CAPÍTULO 2 #4

Segunda línea: Bianchi. El asesor no se expondría en persona a menos que la orden viniera directamente del jefe.

Eso significaba que cualquier persona asociada al cuaderno estaba ahora en una lista activa.

Carmen, Morales, él mismo. Romina y Mía por extensión, aunque todavía no aparecían en ningún registro vinculado al caso.

Tercera línea: Sokolov. La pieza técnica del sistema.

Ferrero tenía su nombre, su domicilio fiscal y una dirección operativa.

Lo que no sabía era qué nivel de acceso tenía a los servidores de la Jefatura en ese momento, porque si ese acceso estaba activo, Sokolov ya sabía que Ferrero había estado revisando sus logs.

Pasó Cañada y aceleró hacia Alberdi. El reloj marcaba las 11:42.

Bianchi tardaría unos veinte minutos en llegar al edificio de la intervención sobre Figueroa Alcorta, otros quince o veinte en subir, entregar el cuaderno, explicar la operación.

La primera lectura empezaría pasadas las 12:15.

Ferrero tenía hasta ese momento para preparar la segunda ronda.

Entró a Santa Rosa 1060 a las 11:51.

La Señal Viene de Adentro

Giró los pernos de la puerta. Mantuvo la campera puesta y avanzó al escritorio.

Encendió los tres monitores y abrió una terminal nueva.

Tenía veintitrés minutos antes de que Morales llegara y aproximadamente treinta y cinco antes de que Bianchi abriera el cuaderno falso. Había que usar cada segundo.

Abrió el mapa del tráfico de red de la Jefatura Provincial de los últimos siete días.

El archivo era grande, dos terabytes distribuidos en particiones diarias, espejado en un disco externo que actualizaba una vez por semana a través de un puente técnico que había instalado tres años atrás en el sistema de monitoreo de rutina.

Lanzó un análisis de flujo filtrado por conexiones salientes anómalas.

tshark -r jefatura_traffic_2024.pcap -Y "ip.src == 10.0.0.0/8 && !ip.dst == 10.0.0.0/8" -T fields -e frame.time -e ip.src -e ip.dst -e tcp.dstport | sort -k3 |

El resultado mostró los destinos externos más frecuentes del tráfico interno de la Jefatura.

Los cuatro primeros eran servidores esperables: actualizaciones de Windows, sincronización con bases judiciales federales, proveedor de antivirus, portal institucional.

El quinto era distinto. Una dirección IP con geolocalización en Paraguay, puerto 8443, con tráfico saliente constante durante las últimas setenta y dos horas.

La reconoció al segundo: era la misma que había encontrado en los logs del Ministerio de Finanzas la noche anterior.

La misma que después del primer salto se perdía en una cadena de proxies hacia un servidor de hardware artesanal sin fabricante registrado.

El Proyecto Nodo estaba operando en tiempo real desde dentro de la Jefatura.

Cruzó las direcciones IP origen del tráfico hacia ese destino.

Esperaba encontrar una sola máquina comprometida o un servidor central.

Lo que encontró fue peor. El tráfico salía de siete terminales distintas distribuidas en cinco áreas: Asuntos Internos, Dirección de Informática, Cibercrimen, Investigaciones Especiales y la Secretaría General.

Siete máquinas, siete usuarios con credenciales legítimas, siete puntos de filtrado simultáneos que llevaban dos años o más operando sin que ninguna auditoría interna los hubiera detectado.

Abrió los identificadores de usuario de las siete terminales. Cinco eran cuentas genéricas de administración compartidas. Dos eran nombres concretos.

El primero era un técnico de sistemas que había pasado por Cibercrimen hacía dieciocho meses y ahora estaba en la Dirección de Informática. Ferrero lo conocía por reputación pero nunca había trabajado con él. El segundo nombre lo detuvo en seco.

TREJO, FACUNDO M. — SUBOFICIAL — CIBERCRIMEN.

El Flaco Trejo. Parte del equipo directo de Ferrero. El que tenía acceso a las terminales del búnker oficial dentro de la Jefatura. El que había estado la semana anterior revisando con Ferrero los logs de los dos primeros cuerpos y había dicho textualmente: acá no hay nada raro, jefe.

Ferrero se recostó en la silla. Cerró los ojos durante siete segundos.

Cuando los abrió, lanzó un análisis retrospectivo sobre todos los accesos de Trejo a los sistemas de Cibercrimen en los últimos doce meses.

La búsqueda tardó dos minutos. Trejo había accedido a los expedientes de Ferreyra e Insúa dos días antes de que aparecieran los cuerpos.

Había consultado domicilios, perfiles funcionales e historiales de denuncias internas.

Todo bajo su usuario, todo con credenciales legítimas, todo justificable como trabajo de rutina si nadie iba a cruzar las fechas con las muertes.

Alguien iba a cruzar las fechas con las muertes.

Sonó el intercomunicador del búnker. Dos timbres cortos, uno largo. El código de Morales. Ferrero abrió los tres pernos. El Gallego entró con la campera abierta y el aire de alguien que había manejado rápido.

—Carmen está bien —dijo—. La calle estaba limpia. Ahora hablame vos. ¿Qué encontraste?

Ferrero giró el monitor para que pudiera leer. Morales se acercó, entrecerró los ojos, leyó. Cuando terminó, se quedó quieto durante cinco segundos.

—Hijo de puta —dijo.