What you need to know about stalkerware | Eva Galperin

Traductor: Maira Perez Revisor: Javier Mariño

I want you to travel back in time with me,

Quiero que viajen conmigo en el tiempo

to the before time, to 2017.

a la prehistoria, al 2017.

I don't know if you can remember it,

Tal vez recuerden que en esos tiempos los dinosaurios vagaban por la Tierra.

dinosaurs were roaming the earth.

I was a security researcher,

Yo me desempeñaba en seguridad informática.

I had spent about five or six years

Había pasado unos cinco o seis años

doing research on the ways in which APTs,

investigando la forma en que las APT, las amenazas persistentes avanzadas

which is short for advanced persistent threats,

o, lo que es igual, los agentes estatales,

which stands for nation-state actors,

spy on journalists and activists

espiaban a los periodistas, activistas, abogados, científicos

and lawyers and scientists

and just generally people who speak truth to power.

y, en general, a las personas que les hacían frente.

And I'd been doing this for a while

Había pasado un tiempo cuando descubrí que uno de mis compañeros,

when I discovered that one of my fellow researchers,

with whom I had been doing this all this time,

con el que había estado compartiendo todo este tiempo,

was allegedly a serial rapist.

era un supuesto violador serial.

So the first thing that I did

Así que lo primero que hice fue leer un montón de artículos sobre el tema.

was I read a bunch of articles about this.

And in January of 2018,

En enero de 2018, leí un artículo de sus presuntas víctimas,

I read an article with some of his alleged victims.

And one of the things that really struck me about this article

y una de las cosas que me impactó cuando lo leí

is how scared they were.

fue el miedo de las víctimas.

They were really frightened,

Estaban aterrorizadas.

they had, you know, tape over the cameras on their phones

Les habían colocado cinta a las cámaras de sus teléfonos

and on their laptops,

y de sus computadoras personales.

and what they were worried about was that he was a hacker

Lo que más les preocupaba era que, al ser él un 'hacker',

and he was going to hack into their stuff

podía piratear sus cosas y arruinarles la vida.

and he was going to ruin their lives.

Eso las llevó a permanecer en silencio por un largo tiempo.

And this had kept them silent for a really long time.

So, I was furious.

Yo estaba furiosa.

And I didn't want anyone to ever feel that way again.

No quería que nadie se sintiera así nunca más.

So I did what I usually do when I'm angry:

Así que hice lo que usualmente hago cuando estoy enojada:

I tweeted.

mandé un tuit.

(Laughter)

(Risas)

And the thing that I tweeted

Escribí: "Si eres mujer y fuiste abusada sexualmente por un 'hacker'

was that if you are a woman who has been sexually abused by a hacker

and that hacker has threatened to break into your devices,

que amenaza con intervenir tus dispositivos,

that you could contact me

puedes contactarme y yo haré una revisión exhaustiva

and I would try to make sure

that your device got a full, sort of, forensic look over.

de tus dispositivos".

And then I went to lunch.

Y luego fui a almorzar.

(Laughter)

(Risas)

Ten thousand retweets later,

Después de 10 mil retuits,

(Laughter)

(Risas)

I had accidentally started a project.

sin querer, había empezado un proyecto.

So every morning, I woke up and my mailbox was full.

Cada mañana al despertar, me encontraba con mi casilla de correo llena.

It was full of the stories of men and women

Estaba llena de historias de hombres y mujeres

telling me the worst thing that had ever happened to them.

que me contaban cosas horribles por las que habían pasado.

I was contacted by women who were being spied on by men,

Me contactaron mujeres que eran espiadas por hombres,

by men who were being spied on by men,

hombres que eran espiados por otros hombres

by women who were being spied on by women,

y mujeres que eran espiadas por otras mujeres.

but the vast majority of the people contacting me

Pero la gran mayoría eran mujeres que habían sido abusadas sexualmente

were women who had been sexually abused by men

who were now spying on them.

por hombres que ahora las estaban espiando.

The one particularly interesting case

Uno de los casos más interesantes fue el de un hombre que me contactó

involved a man who came to me,

because his boyfriend had outed him as gay

porque su novio le había contado a su familia coreana que era homosexual.

to his extremely conservative Korean family.

Una familia muy conservadora.

So this is not just men-spying-on-women issue.

Así que esto no se trata solo de hombres que espían a mujeres.

