Sotera: «Han visto al propio Donald Trump usando nuestro SecurePhone»
En su día muchos mandatarios de primer nivel y personalidades que necesitaban un grado extra de privacidad y seguridad llevaban siempre una BlackBerry como smartphone de cabecera. Pero el proyecto de la compañía de la zarzamora y sus exigentes estándares poco a poco se fueron esfumando y disgregando.
Este espacio vacío lo han ido ocupando otras compañías y, entre ellas, se encuentra la estadounidense Sotera Digital Technology, nacida hace casi una década.
Su producto más conocido hasta ahora ha sido SecurePhone, un dispositivo diseñado para entornos de alta seguridad -como gobiernos e instituciones públicas- que sirve como un muro contra todo tipo de software espía, en tiempos de Pegasus y otras amenazas del mismo palo.
Con el tiempo, la compañía ha ampliado su enfoque con SecureShield, una aplicación que traslada parte de esa tecnología a un público más amplio que busca reforzar su privacidad sin necesidad de cambiar de dispositivo.
Hablamos con Guillermo Francos, responsable de la compañía en España, sobre el funcionamiento de su tecnología, sus límites, su evolución y su visión del mercado de la ciberseguridad móvil.
– Para empezar, ¿Cómo decidís a qué clientes podéis vender vuestra tecnología? ¿Qué líneas rojas tenéis?
– Partimos de la base de que esto es tecnología estadounidense y, para poder exportarla, tenemos ciertas restricciones. Esas restricciones están dadas por los países a los cuales no podemos vender y las personas a las cuales no podemos vender.
En general son listas que están publicadas en sitios que se pueden encontrar en la web, no hay ninguna sorpresa. Nosotros nos guiamos por las listas que nos provee el Departamento de Comercio de EE.UU y el Departamento del Tesoro.
Antes de hacer una venta lo que hacemos es un screening previo, lo que sería “conoce a tu cliente”. Si esa persona no tiene antecedentes, no tiene problemas con la justicia y además no presenta temas reputacionales obvios, habiendo pasado las revisiones previas, se le puede vender sin problema en cualquier parte del mundo, salvo en los países o personas que acabo de mencionar.
Es una tecnología que podemos comerciar libremente en cualquier lugar del mundo dentro de esas restricciones.
– ¿Os habéis encontrado alguna vez con conflictos de intereses entre dos clientes, del tipo “a este sí se lo vendo, a este no”?
– No, no nos hemos encontrado con esa situación en el pasado. Tenemos los procesos que tenemos, pero se vive de una manera muy natural.
Es tecnología que encuentras en la web, el sistema operativo lo encuentras en la web, a nosotros nos encuentras en la web. Es bastante sencillo el proceso. Nunca nadie nos ha dicho “nosotros sí, pero ellos no” o al revés.
Y muchas veces las cosas que salen en las noticias, sobre todo en la actualidad (como temas entre EE.UU y otros países) a la larga la gente sigue comerciando igual. Con lo cual no hemos tenido ese tipo de inconvenientes.
“Antes de cada venta hacemos un proceso de ‘conoce a tu cliente’ para asegurarnos de que no hay antecedentes ni problemas reputacionales”
– Durante años SecurePhone ha sido un producto muy de nicho. Ahora habéis lanzado SecureShield, una app. ¿A qué responde este cambio?
– Es un poco intentar buscar una oportunidad de mercado y también responder a una necesidad que hemos detectado.
Nosotros pensamos en soluciones que están entre dos extremos: nada, que es lo que tenemos hoy en nuestra cotidianidad cuando usamos dispositivos Android o iOS, y el 100% de seguridad, que tiene sus particularidades y seguramente es para un grupo muy determinado de clientes.
Pero hay todo un universo al que le puede interesar tener un nivel determinado de seguridad o de privacidad, llamémoslo más privacidad que seguridad, muchísimo mayor al que uno tiene cuando contrata una VPN, y que no necesariamente quiere pasar a tener un dispositivo separado para ciertas cosas.
Entonces lo pensamos más como un complemento. SecureShield intenta responder a esa gente que quiere tener un solo dispositivo y un nivel altísimo de privacidad.
Esto es una compañía que arrancó en 2017, el desarrollo ha llevado muchos años, fue un trabajo muy profundo. Desde el momento en que empezamos a desarrollarlo ya vimos que era un producto de nicho y que había que evaluar cómo abrir la oferta. Lo vas viendo y va evolucionando.
