Híspalis es un programa informático que se encarga de rastrear las redes P2P en busca de contenido pedófilo con el objeto de poner a sus poseedores en manos de la justicia. Fue desarrollado en 2005 por Albert Gabàs, actual miembro del prestigioso Chaos Computer Club y antiguo hacker perteneciente al ya extinto Hispahack! Su empresa, Astabis Data Management, distribuye licencias de uso de manera gratuita a cuerpos y fuerzas de seguridad exclusivamente.  

Híspalis funciona basándose en el identificador hash de los archivos compartidos en las redes de pares más utilizadas (eDonkey y FastTrack). Hash es un algoritmo matemático que devuelve un código identificador único para cada archivo informático, de tal manera que, aunque cambie el nombre del fichero, el código sigue siendo el mismo, por lo que las artimañas de los pederastas para esconder su material a la hora de compartirlo caen en saco roto.  

La Guardia Civil española, en el momento de echar a andar a su Híspalis, disponía de 50.000 imágenes y vídeos de contenido pedófilo debidamente organizados y catalogados por grupos, que eran el resultado de años de investigación e incautación de material de este tipo a los infractores. Se tuvo en cuenta, de forma pionera, una serie de parámetros capaces de clasificar e identificar el amplio espectro de imágenes pedófilas que se mueven en la Red. Así, por ejemplo, algunas de las categorías de clasificación que se pueden encontrar son «niños menores y mayores de siete años con sexo explícito», «imágenes pedófilas por raza», «imágenes fotográficas y vídeo» o «imágenes por lugar de aparición».  

Una vez ordenado el material, el mayor escollo que tuvo que salvar la Guardia Civil fue el de identificar uno por uno todos lo ficheros mediante el indicador alfanumérico que proporcional la función hash; algo así como etiquetar cada contenido por su «ADN digital». Superado este arduo trabajo, sólo quedaba poner a trabajar a Híspalis para que, automáticamente, se conectara a los diversos servidores P2P y comenzara a filtrar imágenes y vídeos en función del identificador hash de cada uno, fichando los contenidos ilegales y extrayendo la dirección IP de la máquina que los comparte para, posteriormente, acudir a los proveedores de acceso para identificar al pedófilo y proceder a su captura.  

Lo que aparentemente es una muy buena herramienta para luchar contra el ciberdelito más execrable, parece que, con el transcurrir de los años y su utilización en diversas operaciones policiales, no está siendo vista con muy buenos ojos por la comunidad internauta. Detecciones erróneas, vulneración de derechos y abuso de poder son las alegaciones más comunes que se levantan contra Híspalis y su uso, según los afectados, un tanto al margen de la ley. Todo ello, unido a la reciente aparición de Nautilus, una versión de Híspalis desarrollada para la red Ares Galaxy, ha hecho saltar todas alarmas. ¿Qué es lo que está motivando esta postura?  

Parecen existir diversos errores de planteamiento en el momento de ejecutar un rastreo sobre redes P2P. Esta serie de errores la podemos resumir en la siguiente lista:  

Detrás de una IP pública pueden existir uno o varios ordenadores, esto es, uno o varios usuarios.

La IP pública identifica al titular de una conexión, no al infractor.

La aparición de una IP pública en un metadato de pornografía infantil no determina la efectiva difusión ni el dolo.

Una fuente P2P sin difusión efectiva es un metadato, un dato que apunta hacia el dato original, que puede existir o no. Por tanto, no determina su existencia.

Las redes P2P están llenas de metadatos falsos que generan una extensa marea negra de pornografía infantil.

Con los actuales procedimientos de investigación, es imposible distinguir un dato libidinoso, imprudente o falso.

El artículo 189.1.b pena el dolo, no la imprudencia.

El artículo 189.1.b del Código Penal español considera un delito de corrupción de menores la producción, venta, distribución, exhibición o facilitación de la producción, facilitación de la venta, facilitación de la distribución o facilitación de la exhibición de material pornográfico en cuya elaboración hayan sido utilizados menores de edad. Lo que también es cierto es que este artículo requiere de dos elementos para consolidar su aplicación: la efectiva difusión y el ánimo libidinoso, dolo o intencionalidad. Esto significa que, para que exista delito, se debe demostrar fehacientemente que el contenido ha sido difundido o distribuido y, además, que la intención ha sido deliberada y lujuriosa. Dos asuntos difíciles de matizar y que pueden generar errores de cálculo.  

El problema resulta de partir de la falsa premisa de que una dirección IP se corresponde con un usuario único. Para nada una IP puede ser considerada el DNI digital de un usuario, pues existen redes corporativas y empresariales en las que decenas de personas comparten una IP pública, cibercafés anónimos, redes Wi-Fi públicas o sin proteger debidamente, foneras, servidores proxy, virus troyanos, etcétera. Además, y como segunda gran pega, la información que ofrece un metadato acerca de un usuario en una red de pares no es para nada indicativo de difusión dolosa y libidinosa, ya que la multitud de archivos pedófilos escondidos bajo una apariencia normal puede hacer que un internauta poco experimentado almacene (y, por tanto, comparta) material ilegal sin prácticamente conocimiento de ello.  

Lo cierto es que se ha comprobado que un alto número de descargas de pornografía infantil son accidentales. En mayo de 2009, la noticia de una serie de detenciones por un delito de pornografía infantil ponía en evidencia que «muchas de las 600 personas que se habían bajado carpetas lo habían hecho de manera accidental». Híspalis tiene un rango de rastreo de 5 archivos pedófilos encontrados a un usuario único, esto es, hasta ese número se consideran tropiezos digitales y, a partir de él, intención directa. Muchos internautas ven esto como una suerte de criba sin sentido, ya que no representa en absoluto una realidad.  

