
El Tribunal de Vigilancia de Inteligencia Extranjera (FISC) ha emitido su dictamen anual recertificando el programa de la Sección 702 por un año más. Sin embargo, el tribunal supuestamente discrepó con los sistemas de filtrado del programa, diciendo que cuando dicho sistema se utiliza para buscar información sobre estadounidenses debe contarse como una consulta, sometiéndola a restricciones adicionales. La administración Trump planea apelar el fallo.
Otras críticas a la ley de 2024 incluyen que muchos de sus cambios más importantes no fueron cambios en absoluto, sino codificaciones de cambios que el entonces director del FBI, Christopher Wray, había implementado. Los abusos continuaron después de esos cambios, afirmó Goitein.
Gerstell dijo que consagrar esos cambios en la ley no era algo malo. “El estatuto codificó expresamente algunas, pero no todas, las reformas de Wray, y algunas fueron más allá de eso en muchos sentidos”, dijo. Esos cambios incluyeron exigir la aprobación del subdirector del FBI para consultas de personas estadounidenses dirigidas a funcionarios electos, personas designadas por el gobierno, candidatos u organizaciones políticas o medios de comunicación. Estos fueron algunos de los abusos de persecución anteriores más criticados.
La lucha aún por delante
Los republicanos siguen divididos sobre la extensión de la ley. Algunos que tenían reservas sobre una reautorización limpia se han sumado, como el presidente del Poder Judicial del Senado, Chuck Grassley, republicano por Iowa, quien había discrepado con las limitaciones a la asistencia del Congreso a los procedimientos del FISC, pero desde entonces ha Tenía esa preocupación resuelta.
Otros pueden haberse dejado influir por el lobby directo de la administración Trump, incluido un publicación en redes sociales del propio Trump esta semana, donde escribió: “¡Estoy dispuesto a arriesgarme a renunciar a mis derechos y privilegios como ciudadano por nuestro gran país y ejército!” Otros más han visto su posición contra una prórroga limpia endurecida por el Opinión del tribunal FISC y preocupaciones adicionales.
Otras cuestiones se han enredado en el debate sobre la reautorización, como los llamados a impedir que las agencias gubernamentales compren información de intermediarios de datos. Pero «esto no tiene nada que ver con esta autoridad», afirmó George Barnes, ex subdirector de la NSA.
Pero los legisladores de ambos partidos se han quejado durante meses de que la administración guardó silencio durante demasiado tiempo mientras se acercaba la expiración de la ley.
Sólo recientemente la administración Trump compartió nuevos ejemplos de los éxitos de la ley, incluido el de que había frustrado un ataque terrorista en 2024 contra una Concierto de Taylor Swift. Barnes dijo que publicar tales ejemplos podría ofrecer un caso público a favor de la ley, pero también tiene sus desventajas.
«Siempre fui comprensivo, pero me sentí frustrado por la necesidad de publicar ejemplos simplemente porque le coreografiaban al adversario lo que podíamos hacer», dijo Barnes, ahora presidente de la práctica cibernética de Red Cell.
Sin embargo, reautorizar la Sección 702 es urgente por motivos de ciberseguridad, dijo.
“Gran parte del impacto que vi que tuvo la autoridad sobre mi tiempo también se produjo en la ciberseguridad”, dijo. «Y entonces, cuando hay entidades extranjeras que tienen como objetivo a Estados Unidos, o intereses estadounidenses en el extranjero, esa autoridad puede estar posicionada para ayudar a eliminar esas actividades».
