Distopía electoral: ¿hackear votos o manipular votantes?

La política, como juego por la obtención del poder, siempre ha contado con argucias de lo más variopintas. Si nos vamos fuera de la democracia la lista sería infinita, pero en ella tampoco escasean las estrategias de manipulación que los chacales electorales han puesto en práctica. La democracia representativa, en tanto como forma de gobierno que encuentra en el voto su herramienta de designio, eleva la urna a objeto de representación primigenio.

Tanto es así, que para influir en lo que allí termina, desde partidos políticos, pasando por lobbies y demás buitres al acecho de la rentabilidad gubernamental, todos se han dejado caer desde antaño por inventivas formas de hacer ceder la balanza hacia ellos. O hacia sus intereses, vaya. Han jugado a la clásica extorsión, como cuando en 1796 el entonces embajador francés aseguró que Francia y Estados-Unidos se convertirían en enemigos si al otro lado del charco ganaba John Adams (aunque les salió rana). También el robo de papeletas, o la falsificación, que en España se acabó llamando “pucherazo”, originado durante la restauración borbónica en ese periodo conocido como el “turnismo”, y que llegó a alargarse hasta las elecciones de 1936, donde no hubo pocas raspaduras y triquiñuelas. Vamos, que no es escueta la chistera de los magos de la política.

Este 23-J ya hemos tenido un pequeño aperitivo de paranoia en esta línea de la manipulación. No tanto porque el ejercicio democrático estuviese en peligro, como porque existía una estrategia en hacer pensar al electorado que lo estaba. Alberto Núñez Feijóo puso en duda el voto por correo en un mitin el miércoles 12 de julio, y de ahí se armó la marimorena. Porque, claro, la fecha de las elecciones manda mucho, y lo de votar por correo, que era casi un gesto esnob, de despatriado o de compromiso con una BBC (boda-bautizo-comunión), ha batido récords superando los 2.600 millones de solicitantes.

Curiosamente, la izquierda, al menos eso nos demostraron las pasadas elecciones estadounidenses y las anteriores, apuesta más que la derecha al voto por correo. Incluso en España, el director de Opinión de Ipsos, José Pablo Ferrándiz, afirmó al diario infoLibre sobre el 23-J que “las personas que han solicitado votar por correo, entre un 12% y un 14% del total, tienen un perfil más de izquierdas”. No es objeto entrar aquí a debatir por qué la izquierda deja pagado de antemano, lo importante es que así es. Si fuese poca cosa, o ideológicamente transversal, no se usaría como arma, bien sea hablando de su manipulación partidista y tramposa, como, puestos a bailar con la conspiranoia, de la puesta en marcha de un complot para llevarla a cabo.

La cuestión es si hoy, revolcándonos como gorrinillos felices en lo digital, con todas las herramientas de control, aunque también de naturaleza anarquizantes, es viable que eso suceda. ¿Es posible manipular las elecciones? ¿Falsearlas? Fletar autobuses para llevar a ancianos con las facultades mentales afectadas a votar, como sucedió en Lugo en 2012, es un truco viejo, y malo, que, aunque revisado, es posible que se ponga en marcha, pero la pregunta aquí tiene una amplitud de miras mayor. Digámoslo con grandes palabras, ¿es posible piratear las elecciones?

La mayoría de los expertos coinciden en que se trata de algo poco viable a nivel cibernético. El director del Centro de Operaciones de Ciberseguridad (SOC) en España de la boutique tecnológica experta en ciberseguridad BeDisruptive, Roberto Lara, afirma: “Las elecciones que se llevarán a cabo el próximo 23 de julio en España no están fuertemente ligadas a la digitalización, por lo que es altamente improbable que los resultados sean manipulados de esta forma el día de la votación. En realidad, el proceso se basa principalmente en el uso de dispositivos digitales para el recuento del censo (aunque también se realiza un proceso de duplicación en papel) y una tablet que se utiliza para recopilar información a lo largo del día y así tener conocimiento del número de votantes. No obstante, es importante mencionar que esta cifra no es oficial y es administrada por una consultora externa”.

