CAPÍTULO 3

EL FLACO

Veintinueve Años

Trejo subió por la escalera hasta el tercer piso.

Evitaba el ascensor por costumbre, una costumbre que había adoptado a los diecinueve años cuando leyó en un foro de seguridad que las cámaras de los ascensores tenían el ángulo óptimo para identificación facial.

Tres minutos de gimnasia extra por día no le costaban nada y le ahorraban miles de frames de su cara almacenados en servidores institucionales.

Entró a la sala común de Cibercrimen. Tres escritorios ocupados, seis vacíos.

Saludó con la cabeza a la Cabo Mariela Ferreira, que estaba terminando su guardia de la noche con los ojos rojos y un vaso térmico vacío sobre el teclado.

Fue a su puesto, el tercero junto a la ventana, y encendió las dos torres que tenía debajo del escritorio.

Mientras el sistema cargaba, sacó del bolsillo interno de la campera una llave USB pequeña, la miró tres segundos y la guardó en el cajón superior bajo una pila de formularios viejos.

La llave era un dispositivo de doble propósito.

Por un lado funcionaba como token de autenticación biométrica para el sistema interno de la Jefatura.

Por el otro, contenía un software de exfiltración pasiva que Trejo había instalado él mismo hacía veintitrés meses.

El software copiaba fragmentos de archivos a un servidor externo en bloques de cuatro kilobytes distribuidos en intervalos aleatorios de entre seis y dieciocho minutos, usando el tráfico de actualización de antivirus como envoltorio.

Nadie había detectado la operación en veintitrés meses porque nadie había buscado lo que no sabía que tenía que buscar.

Los monitores se encendieron. Trejo pasó el token, tecleó la contraseña personal de catorce caracteres y cargó el entorno de trabajo.

Abrió primero el correo institucional. Catorce mensajes sin leer.

Tres reportes automáticos de los servidores, ocho circulares internas, dos comunicaciones de coordinación interinstitucional y un mensaje personal del Subinspector Ferrero enviado a las 23:47 de la noche anterior.

Flaco. Mañana a primera hora necesito que revises los logs de acceso al expediente 2847-C desde el 15 del mes pasado. Todo. Firma adjunta con la autorización. Julián.

Trejo abrió el adjunto. Era una autorización interna firmada por Ferrero para acceder a los logs completos del expediente correspondiente a las muertes de Ferreyra e Insúa.

Trejo ya había accedido a ese expediente dos días antes con sus propias credenciales, como cabo del equipo, sin necesidad de autorización adicional.

Pero Ferrero le estaba pidiendo ahora una revisión formal con documento firmado.

Eso significaba una de dos cosas. O Ferrero no recordaba que Trejo ya había revisado el expediente, lo cual era improbable porque Ferrero recordaba cada cosa, o quería un registro oficial de quién accedía a partir de ahora, lo cual era exactamente lo que Trejo no quería dejar.

Se recostó en la silla y miró el techo. Después respondió el mensaje. Recibido, jefe. Empiezo ahora. Cualquier cosa le mando reporte a media mañana. Envió. Cerró el correo. Abrió el sistema de logs internos.

Durante los siguientes cuarenta minutos hizo exactamente lo que se esperaba de él: revisó los accesos al expediente 2847-C desde el 15 del mes pasado, generó un informe con timestamps, usuarios y acciones, y lo guardó en la carpeta compartida del equipo.

El informe era técnicamente completo y operativamente inútil.

No mencionaba que dos de los accesos registrados eran del propio Trejo.

Los había borrado con una línea de código que ejecutó antes de exportarlo.

A las 9:12 le envió el informe a Ferrero por correo interno.

A las 9:13 abrió una segunda terminal y escribió un mensaje en un canal privado de la red Tor. Ferrero pidió los logs completos. Tomó autorización formal. Necesito instrucciones.

Las Instrucciones

La respuesta en el canal privado tardó cuatro minutos. Trejo la leyó con las manos apoyadas sobre el teclado, inmóviles.

Mantené posición. Observá. Reportá cualquier movimiento de Ferrero fuera de protocolo. Prioridad absoluta: saber si tiene contacto con Morales o con la mujer de Güemes.

Trejo leyó el mensaje dos veces. Luego lo borró del historial del canal y cerró la sesión de Tor.

