En junio de 2025, un reportero del Consorcio Internacional de Periodistas de Investigación (ICIJ) recibió un correo electrónico que resulta difícil de ignorar para un periodista de investigación. Un hombre que afirmaba ser un ex asistente judicial en Pekín decía haber huido de China con documentos secretos que exponían un presunto esquema de malversación de fondos por valor de 10 millones de dólares. Ofrecía compartir las pruebas a través de un enlace.
El informante era falso, según publicó el ICIJ en abril . La organización concluyó que el enlace probablemente era un torpe intento de robar las credenciales de acceso de la periodista. Ella no hizo clic. Investigadores de Citizen Lab , que analizaron los correos electrónicos, descubrieron que formaba parte de una campaña más amplia que comenzó tras la investigación del ICIJ sobre China Targets . Afirmaron estar muy seguros de que estaba vinculado a China. El señuelo era una pista que cualquier periodista de investigación querría seguir.
Este tipo de ataque, el phishing, que utiliza correos electrónicos, mensajes o sitios web engañosos para conseguir que las personas revelen información confidencial o instalen software malicioso, no es nuevo. Sin embargo, las amenazas digitales contra los periodistas son cada vez más variadas y difíciles de predecir. El software espía mercenario, la vigilancia estatal, los ataques coordinados en línea y las estafas con inteligencia artificial han creado nuevos riesgos para los periodistas, sus fuentes y su trabajo. Aun así, muchas redacciones y periodistas siguen tratando la seguridad digital como una cuestión técnica en lugar de una parte fundamental del proceso periodístico.
Runa Sandvik , fundadora de la consultora de ciberseguridad Granitt y exdirectora de seguridad de la información de The New York Times , ha dedicado años a ayudar a los periodistas a desenvolverse en este ámbito. Asesora a reporteros y redacciones de todo el mundo sobre cómo protegerse a sí mismos, a sus fuentes y a su trabajo. Durante su etapa en The New York Times , contribuyó a reforzar las defensas digitales de la organización ante el aumento de la frecuencia y la sofisticación de los ciberataques contra periodistas y medios de comunicación. Actualmente, su trabajo abarca desde evaluaciones de seguridad y formación en redacciones hasta la preparación de equipos de reporteros para cubrir noticias en entornos de alto riesgo.
Hablé con Sandvik para averiguar cómo los periodistas y las redacciones pueden protegerse mejor en este panorama de amenazas en constante evolución. La conversación se ha editado ligeramente para mayor claridad y brevedad.
P: Usted trabaja directamente con periodistas, algunos de los cuales están siendo objeto de ataques digitales activos. ¿Qué es lo que más sorprende a la gente sobre la situación a la que se enfrentan?
A. Cuando la gente expresa sorpresa, suele ser por lo que realmente provoca una reacción en el adversario. Puede ser una publicación en redes sociales que moleste a alguien, una noticia que enfurezca a alguien o una cuenta a la que alguien intente acceder aunque, desde la perspectiva del periodista, no haya nada particularmente interesante.
Otro aspecto importante es hasta qué punto un adversario puede responder a una noticia. El ICIJ publicó hace un año una importante investigación sobre China , seguida de un artículo sobre la respuesta a ese reportaje, que abarcó diversos tipos de ataques.
Lo que puede sorprender a la gente es que un ataque no siempre consiste en que alguien intente acceder a tu correo electrónico, a tus redes sociales, te impida la entrada a un país o te deporte. Podría tratarse de todo lo anterior, e incluso más.
Por eso siempre resulta tan interesante, porque se trata de personas, y las personas pueden ser bastante impredecibles. Es difícil predecir con exactitud qué sucederá una vez que se solicite un comentario o se publique la noticia.
P. ¿Cómo ha cambiado el panorama de amenazas en los últimos cinco años?
A. En algunos casos, los periodistas se enfrentan a amenazas en línea, acoso, suplantación de identidad e intimidación. El auge de las redes sociales, la posibilidad de crear bots, la existencia de grandes granjas de bots y la facilidad con la que se puede manipular el contenido en línea hacen que este tipo de ataques sean más fáciles de llevar a cabo para un adversario que antes.
En otros casos, se trata de estafas y suplantación de identidad (phishing), que existen desde siempre. Siempre hemos hablado de desconfiar de los correos electrónicos de desconocidos y de comprobar los enlaces antes de hacer clic en ellos. Pero ahora, con la IA y la rapidez con la que los atacantes pueden crear páginas de suplantación de identidad que se parecen exactamente a las páginas de inicio de sesión legítimas, estos ataques son más fáciles de elaborar y más difíciles de detectar.
Creo que este tipo de ataques siempre han existido. Lo que ha cambiado es la magnitud, la apariencia y la forma en que nos defendemos de ellos. Eso está en constante evolución.
P: Habiendo trabajado con periodistas en redacciones de todo el mundo, ¿qué diferencias existen entre las amenazas y la capacidad de respuesta ante ellas en una redacción de Nueva York o Londres y una de Nairobi, por ejemplo?