And I'm here to share

Hoy estoy aquí para compartir mi experiencia y lo que aprendí.

what I learned from this experience.

What I learned is that data leaks.

Lo que aprendí es que la información se filtra.

It's like water.

Es como el agua.

Llega a lugares que no quieren que llegue.

It gets in places you don't want it.

Human leaks.

Los seres humanos filtran.

Your friends give away information about you.

Sus amigos comparten información suya.

Your family gives away information about you.

Su familia da información sobre Uds.

You go to a party,

Van a una fiesta

somebody tags you as having been there.

y alguien los etiqueta por haber estado allí.

And this is one of the ways

Esta es una de las formas en que los abusadores

in which abusers pick up information about you

encuentran información que no queremos compartir con ellos.

that you don't otherwise want them to know.

It is not uncommon for abusers to go to friends and family

Los abusadores, por lo general, recogen información de la víctima

and ask for information about their victims

preguntando a los amigos y familiares con la excusa de estar preocupados

under the guise of being concerned about their "mental health."

por su "salud mental".

A form of leak that I saw

Una de las formas en que se filtra información

was actually what we call account compromise.

es cuando se compromete una cuenta.

So your Gmail account,

Una cuenta de Gmail,

your Twitter account,

de Twitter,

your Instagram account,

de Instagram,

your iCloud,

de iCloud, la ID de Apple,

your Apple ID,

your Netflix, your TikTok --

de Netflix, de TikTok...

I had to figure out what a TikTok was.

Tuve que aprender qué era un TikTok.

If it had a login,

Si es necesario iniciar sesión, la cuenta queda comprometida.

I saw it compromised.

And the reason for that is because your abuser is not always your abuser.

Eso es porque el abusador no es siempre el abusador.

It is really common for people in relationships to share passwords.

Es común en las parejas que se compartan las contraseñas.

Furthermore, people who are intimate,

Los que son muy íntimos y saben mucho del otro

who know a lot about each other,

can guess each other's security questions.

pueden adivinar las preguntas de seguridad del otro.

Or they can look over each other's shoulders

O pueden mirar su código para desbloquear el celular.

to see what code they're using in order to lock their phones.

They frequently have physical access to the phone,

Con frecuencia, tienen acceso físico al móvil o a la computadora portátil.

or they have physical access to the laptop.

And this gives them a lot of opportunity

Y eso les da la posibilidad de manipular las cuentas de otros,

to do things to people's accounts,

which is very dangerous.

lo cual es muy peligroso.

The good news is that we have advice

La buena noticia es que puedo darles consejos

for people to lock down their accounts.

sobre cómo aumentar la seguridad de sus cuentas.

This advice already exists, and it comes down to this:

Un consejo que seguramente han escuchado es el siguiente:

Use strong, unique passwords for all of your accounts.

Tengan contraseñas difíciles y únicas para todas sus cuentas.

Use more strong, unique passwords

Den respuestas difíciles y únicas a las preguntas de seguridad.

as the answers to your security questions,

so that somebody who knows the name of your childhood pet

Así, si alguien sabe el nombre de su mascota de la infancia,

can't reset your password.

no podrá restablecer la contraseña.

And finally, turn on the highest level of two-factor authentication

Por último, usen el nivel más alto de autenticación en dos pasos

that you're comfortable using.

con el que se sientan más cómodos.

So that even if an abuser manages to steal your password,

De modo que si un abusador logra robar su contraseña, no podrá entrar a su cuenta

because they don't have the second factor,

porque le faltará completar un paso.

they will not be able to log into your account.

The other thing that you should do

Otra cosa que deben hacer es mirar el apartado de seguridad

is you should take a look at the security and privacy tabs

y privacidad de sus cuentas.

for most of your accounts.

La mayoría tiene un apartado de seguridad y privacidad

Most accounts have a security or privacy tab

that tells you what devices are logging in,

que dice en qué dispositivos está abierta la sesión y desde dónde.

and it tells you where they're logging in from.

For example, here I am,

Por ejemplo, aquí estoy yo en mi cuenta de Facebook desde La Quinta,

logging in to Facebook from the La Quinta,

where we are having this meeting,

donde estamos ahora,

and if for example,

y si, por ejemplo, mirando los inicios de sesión,

I took a look at my Facebook logins

and I saw somebody logging in from Dubai,

veo que alguien entró desde Dubái, me llamaría la atención

I would find that suspicious,

because I have not been to Dubai in some time.

porque hace un tiempo no voy a Dubái.