El miedo de los navegantes proviene de los numerosos falsos positivos que Hípalis parece arrojar en sus rastreos. Una simple búsqueda nos puede facilitar no pocos casos de personas que han sido imputadas de delito y, tras una larga penuria personal, absueltas por falta absoluta de pruebas (o no). El caso más conocido, por la repercusión mediática que el acusado le ha proporcionado a través de su blog, es el de Indignado7777, un joven acusado de distribución de pornografía infantil en el año 2006 y que, finalmente, ha sido declarado inocente hace un par de meses. Cuatro años de sufrimiento, juicios y registros domiciliarios merecen como mínimo una disculpa, sino una recompensa mayor.  

En el foro del sitio web de la Asociación de Internautas se abrió un hilo en noviembre de 2006 donde multitud de usuarios cuentan sus propios casos. En el momento de escribir esta entrada, dicho hilo cuenta con 446 páginas de comentarios, experiencias, enlaces a noticias, opiniones y multitud de información bastante relevante sobre este tema. ¿Estas acciones policiales erróneas son tan extendidas como cuentan o se exagera con respecto a ellas?  

Otra de las quejas que enarbolan los detractores de Híspalis es la falta de rigurosidad judicial con la que se producen los escaneos. Según la comunidad, el simple rastreo de direcciones IP sin una orden proveniente de un juez es anticonstitucional, pues vulnera el derecho al secreto de las comunicaciones. Aunque, para hacer honor a la verdad, este tema fue ya dirimido por el Tribunal Supremo en el año 2009 al dictar una sentencia en la que avalaba los rastreos que realizan las Fuerzas y Cuerpos de Seguridad del Estado en Internet para perseguir conductas delictivas, como el intercambio de ficheros con pornografía infantil. Algo que a muchos les sigue resultando condenable desde el punto de vista constitucional o una oscura conspiración para hacer desaparecer las redes de pares que tanto molestan al gobierno y a algunas entidades privadas.  

En esa sentencia, en concreto, del Tribunal Supremo anulaba la absolución de una mujer acusada de facilitación a la distribución de pornografía infantil, a la que la Audiencia Provincial de Tarragona absolvía al entender que la Guardia Civil había lesionado su derecho al secreto de las comunicaciones. La acusada era una madre usuaria del sistema de intercambio de archivos eMule, del cual se servía para descargar ficheros fotográficos, música o películas cuya selección efectuaba introduciendo palabras clave como bebés, mamás, papás, niñas, girls o boys, entre otras.  

En sus búsquedas, la mujer dio, lamentablemente, en más de una ocasión con contenidos de material pornográfico infantil que, posteriormente, borraba de su ordenador, lo que permitió deducir al juez que la descarga era involuntaria. Sin embargo, gracias al fallo anulatorio del Tribunal Supremo, fue finalmente condenada a 4 años de cárcel. Nunca se encontró material pornográfico alguno en su ordenador, sino simples metadatos en servidores P2P que la apuntaban como culpable de un delito que nunca cometió.  

Parece que Híspalis no funciona como debiera. Muy criticada fue la intervención que Juan Salom, comandante de la Guardia Civil y Jefe del Grupo de Delitos Telemáticos, realizó durante una ponencia en la Universidad Politécnica de Madrid en el año 2008. En ella reconocía que las herramientas utilizadas por su grupo para la detección de delicuentes informáticos no se encuentran homologadas, en la misma línea que podría estarlo un radar de control de velocidad o un alcoholímetro.  

¿Por qué provoca tanto rechazo Híspalis? Mi opinión personal es que es una herramienta con un fondo muy bueno pero mal utilizada. Es imposible dejar en manos de una máquina la adjudicación de la condición de pedófilo a una persona, condena que lo marcará socialmente de por vida, aunque su caso sea sobreseído. Y si las personas que están detrás de la máquina no hacen otra cosa que fiarse de ella, el resultado es un despropósito enorme. Teniendo en cuenta la cantidad de internautas novatos que pueblan la Red y los centenares de troyanos que se les cuelan a diario, una investigación más exhaustiva debería ser de obligatorio cumplimiento antes de entrar en una casa y confiscar los equipos informáticos.  

También es verdad que el que se mueve en terrenos pedregosos tiene más posibilidades de tropezar con un guijarro. Yo mismo tuve la desagradable experiencia (y esto ya lo he contado alguna vez) de descargar en una ocasión un vídeo de pornografía infantil pretendiendo obtener un manual de SQL Server. El asunto fue puesto inmediatamente en conocimiento de las autoridades competentes y, a día de hoy, nadie ha venido todavía a detenerme. Y es que la racionalidad de los Cuerpos y Fuerzas de Seguridad del Estado se supone muy por encima de la ojeriza por detener a diestro y siniestro a todo aquel que cometa un error.  

Nadie duda de la policía y de su buena intención en estos temas tan farragosos, al menos yo no lo hago. Pero pienso que debería regularse más y mejor esta materia, eliminando vacíos legales y desarrollando procedimientos cada vez más rigurosos para conseguir meter entre rejas al cien por cien de los pederastas, evitando acusar de pedófilo a quien no lo es.  

Y por cierto, siendo honesto, he de apuntar que el Grupo de Delitos Telemáticos de la Guardia Civil y la Brigada de investigación Tecnológica (BIT) de la Policía Nacional están considerados como cuerpos de élite en su materia a nivel mundial. Ante la duda, siempre hay que denunciar.

18 comentarios a “El software Híspalis de la Guardia Civil cada vez genera más controversia”