– ¿Cuál es el perfil de cliente que tenéis, sobre todo ahora con la aplicación móvil?
– Yo te diría que siempre se habla de gobiernos o grandes compañías, pero en realidad hablaría más de clientes que necesitan un grado determinado de confidencialidad o privacidad.
No depende tanto de la persona o del cliente, sino del caso de uso.
Nos ha pasado, por ejemplo, que una persona física hizo una compra en la web. No tenía relación con ninguna gran corporación ni nada por el estilo, simplemente valoraba un incremento enorme en privacidad respecto a lo que tenía antes.
Entonces yo saldría un poco de esa idea de ‘gobierno o gran empresa’ y lo llevaría más a casos de uso. Evidentemente los gobiernos son el ejemplo perfecto, pero no es exclusivo de ellos.
– ¿Hay algún sector que os haya sorprendido como cliente con este nuevo lanzamiento?
– La verdad es que no. En general – y sobre todo como es un proceso tan intenso- no te llevas sorpresas.
Es raro que un día aparezca alguien diciendo “vengo del sector del cine y quiero comprar dispositivos”. Más o menos te vas dando cuenta hacia dónde va, y normalmente son compañías o personas que necesitan un nivel muy alto de confidencialidad o privacidad.
– ¿No os preocupa que al abrir el campo con SecureShield se diluya la sensación de exclusividad que ofrecíais con el Secure Phone?
– No, para nada. El hardware no cambia el nivel de seguridad. A nosotros el hype no nos preocupa tanto, lo que nos preocupa es la seguridad en las comunicaciones.
Cuanta más gente pueda usarlo, mejor. Y además, a medida que hacemos esfuerzos de venta también vamos enseñando. La gente va aprendiendo qué tan importante es que lo que transmitimos a través de un dispositivo no sea conocido por otros.
Nosotros aprendemos del mercado y el mercado aprende a protegerse en función de lo que vamos haciendo.
– ¿Hasta qué punto un software puede igualar el nivel de seguridad de un hardware diseñado desde cero como el SecurePhone?
– La protección total la tienes en el Secure Phone, donde tienes una combinación de hardware y software, toda su arquitectura. En el caso de las aplicaciones siempre te encuentras con la limitación de la posibilidad de ser vulnerado el dispositivo.
Pero también tienes que balancear lo expuesto que estás y cuáles son las probabilidades reales de ser vulnerado a nivel de dispositivo. Con una herramienta como esta te aseguras de que es muy difícil que te hagan inteligencia a través de las conexiones. Nunca va a ser el 100%, y así lo hacemos saber.
– Cuando un cliente se hace con Secure Shield ¿Le recomendáis algo a nivel de dispositivo (que tenga Android o iPhone) o respecto a que adopte determinadas configuraciones?
– No, no tenemos recomendaciones específicas. Nuestra solución funciona muy bien con Android o iOS, no hemos hallado problemas de compatibilidad.
En general siempre encuentras que el eslabón más débil es la persona. Puedes traer la mejor tecnología, pero si esa tecnología no se usa bien, o se guarda en un cajón y no se utiliza, no sirve de nada.
– ¿Cómo funciona SecureShield en términos generales que pueda entender todo el mundo?
– Yo lo explico como un pinball. Tú abres una conexión de datos, lo que sea: un correo, WhatsApp, Twitter… cualquier conexión desde el teléfono. Entras primero en un túnel seguro, con un nivel de encriptado determinado. Esa conexión pasa por varios servidores, rebota, y cuando llega al final vuelve a salir.
Luego rebota en cinco servidores nuevos. Cuando sale del último servidor y llega al destino, es imposible hacer un tracking de dónde salió originalmente, por la cantidad de combinaciones posibles.
Además, puedes parecer que estás en un lugar cuando haces una cosa, en otro cuando haces otra, etc. Eso es lo que hace la aplicación.
– Cuando habláis de ‘protección invisible’, ¿cómo se traduce eso en el uso diario?
– Es un poco lo que te estaba contando ahora. Más que invisible, lo que hace es multiplicarte en diferentes puntos. Hace que, por la cantidad de conexiones, sea imposible saber dónde estás realmente.
“El proceso de certificación con el CNI duró un año y medio y supuso una inversión muy importante”
– ¿Qué aspectos diferenciales tiene el SecurePhone y que resulten imprescindibles frente a amenazas como Pegasus?