Por estas razones, Lara considera que “resulta más factible que los ciberataques se pudieran producir antes de las elecciones, con el fin de modificar la intención de voto de los ciudadanos o socavar la transparencia del proceso, en lugar de atacar directamente los resultados en sí”. Antes de las elecciones… ¿Cómo se podría manipular la intención de voto, desde el terreno de lo digital, antes de producirse la cita electoral? Pues con una fórmula que ya hemos visto en anteriores escándalos como el de Cambridge Analytica (impactantemente bien resumido en el documental El gran hackeo, de Karim Amer y Jehane Noujaim, disponible en Netflix), la ingeniería social.

Aunque la fórmula del voto todavía se refugie en lo analógico, el avasallamiento digital de cara a intervenir en el proceso electoral es más que viable. El miembro del Proyecto de Propaganda Computacional de la Universidad de Oxford (Reino Unido) Sam Woolley ya advirtió a la BBC en 2017: “Es muy útil poder utilizar un servicio anónimo como Twitter para enviar muchos mensajes a gente para que cambien su forma de pensar sobre unas elecciones. Mucha gente llama a esto guerra informativa”. Una guerra que, en estos últimos cinco años, no ha dejado de librarse.

Sin embargo, Lara recalca que hay más frente abiertos en la trinchera por la alteración de los resultados electorales: “La utilización de ingeniería social como podría ser la desinformación es una herramienta común en todas las elecciones. Aunque también podrían darse ciberataques contra instituciones, partidos políticos o cabezas de lista. El CCN [CNI] ha elaborado una guía para partidos políticos con relación a los mismos en las elecciones autonómicas pasadas del 28 de mayo, lo que es un indicativo para elevar los niveles de riesgo. No es un escenario poco probable ya que múltiples ayuntamientos han sido atacados con éxito. En octubre de 2022 se atacó el Consejo General del Poder Judicial, en concreto, el Punto Neutro Judicial. Otro ejemplo reciente, en las elecciones generales de abril de 2019 la web de VOX fue vulnerada. Un ataque de estas características podría suponer una fuga de información que desprestigie o desestabilice la imagen de un partido, persona o institución cambiando la intención de voto”.

Sí que existe, por lo tanto, un cierto peligro de cara a esa enriquecida paranoia sobre la vulnerabilidad de Correos, y este residiría en los ciberataques a sus sistemas. La inutilización, por ejemplo, de la infraestructura logística de la institución postal el día de las elecciones. Pero la cosa no queda ahí. Uno puede echarle imaginación y desentenderse de la fuente para atacar sus aledaños, que son, al fin y al cabo, absolutamente imprescindibles. El directivo de BeDisruptive, añade: “Se podrían llevar a cabo ciberataques a empresas con licitaciones concedidas para las elecciones. La plataforma de contrataciones del Estado hace públicas las adjudicaciones de los contratos públicos relativos a las elecciones. A modo de ejemplo, haciendo una búsqueda rápida en dicha plataforma, podemos obtener rápidamente cuál es la empresa que imprime las papeletas en Santa Cruz de Tenerife, además podríamos obtener otros proveedores de la cadena de suministro de las elecciones”.

Queda aclarado que los riesgos a nivel de ciberseguridad durante el día de las elecciones son bajos debido a la escasa dependencia que existe sobre los dispositivos tecnológicos implicados. Ah, y para quién caiga en la línea de dudar de la integridad de nuestra democracia, refugiándose en la posibilidad de que desde el Gobierno se meta mano al futuro del poder político, sepa que España tiene una nota sobresaliente en cuanto a la calidad de sus instituciones, sus procesos democráticos y su defensa de libertades y derechos, según la clasificación de organización especializada en derechos humanos Freedom House.

La historia nos demuestra, no obstante, que anclarse en el anacronismo tecnológico resulta infructuoso. Antes, o después, el progreso se impone. El voto digital ya es una realidad en países como Estonia, que en las elecciones de 2019 logró aumentar mucho la participación gracias a esta nueva fórmula. La cuestión es si España está preparada para ello.Lara responde: “El proceso electoral digital o voto electrónico presenta diferentes retos en materia de seguridad como son garantizar el anonimato del voto, la identificación y privacidad del votante, además del control a nivel de ciberseguridad de los sistemas tecnológicos implicados. No creo que la implementación del voto electrónico sea un problema de ciberseguridad. Más bien, considero que es un tema de desconfianza. Esto se debe a que constantemente recibimos noticias sobre ciberdelitos en compañías privadas o estamentos públicos. Además, un error en el sistema electrónico sería inaceptable y el Estado no debería comprometer la confianza en el proceso electoral. Sin embargo, la digitalización es el futuro y tendremos que realizar la transición, con lo que seguramente acabaremos votando desde nuestro móvil tarde o temprano”.