But sometimes, it really is a RAT.

En algunos casos, puede ser alguien que quiera espiar

If by RAT you mean remote access tool.

a través de una herramienta de acceso remoto.

And remote access tool

En esencia, cuando hablamos de software de vigilancia,

is essentially what we mean when we say stalkerware.

hablamos de herramientas de acceso remoto.

So one of the reasons why getting full access to your device

La razón por la que el gobierno quiere tener acceso completo

is really tempting for governments

a sus dispositivos es la misma por la que quieren hacerlo

is the same reason why getting full access to your device

is tempting for abusive partners and former partners.

las parejas abusivas o exparejas.

We carry tracking devices around in our pockets all day long.

Llevamos con nosotros dispositivos de rastreo todo el día.

We carry devices that contain all of our passwords,

Llevamos dispositivos que tienen todas nuestras contraseñas,

all of our communications,

todas nuestras comunicaciones, hasta las más encriptadas.

including our end-to-end encrypted communications.

All of our emails, all of our contacts,

Todos nuestros correos electrónicos, nuestros contactos,

all of our selfies are all in one place,

nuestras selfis y nuestra información financiera

often our financial information is also in this place.

están en un solo lugar.

And so, full access to a person’s phone

Así, tener acceso completo al celular de una persona

is the next best thing to full access to a person's mind.

es lo más cercano a tener acceso completo a la mente de una persona.

And what stalkerware does is it gives you this access.

Lo que hacen los software de vigilancia justamente es permitir ese acceso.

So, you may ask, how does it work?

Se preguntarán cómo funcionan.

The way stalkerware works

Un software de vigilancia es un programa disponible comercialmente

is that it's a commercially available program,

which an abuser purchases,

que un abusador compra

installs on the device that they want to spy on,

e instala en el dispositivo al que quiere acceder

usually because they have physical access

porque tiene acceso físico a él.

or they can trick their target into installing it themselves,

También puede engañar a su víctima y hacer que lo instale diciéndole:

by saying, you know,

"Es muy importante que instales este programa en tu dispositivo".

"This is a very important program you should install on your device."

And then they pay the stalkerware company

Luego, el abusador le paga a la empresa que desarrolla el software

for access to a portal,

para acceder a un portal que le brinda información

which gives them all of the information from that device.

sobre ese dispositivo.

And you're usually paying something like 40 bucks a month.

Por lo general, se pagan 40 dólares al mes.

So this kind of spying is remarkably cheap.

Este tipo de espionaje es bastante barato.

Do these companies know

¿Estas empresas saben

that their tools

que sus herramientas se utilizan para abusar de la privacidad?

are being used as tools of abuse?

Absolutely.

Totalmente.

Si miran la publicidad de Cocospy, uno de estos productos,

If you take a look at the marketing copy for Cocospy,

which is one of these products,

it says right there on the website

dice en su página web

that Cocospy allows you to spy on your wife with ease,

que Cocospy te permite espiar a tu esposa sin problemas

"You do not have to worry about where she goes,

y que no debes preocuparte por los lugares o las páginas web que visita

who she talks to or what websites she visits."

ni con quién habla.

So that's creepy.

Da miedo.

HelloSpy, which is another such product,

HelloSpy, otro de esos productos,

had a marketing page in which they spent most of their copy

basa su publicidad en el predominio de la infidelidad en las parejas

talking about the prevalence of cheating

and how important it is to catch your partner cheating,

y la importancia de desenmascarar a tu pareja si te engaña.

including this fine picture of a man

Incluso tienen la foto de un hombre

who has clearly just caught his partner cheating

que acaba de descubrir a su pareja y la ha golpeado.

and has beaten her.

She has a black eye, there is blood on her face.

Ella tiene un ojo morado, y sangre en la cara.

And I don't think that there is really a lot of question

No creo que quepa duda sobre la posición de HelloSpy en este caso en particular

about whose side HelloSpy is on in this particular case.

ni a quién va dirigido su producto.

And who they're trying to sell their product to.

It turns out that if you have stalkerware on your computer or on your phone,

Al parecer, es muy difícil saber

si se tiene uno de estos programas instalados

it can be really difficult to know whether or not it's there.

en la computadora o en el teléfono.