– Para empezar, no trabaja con ninguno de los sistemas operativos del mercado. Tiene su propio sistema operativo, el Integrity-178B, del cual somos licenciatarios exclusivos para dispositivos móviles. Es un SO desarrollado por una compañía con décadas de experiencia.
Además, hemos pasado certificaciones del CCN, pruebas de penetración propias, y organismos de inteligencia en muchos países lo han evaluado.
Es un producto con muchos años de desarrollo, con niveles de seguridad muy altos y con certificaciones importantes.
“En Estados Unidos no puedes ir a ningún organismo a pedir que te validen un nivel de seguridad ni que incluyan tu tecnología en un catálogo público”
– ¿Tenéis puertas traseras o acceso a datos de los usuarios de alguna manera tanto para el teléfono como para la app?
– No. No tenemos ninguna posibilidad de acceder a lo que estás haciendo en el teléfono. No se guarda información ni existe nada parecido a un acceso remoto.
En Secure Shield el cifrado empieza desde el momento en que lo activas, y en el teléfono ya ocurre a nivel de chip. Con lo cual no hay posibilidad de acceso.
– Pero ¿Qué ocurre si un gobierno os pide información respecto a algún cliente?
– Cumplimos con las leyes de todos los países en los que operamos y con las órdenes judiciales. Eso es inevitable. Pero si alguien pidiera interceptar comunicaciones, es como en otros sistemas: no hay manera de ver qué está pasando en la comunicación. Es lo mismo aquí.
– En España habéis conseguido validaciones del CNI. ¿Qué implica realmente esto para un cliente privado o empresarial?
– Primero, es mucho trabajo. Hasta que no participas en estos procesos no te das cuenta realmente de lo que significan.
En nuestro caso, más allá del trabajo con el laboratorio, el contacto con el Centro Criptológico Nacional (CCN) es clave. Y ahí te das cuenta de que no estás pagando por un sello. Lo que haces es invertir en que un organismo tan importante como el CCN valide lo que tú dices respecto a tu tecnología.
En nuestro sector esto es fundamental, porque no hay muchos países donde haya algo así. En EE.UU, por ejemplo, esto no existe. Allí no puedes ir a ningún organismo a pedir que te validen un nivel de seguridad o que incluyan tu tecnología en un catálogo de tecnologías seguras. No hay un sistema equivalente abierto.
Lo único que existe es la autorización para proveer a gobiernos, y el resto de validaciones se hacen internamente, sin mucha visibilidad ni procesos públicos. Por eso para nosotros fue tan importante haber conseguido esta certificación, y también fue una de las razones por las que decidimos venir a España.
Somos el único dispositivo que integra un conjunto completo de soluciones seguras validadas de forma global. Para nosotros fue muy importante llegar hasta ahí, porque no hay muchos lugares donde este tipo de certificaciones sean públicas. Es un proceso complejo, y obtuvimos el nivel más alto de seguridad.
Si no recuerdo mal, en el caso de la certificación LINCE —en nuestro caso LINCE Plus Plus— hasta ese momento no existía una categoría alta dentro del esquema de certificación, solo media. Con el Plus Plus se crea esa categoría superior, y el primero en alcanzarla fue el teléfono de Sotera. Es único dentro de su taxonomía.
– ¿Podéis revelar algún cliente importante que tengáis en España?
– No, no podemos compartir esa información. Esa es la parte buena también de ser una compañía privada y no cotizada: no hacemos pública información ni de clientes ni de tamaño de mercado.
– ¿Podéis decir al menos cuántas unidades del dispositivo se han vendido en España?
– Preferimos no dar cifras. Es un producto de nicho. No es un producto que aspire a vender millones de unidades, ni es nuestro objetivo.
Nuestro negocio está en un segmento muy específico. No buscamos sustituir el teléfono del usuario ni competir con su dispositivo habitual. No es esa la idea.
– Teniendo en cuenta todas las tensiones comerciales y geopolíticas que están existiendo últimamente ¿Qué pasaría si EE.UU decidiera restringir la venta a ciertos países, como España? ¿Os preocupa ese escenario?
– No hemos percibido ese riesgo. Tenemos llamadas de seguimiento constantes y las solicitudes se renuevan de forma automática. Nunca hemos tenido ningún problema.
