Five Eyes (FVEY) reúne a las agencias de inteligencia y ciberseguridad de cinco países anglófonos: Reino Unido, Canadá, Australia, Estados Unidos y Nueva Zelanda. Su cooperación se desarrolló alrededor de los acuerdos UKUSA y otros arreglos. Sin embargo, esta alianza oficial no permite deducir por sí sola qué datos conserva una VPN comercial.
Orígenes y extensión
La alianza se remonta a la posguerra de la Segunda Guerra Mundial; al inicio de la Guerra Fría, se desarrolló el sistema de vigilancia Echelon para vigilar las comunicaciones del bloque del Este, y luego se amplió a la vigilancia mundial. El año 2001 marcó un salto en la vigilancia de Internet en nombre de la lucha antiterrorista, una parte de la cual fue revelada por el denunciante Edward Snowden. La inteligencia intercambiada procede de múltiples fuentes: escuchas, videovigilancia, imágenes satelitales, metadatos.
Las expresiones 9 Eyes y 14 Eyes se usan habitualmente para describir asociaciones de inteligencia más amplias: no deben interpretarse como tres niveles de un mismo texto público que impone obligaciones idénticas. Existen además otras cooperaciones bilaterales y multilaterales fuera de esas listas. Para evaluar una VPN, estas etiquetas aportan contexto, no un veredicto.
Impacto en las VPN: primero, el proveedor de Internet
Sin una VPN, el proveedor de Internet puede observar las direcciones IP contactadas, las consultas DNS no protegidas, los horarios y el volumen del tráfico; el cifrado HTTPS ya limita el acceso al contenido exacto de las páginas. Con una VPN, ve principalmente una conexión cifrada hacia el servidor VPN, pero el proveedor VPN pasa a ser otro intermediario técnico. Puede haber rastros si ese servicio conserva registros. Por eso, la cuestión central no es solo la alianza política, sino qué datos guarda realmente cada actor.
Impacto de la propia alianza FVEY
El impacto directo no puede cuantificarse de forma general. La alianza organiza intercambio de inteligencia, mientras que las facultades de obtención, los procedimientos judiciales y las normas aplicables a las empresas dependen del derecho nacional. Una política sin registros limita los datos históricos disponibles, pero no elimina las obligaciones legales, los datos de cuenta ni una posible recopilación dirigida hacia el futuro cuando la jurisdicción lo permita.
Qué cambia desde América del Sur
Los países de América del Sur no forman parte de la lista formal de los 5, 9 o 14 Eyes. Eso no significa que no exista cooperación internacional ni ofrece una protección automática. Para un lector de la región hay que separar tres elementos: la ley de su país, la jurisdicción de la empresa VPN y el país del servidor elegido. Conectarse a un servidor de Estados Unidos o Europa no traslada la sede jurídica del proveedor; elegir un servidor local tampoco convierte a una empresa extranjera en una empresa local.
El criterio útil sigue siendo la cantidad de datos explotables: una política sin registros precisa, auditorías, infraestructura, informes de transparencia e historial frente a solicitudes de las autoridades.
En caso de investigación
Ha ocurrido que VPN entregaran elementos a la justicia: Hide My Ass en un caso que implicaba a un miembro de LulzSec, o IPVanish en un caso muy grave. Recomendación frecuente: privilegiar una VPN fuera de los países que imponen el archivado de los datos. A matizar fuertemente, sin embargo —una VPN incluso situada fuera de los 5/9/14 Eyes puede ser obligada a entregar los datos de los que dispone (en 2017, PureVPN entregó a la justicia elementos que confirmaban el uso de su servicio por un criminal)—. Estos casos corresponden a investigaciones por delitos muy graves. La verdadera protección, por tanto, no viene de la bandera, sino de la ausencia de datos explotables.
Verificar siempre la política, y elegir según tus criterios
Consultar la política de privacidad antes de suscribirte es un primer paso —a completar con las condiciones de uso, que generalmente concuerdan con ella, y con la ubicación geográfica de los servidores usados—. La elección final depende de tus propios criterios (compatibilidad, velocidad, servidores, bloqueo de publicidad, precio), pero el tratamiento de los logs debe verificarse siempre en detalle. Para ir más lejos: qué pensar de las VPN 5 Eyes, las VPN 14 Eyes y las VPN fuera de las alianzas.