Anonimato para personas denunciantes

Lo más peligroso en una denuncia de irregularidades es pensar que "si no das tu nombre, eres anónimo".

Documentos internos, derechos de acceso, alcance de distribución, información de autor, historial de edición, términos internos, hora de publicación y ruta de contacto. Todo eso puede servir para reducir el grupo de posibles denunciantes.

En una denuncia de irregularidades, la otra parte no siempre es una persona lectora común.

Puede haber personas con posición para ver logs internos de la organización, sistemas de gestión documental, historial de correo, registros de entrada y salida, administración de dispositivos y derechos de acceso. Hay que pensar no solo en la información pública, sino también en la comparación con registros internos de la organización.

Este artículo organiza el alcance que una persona denunciante debe revisar al pensar en anonimato.

En situaciones que requieren juicio legal o de seguridad, no decidas qué hacer basándote solo en este artículo. Es importante usar puntos de consulta adecuados a la situación, como abogados, ventanillas de asesoría laboral, medios de comunicación de confianza u organizaciones de apoyo.

En una denuncia de irregularidades, la otra parte es fuerte

En una publicación anónima común, la otra parte suele buscar información pública o pistas en la Web.

En una denuncia de irregularidades, además de eso, se usa información interna de la organización.

Quién pudo acceder a ese documento. Quién estuvo en esa reunión. Quién está en el departamento que usa esa expresión. Quién operaba un dispositivo a esa hora. Aunque esta información no sea visible para personas externas, dentro de la organización puede llegar a comprobarse.

En el anonimato de una denuncia de irregularidades, es importante no subestimar la capacidad de la otra parte.

"Desde fuera no se sabe" no significa que tampoco pueda saberse desde dentro de la organización.

No entregar el original tal cual

Al manejar documentos internos, enviar el original tal cual supone un riesgo importante.

Los archivos Office, PDF, imágenes y capturas de pantalla conservan información distinta del texto principal. Por ejemplo, nombre del creador, historial de edición, comentarios, ruta del archivo, nombre de plantilla, fecha de creación, información de impresión, identificadores internos, marcas de agua y números de distribución.

Antes de publicar o entregar, separa el original de la copia de trabajo.

Puede ser necesario conservar el original como prueba. En cambio, en lo que se entrega al exterior, revisa metadatos, expresiones específicas, identificadores, nombre de archivo y elementos visibles dentro de las imágenes.

Sin embargo, cuando el valor probatorio es un problema, modificar sin cuidado puede causar otro problema.

En procedimientos legales, conflictos laborales, causas penales o denuncias de interés público importantes, consulta con una persona experta qué modificar y qué conservar como original.

Elegir un canal de recepción seguro

En una denuncia de irregularidades, la persona destinataria y la ruta de envío son muy importantes.

Si envías directamente a una cuenta personal de redes sociales, correo común, uso compartido en la nube o foro anónimo, quedan logs de comunicación e información de cuenta. Aunque la otra parte actúe de buena fe, si su operación es débil, la información puede filtrarse.

Algunos medios de comunicación y ONG preparan mecanismos para recibir información anónima.

SecureDrop es un sistema de código abierto para que medios de comunicación y ONG reciban información anónima. Está diseñado bajo la premisa de acceso con Tor, reducción de metadatos y envíos cifrados. Es importante seguir las instrucciones desde la página oficial de la organización que lo tiene implementado.

URL : https://securedrop.org/

GlobaLeaks es software libre y de código abierto para construir plataformas de denuncia de irregularidades. Medios de comunicación, organizaciones, instituciones públicas y empresas pueden usarlo como mecanismo de recepción de denuncias.

URL : https://globaleaks.org/

Tor Browser se usa para dificultar que el destino vea directamente la dirección IP de la persona usuaria. En sistemas de envío anónimo como SecureDrop, el uso de Tor puede ser una premisa.

URL : https://www.torproject.org/

Se presentan aquí porque son canales de recepción que se usan realmente en denuncias de irregularidades.

Sin embargo, usar herramientas no completa el anonimato. Acceder desde un dispositivo del trabajo, investigar con una cuenta de nombre real, usar el Wi-Fi de la empresa, enviar el archivo original tal cual o comportarse de forma extraña justo después del envío. Errores así debilitan el efecto de las herramientas.

No confiar demasiado en dispositivos y redes del trabajo

Lo que más conviene evitar en una denuncia de irregularidades es usar sin darse cuenta dispositivos o redes administrados por la organización.

En PC de empresa o escuela, smartphones de trabajo, Wi-Fi interno, VPN, dispositivos administrados por MDM, cuentas de correo y almacenamiento en la nube, quedan logs e información de administración.

Un entorno administrado por la organización no siempre está de tu lado.

Si piensas en anonimato, separa dispositivo, ruta de comunicación, cuenta y manejo de archivos. Hasta dónde debe separarse cada cosa depende de la magnitud del riesgo.

En casos de alto riesgo, debes seguir los procedimientos de especialistas o de un canal de recepción de confianza.

El contenido reduce el grupo de personas candidatas

Aunque elimines metadatos, el texto principal puede reducir el grupo de personas candidatas.

El contenido de una denuncia de irregularidades incluye información que solo un número limitado de personas conoce. Nombre de reunión, nombre de departamento, fecha y hora, número de caso, formulaciones del documento, expresiones de personas involucradas, circunstancias del lugar. Si todo eso aparece tal cual, empieza la inferencia de "quién podía acceder a esta información".

Sin embargo, si se difumina demasiado el contenido, baja la credibilidad de la denuncia.

Qué ocultar y qué conservar cambia según el objetivo. Hay que pensar al mismo tiempo en interés público, valor probatorio, destino de entrega o contacto periodístico, procedimientos legales y seguridad.

En este punto, vale la pena consultar con especialistas o medios de comunicación de confianza, en lugar de seguir dándole vueltas en solitario.

Resumen

En el anonimato de una persona denunciante, hay que considerar que la otra parte puede tener acceso a logs internos de la organización e información de gestión documental.

Aunque no des tu nombre, los metadatos del documento, la información de autor, el alcance de distribución, el historial de acceso, los términos internos, la hora de publicación y la ruta de comunicación reducen el grupo de personas candidatas.

No envíes el original tal cual; revisa la información distinta del texto principal del archivo. Sin embargo, cuando sea necesario preservar valor probatorio, no modifiques sin cuidado y consulta con especialistas.

Mecanismos como SecureDrop, GlobaLeaks y Tor Browser se usan en denuncias de irregularidades y envío anónimo de información. Sin embargo, las herramientas por sí solas no completan la seguridad. Gestiona al mismo tiempo la correlación entre dispositivo, red, cuenta, archivo y comportamiento.

La denuncia de irregularidades es de alto riesgo.

Si intervienen juicios legales o de seguridad, no actúes en solitario; consulta con medios de comunicación de confianza, abogados, organizaciones de apoyo o especialistas.

Herramientas relacionadas

Artículos relacionados