Muchas veces hay más ruido que hechos reales. Hasta ahora no se ha materializado ninguna sanción ni restricción por parte de EE.UU.
En general, los países donde no se puede comerciar son los que ya están identificados en las listas habituales. No hay nada extraño en eso. Además, España y EE.UU son aliados, forman parte de la OTAN. Más allá de la retórica, en la práctica hay una relación estable.
Si miras, por ejemplo, las listas de tecnologías de doble uso, para que se prohibiera algo como nuestro producto aquí habría que bloquear categorías completas, lo que afectaría a muchísimas compañías. En ese sentido, nos parece más ruido que otra cosa.
“Para que se prohibiera nuestro producto en España, Estados Unidos tendría que bloquear una categoría completa de tecnología”
– En los últimos años se habla mucho de soberanía digital. ¿Crees que Europa está preparada para competir en seguridad móvil frente a EE.UU o Israel?
– No soy especialista técnico, pero plantearse objetivos estratégicos está bien; luego hay que recorrer el camino.
Desarrollar este tipo de tecnología lleva muchísimo tiempo. Nuestro dispositivo, por ejemplo, ha requerido entre siete y ocho años de desarrollo, partiendo además de una base tecnológica que ya tiene décadas.
Sería positivo que hubiera más compañías en este ámbito, porque cuanto más se hable de privacidad y seguridad, mejor. Pero no conozco muchas empresas como la nuestra. Sí hay compañías que hacen cosas relacionadas o sistemas operativos modificados, pero no exactamente lo mismo.
Y no es fácil ver a una empresa empezar desde cero en un negocio tan de nicho. Cuesta. En Europa, además, la innovación muchas veces está muy vinculada a inversión pública previa. Se desarrolla durante años antes de llegar al mercado. Eso influye en la competitividad.
En otros modelos, como el estadounidense, hay más tolerancia al riesgo, se empieza antes, se ajusta después y se escala si funciona. Eso acelera los procesos.
– A nivel de componentes, ¿el Secure Phone utiliza piezas íntegramente estadounidenses o también incluye elementos producidos en otros países?
– El dispositivo se fabrica bajo los términos legales correspondientes en EE.UU. Pero, como ocurre en casi toda la industria tecnológica, los componentes (plásticos, pantallas, chipsets) son globales.
Puedes tener un componente fabricado en Vietnam y transformarlo completamente en otro producto en EE.UU. Eso es habitual.
Lo importante no es tanto el origen de cada pieza, sino el trabajo de ingeniería, integración y desarrollo que se realiza sobre el dispositivo. Ahí es donde está el valor real. Para nosotros es un dispositivo estadounidense en ese sentido.
– ¿Podría cambiar esa cadena de suministro en el futuro y hacer que la producción de dichos componentes estuviera más centrada en EE.UU?
– No soy especialista en fabricación de chips, pero entiendo que es un proceso extremadamente complejo. Fabricarlos fuera de los lugares donde ya se producen requiere décadas de desarrollo.
En cualquier caso, es una cuestión de proveedores. Si existen más proveedores, siempre hay más opciones, pero depende de la industria y de su madurez.
– Sacando la bola de cristal, ¿Cuál creéis que es el próximo gran riesgo en cuando a seguridad móvil que ya existe pero no estamos viendo venir?
– No sabría señalar un nuevo riesgo concreto. No creo que nos enfrentemos a algo completamente nuevo.
El mayor riesgo, desde nuestro punto de vista, es la falta de adopción de estas tecnologías. No veo un escenario radicalmente distinto al actual.
Ya existen amenazas como Pegasus, que son muy potentes y peligrosas. Para enfrentarlas necesitas tecnología en la que se ha invertido muchísimo, como la nuestra. Pero la base sigue siendo la misma: la concienciación del usuario.
El mayor riesgo es que la gente no tome conciencia de la importancia de proteger sus comunicaciones.
– Sí, está claro que muchas brechas de seguridad vienen por errores humanos o ingeniería social. En este sentido ¿Tenéis políticas internas de concienciación para empleados?
– Sí, absolutamente. Contamos con todos los protocolos y manuales de procedimiento necesarios para una compañía de este tipo.
Pero, más allá de eso, hay una realidad: no hay acceso posible a las comunicaciones entre usuarios. Eso forma parte de la arquitectura del sistema.