Las redacciones con más presupuesto suelen tener más recursos y, en algunos casos, les resulta más fácil responder a las amenazas. Sin embargo, las amenazas en sí mismas pueden ser muy diferentes. Por ejemplo, en Estados Unidos, una de las mayores amenazas podría ser que las fuerzas del orden notifiquen a Google una orden judicial para obtener los registros de correo electrónico de una persona. En el Reino Unido, podría tratarse de una demanda. En Kenia, podrían existir amenazas personales y acoso. Cada país experimenta distintos tipos de riesgos.
Algo que he notado es que los periodistas fuera de Estados Unidos, el Reino Unido y Europa suelen ser más conscientes de las amenazas a las que se enfrentan. Les sorprenden menos porque esos riesgos ya forman parte de su realidad cotidiana.
P. Más allá de las diferencias en recursos, ¿en qué se diferencian las redacciones grandes y pequeñas en su enfoque de la seguridad digital? ¿Hay aspectos que unas puedan aprender de otras?
Las redacciones, tanto grandes como pequeñas, suelen diferir en cuanto a personal para seguridad digital, equipamiento y soporte, así como en cuanto a la orientación en materia de seguridad (proactiva o reactiva). En algunos casos, esta diferencia permite a los periodistas ser más ágiles… y en otros, se convierte en un obstáculo. Los desafíos de seguridad a los que se enfrentan suelen ser muy similares, por lo que todas las redacciones, independientemente de su tamaño, pueden beneficiarse de debatir sobre los recientes incidentes y necesidades en materia de seguridad, y aprender unas de otras.
P: Recientemente hemos visto casos de análisis forense que sugieren que se instaló software espía en los dispositivos de periodistas . ¿Estamos viendo más casos de este tipo de ataques dirigidos a periodistas?
A. El software espía existe desde hace tiempo. No sé si recuerdas a Hacking Team de hace años. Era una empresa italiana fundada en 2003 que vendía herramientas de pirateo a gobiernos de todo el mundo, quienes luego las utilizaban contra la sociedad civil.
En 2015, Hacking Team fue víctima de un ataque informático , y sus herramientas, correos electrónicos y documentos internos se filtraron en internet y posteriormente fueron publicados por WikiLeaks . Sin embargo, en los años posteriores, surgieron otras empresas que, en esencia, hacen lo mismo que Hacking Team hacía entonces.
Hemos visto a NSO Group con Pegasus . Hemos visto a Intellexa con Predator . Hay otras empresas de software espía que no tienen el mismo nivel de reconocimiento, y algunas de las que seguramente ni siquiera hemos oído hablar.
El software espía representa un riesgo real. Creo que hoy en día más periodistas son conscientes de ello. También me parece que hay más ataques contra la sociedad civil mediante software espía sofisticado. Al mismo tiempo, estamos mejorando tanto en la defensa como en la detección de estos ataques.
P. ¿Qué medidas prácticas pueden tomar los periodistas para protegerse del software espía?
A. En primer lugar, mantén tus dispositivos actualizados. Estas actualizaciones no solo incluyen nuevas funciones y emojis, sino también correcciones para vulnerabilidades de seguridad que los hackers podrían aprovechar. Si tu dispositivo ya no puede ejecutar la última versión del software, probablemente sea hora de comprar uno nuevo.
Después de eso, depende de si usas una PC o una Mac. Existen varias configuraciones de seguridad disponibles en Android, iOS, macOS, cuentas de Google y aplicaciones como WhatsApp que pueden mejorar significativamente tu protección contra el software espía.
[Sandvik también recomendó este artículo , que describe pasos prácticos que los periodistas pueden seguir para mejorar su seguridad digital, incluyendo la configuración de cuentas de Android, iOS, macOS, Google y WhatsApp. También puedes escuchar esta charla de 2022 del investigador Philip Di Salvo para los becarios de periodismo del Instituto Reuters, que ofrece consejos prácticos aún vigentes.]
P: El doxing (revelación de información personal) representa un riesgo creciente para los periodistas. ¿Qué pueden hacer los reporteros para prepararse ante este tipo de ataque?
A. No creo que sea posible protegerse completamente del doxing. Sin embargo, sí es algo para lo que se puede preparar. PEN America [una organización estadounidense sin fines de lucro que defiende la libertad de expresión y apoya a escritores y periodistas que sufren acoso] creó hace unos años un Manual de Campo sobre Acoso en Línea . Este manual contiene recursos no solo para las personas que son blanco del acoso, sino también para quienes presencian el doxing o el acoso, ayudándoles a comprender cómo pueden brindar apoyo y en qué consiste dicho apoyo.
También incluye directrices para los empleadores. Durante mucho tiempo, los periodistas fueron blanco de ataques, acoso y acoso sexual, pero las organizaciones que los rodeaban a menudo carecían de un marco para reflexionar sobre ello, hablar del tema o responder a ello.
