|
El 40% de empresas monitorizan de algún modo a sus
trabajadores, en Europa y Estados Unidos
La monitorización es algo cada vez más frecuente en Internet.
Empresas y proveedores analizan el correo de sus usuarios
para prevenir virus y "spam". Algunos programas instalan
código adicional que espía con propósitos comerciales. Los
administradores de sistemas monitorizan el tráfico en sus
redes para comprobar que todo funciona. Los padres escudriñan
los pasos cibernéticos de sus hijos. Y las empresas usan cada
vez más estos programas para saber a qué se dedican sus
trabajadores.
Hace diez años, la monitorización en las empresas era
exclusiva de los administradores informáticos, que usaban
herramientas del sistema operativo Unix para vigilar el
tráfico a efectos técnicos. Mientras, en el mundo Windows,
nacían los primeros filtros parentales, como CyberPatrol, que
bloqueaban el acceso a los sitios que los niños no debían
visitar. Hoy, los filtros han ampliado el mercado a
bibliotecas y, especialmente, empresas, diversificando las
posibilidades de sus productos, que ya no sólo filtran sino
que espían abiertamente la vida internáutica de los
empleados.
Según un reciente estudio de Pricewaterhouse y la Universidad
de Navarra, una de cada diez empresas españolas ha sancionado
al menos a un empleado por utilizar Internet de forma
"indebida" y el 3% ha despedido a alguien. En Europa, según
Datamonitor, dos de cada tres empresas filtran el uso de
Internet de sus trabajadores. El 40%, sistemáticamente. En
Estados Unidos, la American Management Association (AMA)
asegura también que el 40% de empresas espían el correo de
los trabajadores y una de cada cinco ha despedido a alguno
por abusar de los recursos informáticos. Desde 2001, según la
AMA, el control empresarial se ha duplicado.
La pionera empresa WinWhatWhere comercializa "Investigator",
un programa que se instala en el ordenador del empleado y
captura todos los movimientos del teclado, mostrando a
distancia lo que hay en la pantalla, la navegación web,
correo, mensajería instantánea y chat, con una función
especial para no ser descubierto. Según cuenta la empresa, el
FBI utilizó "Investigator", el año pasado, en la
investigación y detención de dos rusos que habían robado
miles de números de tarjetas en eBay. Los federales
instalaron subrepticia y remotamente este programa en el
ordenador de uno de los rusos.
Pero las "estrellas del control" del momento son Spector y
eBlaster, ambos de la misma compañía, SpectorSoft. El primero
permite filtrar y grabar el contenido del correo, chat,
mensajería instantánea, navegación web, teclado y pantalla.
Cuando hay algún movimiento no permitido en el ordenador, el
programa avisa por correo electrónico al espía. Con los datos
recogidos, como sitios web más frecuentados o tiempo de
visita, elabora todo tipo de estadísticas.
EBlaster es más de lo mismo, con dos funciones añadidas:
envía copia de todos los mensajes enviados por el empleado y
no es necesario estar en el ordenador de la víctima para
instalarlo, puede hacerse remotamente: se le envía un
mensaje, con el programa adjunto, y se le convence para que
lo ejecute. La aparición de este "troyano" comercial ha
alertado a la comunidad de seguridad porque, aunque ya
existen programas de este tipo para Windows, como el gratuito
Back Orifice, su popularización comercial hace temer un
aumento de su uso entre delincuentes, además del
aprovechamiento del agujero que deja abierto, por parte de
intrusos ajenos a la empresa.
El-Espía no tiene este problema. Es el único programa
comercial de monitorización para Windows hecho desde España,
según su autor, Josep Llobet, un leridano de 45 años: "El-
Espía permite la monitorización remota en una red de área
local, pero no desde Internet, para evitar entradas de
terceros". Llobet creó El-Espía hace tres años y hoy se
comercializa en Estados Unidos con el nombre de SALUS y, en
Holanda y Portugal, como "BigBrother is Watching you!".
Cuesta 42 euros y lo compran padres y empresas: "Lo quieren
para casos puntuales. Lo que más se consulta es la actividad
general y el acceso a páginas web".
El-Espía captura golpes de tecla, aplicaciones usadas, inicio
y fin de conexiones a Internet, páginas visitadas, claves...
Según Llobet, "facilita el acceso a determinada información a
usuarios muy poco especializados que, de otra forma, un
informático experto podría rastrear". La mayoría de programas
de este tipo aúnan dos formas de espionaje: el "keylogging" y
la administración remota. Los "keyloggers" capturan lo que
sale por la pantalla, lo que se envía a la impresora, lo que
se teclea... Hay muchos, como 2Spy!, PC Activity Monitor Net,
STARR Pro, ProBot SE o Spy Agent. Los administradores remotos
toman el control total del ordenador, como Radmin o el
programa libre multiplataforma, Virtual Network Computing
(VNC).
Hay también programas espía que no se instalan en el
ordenador del empleado sino en los servidores de la empresa.
Es el caso de Websense, líder en este campo, que filtra y
monitoriza todo el tráfico web. Entre sus 18.500 clientes, el
Banco de España, Banco Santander, la revista "Newsweek", las
sopas Campbell, Coca-Cola, Toys R Us o General Electric.
