Según ha informado Snowden, empresas de seguridad como Kaspersky fueron el blanco de organizaciones como la NSA americana o la GCHQ británica. Todo a través de mecanismos de ingeniería inversa, lo que permitía entrar en los detalles del funcionamiento interno del software de seguridad para luego analizar y explotar las vulnerabilidades del programa. Entre los documentos se encuentran solicitudes de renovación del sistema de espionaje por parte de la agencia GCHQ, donde se detallan las motivaciones detrás de la infiltración en los productos de estas compañías de seguridad:
Los productos de seguridad tales como el software antivirus de Kaspersky siguen planteando un desafío para la agencia. La ingeniería inversa es esencial con el fin de explotar este tipo de software y prevenir la detección de nuestras actividades.
Otro extracto nos habla de una presentación filtrada del 2010 bajo el nombre de Project CAMBERDADA, una propuesta que sugería que las agencias gubernamentales debían realizar un seguimiento de los mensajes de correo electrónico de los empleados de las empresas de seguridad con el fin de identificar nuevas “amenazas”. Según ha explicado Kaspersky en The Intercept:
Es extremadamente preocupante que las organizaciones gubernamentales se dirijan a nosotros en vez de concentrar los recursos en contra de adversarios legítimos, y que trabajen para subvertir el software de seguridad que está diseñado para mantenernos a salvo. Sin embargo, esto no es una sorpresa. Hemos trabajado duro para proteger a nuestros usuarios finales de todo tipo de adversarios. Esto incluye tanto a los ciberdelincuentes comunes como a las operaciones de ciberespionaje patrocinadas por los gobiernos.
Nada nuevo bajo el sol. La larga lista de acciones de organismos como la NSA que Snowden ha ido filtrando son una clara muestra de la libertad con la que han imperado en los últimos años. Prácticas abusivas de espionaje que en este caso, si cabe, son incluso más graves, adentrándose en el interior de los propios sistemas de seguridad diseñados para proteger a los usuarios finales.