Lamentablemente, al igual que muchas otras formas de acoso en línea, el doxing no se puede prevenir por completo. Históricamente, lo que he observado es que cuando alguien sufre acoso en línea o doxing, lo que resulta más vulnerante y perturbador es la cantidad de información personal que se hace pública.
Una forma de afrontar esto es simplemente comprender cuánta información sobre ti ya está disponible en línea. Tómate un tiempo para buscarte en Google y ver qué hay disponible. ¿Hay información que puedas eliminar? ¿Hay información que puedas bloquear, ocultar o censurar de alguna manera? ¿Tienes cuentas antiguas que ya no quieres tener? ¿Puedes borrarlas?
Como mínimo, infórmate sobre la información disponible para que, si alguien empieza a investigar tu actividad en línea y a usarla en una campaña de acoso dirigida, no te tome por sorpresa. Creo que estar al tanto te da una mayor sensación de control.
Además, tanto si eres autónomo, periodista independiente o formas parte de una redacción, cuanto más hables de esto con los miembros de tu equipo, con tus compañeros y con tu empleador, mejor preparados estaréis para actuar o apoyaros mutuamente si algo llegara a suceder.
P. ¿Podría dar un ejemplo de cómo el flujo de trabajo puede crear riesgos de seguridad, incluso cuando un periodista utiliza las herramientas adecuadas?
A. Un ejemplo es el de la reportera del Washington Post cuya casa fue allanada por el FBI . Ella usó Signal con mensajes que desaparecen para comunicarse con sus fuentes. Ese es el método ideal. En ese sentido, es la herramienta adecuada, el entorno adecuado. Pero el riesgo surgió en el flujo de trabajo.
Debido a que vinculó Signal en su teléfono con Signal en su computadora portátil del trabajo , y debido a que la computadora portátil del trabajo usaba autenticación biométrica, los investigadores pudieron acceder al dispositivo y a Signal. Creo que esto nos lleva a la siguiente pregunta: ¿cómo planificas tu trabajo? ¿Cómo te aseguras de usar las herramientas y la configuración correctas de la manera correcta y en el momento oportuno? Y creo que es algo muy difícil de hacer solo. Requiere intercambiar ideas con otras personas y tomarse el tiempo para reflexionar sobre lo que estás haciendo y cómo hacerlo de forma segura.
P: ¿Cómo se logra que los periodistas adopten herramientas y flujos de trabajo más seguros cuando la velocidad y la informalidad son una parte tan importante de la cultura de la redacción?
A. Creo que se reduce a dos cosas. Primero, para cambiar un hábito, necesitas comprender completamente por qué lo estás cambiando y por qué de una manera específica. Segundo, necesitas un sistema que te permita realizar ese cambio y mantenerlo. Es como ir al gimnasio o tomar vitaminas por la mañana. Todos sabemos que es bueno para la salud, pero hacerlo y convertirlo en un hábito puede ser realmente difícil.
Lo que he descubierto es que, para el 99 % del trabajo que hacemos, está bien seguir trabajando de la forma a la que ya estamos acostumbrados. Pero lo importante radica en saber planificar nuestro trabajo, de modo que cuando tengamos algo que intuimos que requiere un mayor nivel de seguridad, sepamos cómo implementarlo. Porque es más fácil implementar algo más seguro que luego ralentice nuestro flujo de trabajo para esa historia, fuente o proyecto en particular, que hacerlo para todo lo que hacemos a diario. Porque realmente nos va a ralentizar y va a generar mucha fricción. Trabajar de forma segura consiste en encontrar el equilibrio entre lo que es útil, rápido y conveniente, y lo que es altamente seguro pero más lento y engorroso. No todos los proyectos requieren el máximo nivel de seguridad posible.
P. ¿Qué le gustaría que más editores y líderes de redacción comprendieran sobre seguridad digital que actualmente no comprenden, o que tal vez no se toman lo suficientemente en serio?
A. Se me ocurren dos cosas. Primero, he hablado mucho sobre planificar el trabajo, pero planificar lleva tiempo y requiere una lluvia de ideas.
Los editores están en una posición privilegiada para ayudar a los periodistas a generar ideas y a reforzar esa parte del flujo de trabajo. Ya se reúnen con los reporteros, discuten noticias y contribuyen a definir la cobertura. Un editor puede hacer preguntas como: «¿Has pensado en esto? ¿Has activado esta configuración? Recientemente descubrí esta forma de protegerse contra el software espía. Me gustaría que tomaras una capacitación». Los equipos de TI, el personal administrativo y la dirección de la redacción también pueden apoyar la planificación de la seguridad digital.
Lo segundo es reconocer que planificar la seguridad forma parte del proceso periodístico. Del mismo modo que se piensa en las fuentes, se buscan testimonios, se recopila información y se incorporan diferentes voces a una noticia, también se debe pensar en la seguridad. Esto debe abarcar las perspectivas digital, física, emocional y legal. Estas consideraciones deben integrarse en el propio proceso de reportaje. Creo que esto aún supone un cambio respecto a lo que muchas redacciones consideran su forma habitual de trabajar.