And one of the reasons for that

Una de las razones es que las empresas desarrolladoras de antivirus

is because antivirus companies

often don't recognize stalkerware as malicious.

no los reconocen como una amenaza.

They don't recognize it as a Trojan

No los reconocen como troyanos ni como otro tipo de amenaza

or as any of the other stuff that you would normally find

por las que generalmente alertan.

that they would warn you about.

These are some results from earlier this year from VirusTotal.

Estos son algunos de los resultados de VirusTotal a principios de este año.

I think that for one sample that I looked at

En una de las muestras que analicé,

I had something like a result of seven out of 60

7 de 60 de las plataformas

of the platforms recognized the stalkerware that I was testing.

reconoció el software de vigilancia que yo estaba probando.

And here is another one where I managed to get 10,

Aquí hay otra donde reconoció 10 de 61.

10 out of 61.

So this is still some very bad results.

Sigue siendo un resultado muy malo.

I have managed to convince a couple of antivirus companies

He logrado convencer a algunas empresas de antivirus

to start marking stalkerware as malicious.

para que reconozcan estos programas como una amenaza.

So that all you have to do

Así que, si quieren saber si tienen instalado un software de vigilancia

if you're worried about having this stuff on your computer

is you download the program,

en su computadora,

deben descargar el programa y escanear su equipo.

you run a scan and it tells you

Les avisará que hay un programa no deseado en el dispositivo.

"Hey, there's some potentially unwanted program on your device."

It gives you the option of removing it,

Les dará la opción de eliminarlo manualmente, pero no automáticamente.

but it does not remove it automatically.

And one of the reasons for that

Y eso ocurre por la manera en que se maneja el abuso.

is because of the way that abuse works.

Frequently, victims of abuse aren't sure

Por lo general, la víctima no sabe si detener el acceso es lo mejor,

whether or not they want to tip off their abuser

porque, de esa manera, el abusador se daría cuenta.

by cutting off their access.

Or they're worried that their abuser is going to escalate to violence

O bien le preocupa que pueda ponerse agresivo

o aún más violento si ya lo era.

or perhaps even greater violence

than they've already been engaging in.

Kaspersky was one of the very first companies

Kaspersky fue una de las primeras empresas en comprometerse y tomar esto en serio.

that said that they were going to start taking this seriously.

And in November of this year,

En noviembre de este año, lanzaron un informe

they issued a report in which they said

según el cual, desde que empezaron a rastrear estos softwares en sus usuarios,

that since they started tracking stalkerware among their users

habían visto un aumento del 35 %.

that they had seen an increase of 35 percent.

Likewise, Lookout came out with a statement

Lookout también lanzó un comunicado diciendo que iban a comprometerse más.

saying that they were going to take this much more seriously.

Y, por último, una compañía llamada Malwarebytes lanzó el mismo comunicado

And finally, a company called Malwarebytes also put out such a statement

and said that they had found 2,500 programs

e informó que encontraron 2500 programas que podían considerarse de vigilancia.

in the time that they had been looking,

which could be classified as stalkerware.

Finally, in November I helped to launch a coalition

Para finalizar,

en noviembre, ayudé a lanzar una coalición contra los softwares espías

called the Coalition Against Stalkerware,

made up of academics,

compuesta por académicos,

people who are doing this sort of thing on the ground --

gente que hace este tipo de cosas 'in situ',

the practitioners of helping people to escape from intimate partner violence --

profesionales que ayudan a escapar de la violencia de pareja

and antivirus companies.

y empresas que desarrollan antivirus.

And our goal is both to educate people about these programs,

Nuestro propósito es tanto educar a la gente sobre estos programas,

but also to convince the antivirus companies

como convencer a las empresas de antivirus de cambiar las reglas

to change the norm

in how they act around this very scary software,

y actuar contra estos programas siniestros.

so that soon, if I get up in front of you

De modo que si dentro de un año vuelvo a hablarles de esto,

and I talk to you about this next year,

I could tell you that the problem has been solved,

pueda decirles que el problema está resuelto,

and all you have to do is download any antivirus

y lo único que tienen que hacer es descargar cualquier antivirus,

and it is considered normal for it to detect stalkerware.

y que la detección de estos softwares es algo normal

Esa es mi esperanza.

That is my hope.

Thank you very much.

Muchas gracias.

(Applause)

(Aplausos)