Hemos tenido incluso intentos de intrusión en fase de pruebas por parte de potenciales clientes, para evaluar el sistema. Y el diseño está pensado para resistir ese tipo de escenarios.
Al final, como decía antes, el problema siempre es el mismo: el eslabón más débil es la persona. Puedes tener la mejor tecnología del mundo, pero si alguien utiliza otros canales inseguros, el sistema pierde sentido.
– Comprendo, pero también me refiero a que haya una brecha de seguridad que afecte a la propia compañía. Entiendo que ahí el mayor peligro sería que un actor de amenazas se hiciera con documentos internos vuestros con planos o información técnica de cómo están hechos los teléfonos o algo así. Ha habido casos simulares en empresas que son proveedores del departamento de Defensa.
– Claro, era un poco lo que te comentaba. No se busca solo controlar a la tecnología, lo importante es controlar a la persona. Este tipo de amenazas pasan todo el tiempo, pero tenemos nuestros protocolos y nuestros manuales para una compañía del tipo que somos.
Además, si alguien quisiera buscarle un backdoor a un software de nuestras características serían billones de dólares los que tendría que invertir. Es mucho más fácil, seguir ‘agarrando’ a la gente que usa iPhone y Android, ¿no?
– ¿Por cierto, ofrecéis formación en seguridad móvil para clientes que os lo pidan?
– No nos lo han pedido, pero lo haríamos felices de la vida, porque, además, duraría un segundo: «Usa nuestro teléfono». Si tienes que decir algo dilo a través de nuestro teléfono. Pero no, no nos han solicitado algo así todavía.
Para que te hagas una idea nuestro terminal no está hecho para que lo estés usando todo el rato. Está diseñado para ese tipo de situaciones en las que tienes que escribir. Puedes tenerlo olvidado y guardado y que cuando le llegue un mensaje te avise a tu otro móvil de uso personal.
“Encontrar una puerta trasera a una tecnología como la nuestra requeriría una inversión de billones de dólares”
– ¿Y qué otras características tiene el SecurePhone?
Por diseño no llama la atención. Es exactamente igual a cualquier otro smartphone. Las llamadas son llamadas de verdad. También tienes mensajes y contactos y en realidad no necesitas más.
La función mensajería es exactamente igual que lo que estamos acostumbrados en Europa, Latinoamérica, que es que puedes armar tus grupos, etc. Funciona exactamente igual que un WhatsApp, idéntico.
Lo único es que por ahora no tiene es la cámara habilitada. Es real pero todavía no está operativa. Eso lo vamos a hacer en la próxima versión del dispositivo.
Pero lo puedo usar cualquiera, en cualquier lugar del mundo, con cualquier chip de cualquier compañía. No requiere ninguna SIM especial para que sea seguro. La seguridad está dada por el chip. Y es fácil de usar, solo lo enciendes y ya lo puedes utilizar.
Por el puerto de carga solo entra electricidad. No entran datos. Tampoco cuenta con las puertas que amplían la superficie de ataque. Es decir, no tiene WiFi ni Bluetooth.
– Por último, ¿Habéis organizado o estás barajando organizar algún programa de ‘bug bounties’ para que la comunidad de hackers le encuentre al teléfono posibles vulnerabilidades y dar recompensas económicas a cambio?
– La verdad es que no. Ten en cuenta que el proceso con el CCN para que lo certificaran duró nada menos que un año y medio. Fue una inversión muy grande. Después de eso no necesitamos que lo mire ningún hacker. Tras todos los clientes que lo han usado en EE.UU y en Latinoamérica estamos muy tranquilos con sus capacidades.
– Y por último, ¿hay alguna celebridad a la que se haya visto usando vuestro teléfono y que sí se pueda decir?
– Esto es algo que se ha publicado y, por tanto, creo que lo podemos contar. En su momento se ha cogido al propio presidente de EE.UU, Donald Trump, utilizando nuestro SecurePhone.
Alberto Payo
Seguir a @albertopayo
Últimas entradas de Alberto Payo (ver todo)
Quizás también te interese
La seguridad móvil, en jaque por la IA generativa y la falta de formación
Infografía: Las mayores amenazas para la seguridad móvil y cómo prevenirlas
Hora de tomarse en serio la seguridad de los móviles
Blackphone lanzará la primera app store centrada en la privacidad
AppLock: «Una vez que has perdido tu privacidad, te das cuenta de que es algo extremadamente valioso»