Una fuente experta perteneciente a una de las Big Four, que ha preferido no identificarse debido a un posible conflicto de intereses, contradice la opinión de Lara: “La implementación del voto electrónico supone demasiados riesgos de seguridad de la información para los que no estamos preparados. En primer lugar, la autenticación del votante, es decir comprobar que la persona que vota es quien dice ser. Luego, una vez la persona autenticada, entra el problema de la protección de datos y en este caso son datos muy sensibles ya que de poder asociar la identidad de la persona con el voto emitido podríamos identificar la ideología de cada ciudadano, y opino que, en el momento en que quedan registradas las afinidades políticas, entramos en un nivel muy alto de riesgo social. Eso sin mencionar la integridad del voto, es decir, la no modificación de estos”.

No son alegaciones muy tranquilizadoras, que digamos. Pero es indiscutible que las inversiones en ciberseguridad son cada vez mayores, debido a que también lo son los ataques y herramientas contra ella. La fuente anónima prosigue: “Plantéate si realmente confías en que el proceso garantizaría la confidencialidad del voto, la autenticidad de los votantes y la integridad de los resultados. La desconfianza está justificada y sí, tiene que ver también con la seguridad”.

De momento, seguimos votando, cumpliendo con el ritual del pateo al colegio electoral, o con los trámites del voto por correo. Eso no significa, como ya se ha insinuado antes, que no haya formas de pirateo que no tengan que ver con manipular el número de votos, tanto como con manipular al votante. “El voto en sí no se puede piratear”, insiste Lara, aunque matiza: “Lo que sí se puede en España y en otros países, es utilizar métodos como la ya citada desinformación por medio de difusión de fake news, el phishing (suplantación de identidad), las redes de bots automatizados y troles para amplificar ciertos mensajes o noticias en redes sociales y sembrar la discordia y el conflicto (advertencia que lleva años, como hemos mencionado en las declaraciones de Sam Woolley, sobre la mesa), o, por ejemplo, los ciberataques contra instituciones, partidos políticos o cabezas de lista pueden ser usados para sembrar dudas sobre la integridad del proceso”.

Tras esto la pregunta lógica sería, ¿qué podemos hacer para evitarlo? ¿Contamos con armas para oponernos a esta clase de injerencias? Nuestra fuente anónima lo tiene claro: “Para empezar la clave está en la prevención, detección y reacción. Siempre. Es decir, gestión de riesgos e implantación de medidas para mitigar los riesgos. Establecer procedimientos para que si ocurre un incidente la detección de este sea lo más temprana posible y, una vez detectado, tener la capacidad de reaccionar”

Por su parte, Lara propone “seguir estrategias seguras como puede ser el modelo confianza cero o la utilización de herramientas específicas para los activos implicados en el proceso”. Y añade: “Por supuesto, contar con un servicio de SOC con capacidad de monitorización 24×7 para prevenir y proteger. También serían de gran utilidad herramientas concretas para evitar ataques de ingeniería social o servicios de ciberinteligencia para rastrear y predecir eventos que puedan suponer un riesgo”.

A esto último, la fuente anónima de la Big Four, aclara: “No debemos confundir detección y respuesta con prevención, que iría más en la línea de buen modelo de gobierno, cumplimiento normativo, análisis y gestión de riesgos, políticas de seguridad… El modelo debe ambicionar siempre más lo preventivo que lo paliativo”.

En conclusión, podemos afirmar que el voto está a buen recaudo en las manos de los profesionales de Correos, que aún estamos lejos de poder ejercer el derecho democrático vía app y que, si debiéramos vigilar algo con mayor apremio, eso sería aquello a lo que no prestamos especial atención respecto al voto. Es decir, todo lo que nos empuja a decidirnos por uno, o por otro, de manera fraudulenta y manipuladora. No son las elecciones las que son pirateables, lo que más fácil se piratea, somos nosotros y nuestras intenciones.