Stealth Email Redirector es otro ejemplo: reenvía a la
dirección que se le indique todos los mensajes que pasan a
través del servidor de correo. WebMail hace lo mismo con el
correo por web. Win Sniffer captura las contraseñas.
A pesar del crecimiento de estos programas en el entorno
Windows, los administradores de sistemas y usuarios de
'software' libre no se muestran impresionados: "No hace falta
tanta parafernalia para saber qué hace un empleado. A nivel
de servidor, con los programas libres se puede hacer de todo:
ver el correo, las webs, cuando entra y sale del sistema...
No hay que hacer nada especial, sólo configurar alguna opción
del servidor. A nivel del equipo de trabajo, si se ha
instalado administración remota segura (SSH), el
administrador puede entrar en el ordenador y ver qué se está
ejecutando", afirma Celso González.
"Están también las herramientas libres ethereal y etercap.
Éste último acepta 'plugins' y puede rastrear 'passwords',
interceptar 'mails', conversaciones de chat e incluso
interceptarlas al vuelo y modificarlas o añadir paquetes.
Además de romper comunicaciones cifradas. En administración
remota, lo que quieras en Linux, es ideal para esto", añade
Aritz Beraza, quien recomienda Snort y Tripwire para combatir
los programas espía.
Estos "anti-espías" proliferan también en el mundo Windows,
con nombres como Spy Sweeper, PestPatrol, SpyCop, Ad-aware,
The Cleaner, SpywareBlaster o Anti-keylogger. Explica Flynn
Kobe: "Detectan a muchos bichitos, pero no a todos. Si un
jefe espía a un empleado, no hay ninguna defensa, a no ser
que la persona espiada sea una experta. Los anonimizadores de
la navegación no sirven para nada, si te espían a nivel de
oficina, y el único 'webmail' inmune es Hushmail, que
encripta todas las comunicaciones". Añade Celso González:
"Sólo el cifrado es capaz de evitar que vean lo que estás
haciendo, eso sí, seguirán sabiendo que haces algo, aunque no
sepan el qué".
Juan Luis Podadera, autor del detector de espías SpyHunter,
explica que "la monitorización en el trabajo es algo duro de
combatir, ya que el ordenador es del empresario y no del
usuario, que tiene limitados los programas que puede ejecutar
o modificar. Peor si la monitorización se hace desde un
servidor "proxy". Salvo cifrar la comunicación, no hay muchas
alternativas. Además, los antivirus detectan una cantidad
limitada de espías y sólo los que se encuentran gratuitamente
por Internet. Nunca he visto que detecten un programa
comercial".
Aunque la mayoría de programas espía se delatan por la huella
que dejan en el registro de Windows, para arrancar
automáticamente, Podadera niega que siempre sea así: "Los hay
que no arrancan desde el registro, como Invisible Keylogger
Stealth. Otros sólo arrancan cuando lo hace el navegador
Internet Explorer, como los sistemas publicitarios que crean
un perfil del usuario". De todas formas, dice el experto en
virus Wintermute, "no hay nada indetectable al 100%, siempre
va a existir un autómata capaz de descubrirlo. En programas
detectores de intrusiones, existen técnicas para descubrir
procesos que no hayan sido usados antes, uso de puertos y
conexiones no habituales, uso excesivo de la CPU.. de modo
que podrías ver un funcionamiento raro por estadística".
Instalar un "keylogger" y un administrador remoto en el
ordenador de un empleado, sin dejar rastros, son seis horas
de trabajo. Cuatro o cinco horas cada quince días, para
revisar los datos monitorizados.
* ¿Es legal?
En pocos países existen leyes especiales para la
monitorización empresarial. Mientras, aumentan los despidos
por uso indebido de Internet y las denuncias de los empleados
que han visto invadida su intimidad. En España, ha habido
sentencias para todos los gustos, pero la tendencia es a
seguir el Código Penal, que asegura el secreto de las
comunicaciones, y las directrices de la Unión Europea, que
consideran legal el espionaje si no hay alternativa, se tiene
un fin legítimo, el empleado sabe que se le espía, los datos
controlados no son excesivos y no se monitoriza de forma
generalizada a toda la plantilla.
Para el abogado Carlos Sánchez Almeida, "la clave del debate
está en el contenido de los mensajes. Se puede monitorizar el
uso de Internet, la navegación, el volumen de correo y las
cabeceras. Pero el contenido es privado y cogerlo sin orden
judicial es un delito, como pinchar un teléfono". Otro punto
importante es que el empleado sepa que espiarle entra en las
normas de la empresa. Según PriceWaterHouse, sólo el 38,5% de
empresas españolas tienen un protocolo sobre este tema. En
Estados Unidos, la creación de políticas empresariales sobre
monitorización está estancada en el 34% desde 2001, según la
AMA.
Gran Bretaña, pionera en el espionaje de empleados, ha sido
también el primer país europeo que ha salido en defensa de la
privacidad en horas de trabajo. El pasado junio, el
Comisionado de la Información publicaba un código para
empresas, donde se les prohibe espiar a un trabajador sin su
consentimiento, excepto en casos criminales o prácticas
inadecuadas. A finales de junio, el Ministerio de Trabajo
finlandés publicó un borrador sobre la protección de la
privacidad en el trabajo, muy criticado porque, aunque regula
la videovigilancia, permite que la empresa mire el correo de
empleados que estén enfermos o de vacaciones. |
Virtualpipul.com