Abrió el navegador institucional y pasó catorce minutos navegando con aire distraído por foros técnicos, construyendo el patrón de tráfico que cualquier auditor casual esperaría encontrar en un cabo de Cibercrimen a las nueve y media de la mañana.

La Cabo Ferreira se despidió a las 9:34. Antes de irse pasó por el escritorio de Trejo y le dejó una carpeta con tres impresiones.

—Los reportes nocturnos de ayer —dijo—. Ferrero pidió copia en papel. ¿Se lo podés pasar?

—Yo lo hago —dijo Trejo.

Ferreira asintió y salió de la sala. Trejo esperó treinta segundos.

Abrió la carpeta. Los tres reportes eran rutinarios: una alerta de intento de acceso fallido desde una IP externa, un ticket de soporte de la comisaría 14, y un informe breve sobre un caso cerrado de suplantación de identidad.

Nada que a Ferrero le interesara particularmente. Ni que justificara una copia en papel.

Ferrero estaba construyendo un registro físico. Eso significaba que el sistema digital ya le resultaba sospechoso. Y también que había detectado movimiento desde adentro.

Trejo dejó la carpeta sobre su escritorio, se levantó y caminó hasta el dispenser de agua del pasillo.

Al volver pasó frente al despacho de Ferrero.

La puerta estaba cerrada, pero por la rendija inferior se veía luz encendida.

Ferrero estaba adentro desde que Trejo había llegado.

Probablemente había dormido ahí. O ni siquiera había dormido.

Volvió a su puesto. Se sentó. Miró la carpeta.

Abrió la última gaveta del escritorio y sacó un dispositivo del tamaño de un encendedor, color negro mate, sin marca visible.

Era un emisor de interferencia de corto alcance, diseñado para saturar el espectro de 2.

4 GHz en un radio de cuatro metros durante exactamente cuarenta y cinco segundos.

Lo tenía en la gaveta desde hacía ocho meses.

Lo usaba cuando necesitaba una ventana sin vigilancia digital en el piso de Cibercrimen. Lo activó.

El LED de su teléfono corporativo parpadeó tres veces y se apagó. Las luces de los dos routers wifi de la sala común entraron en modo de reconexión.

Los cuarenta y cinco segundos empezaron a correr. Sacó del bolsillo el teléfono personal, un modelo viejo sin conexión a la red institucional. Marcó de memoria un número de doce dígitos. La línea dio tres tonos. Una voz masculina, adulta, con acento porteño.

—Hablá —dijo la voz.

—Pidió autorización formal sobre los logs del 2847-C —dijo Trejo—. Y me pidió copias en papel de los reportes nocturnos a través de Ferreira. Ya sabe que hay filtración desde el sistema.

—¿Sospecha de vos? —preguntó la voz.

—Todavía no —dijo Trejo—. Pero está cruzando accesos. En un día o dos va a llegar.

—No tenés un día o dos —dijo la voz—. Tenés hasta esta tarde. Cuando cierre el turno, Ferrero deja de existir como problema. Tu trabajo hasta entonces es mantenerlo tranquilo y en el edificio.

—¿Cómo hago para mantenerlo adentro?

—Dale una pista —dijo la voz—. Algo técnico, creíble, que requiera revisión en profundidad. Algo que lo tenga pegado al monitor hasta las siete. El resto lo hacemos nosotros.

Cortó. Trejo guardó el teléfono y esperó.

El emisor emitió un click apenas audible y las luces de los routers volvieron al verde constante.

El teléfono corporativo recuperó señal. Cuarenta y dos segundos de ventana limpia, suficiente para una llamada sin registro pero breve como para pasar por una microinterrupción de red rutinaria.

Guardó el emisor en la gaveta, cerró con llave y volvió a abrir el informe sobre los logs del 2847-C. Tenía que inventar una pista técnica creíble antes de que Ferrero bajara a preguntarle en persona.

La Pista

Trejo tardó treinta y seis minutos en construir la pista. Partió de algo real: una anomalía en los logs de acceso del servidor de autenticación del Ministerio de Finanzas que él mismo había introducido seis meses atrás como prueba del sistema de exfiltración.

La anomalía era un patrón de consultas SQL mal optimizado que generaba un retardo de ciento ochenta milisegundos en la respuesta del servidor.

Un técnico podía mirarla y concluir que había un error de programación en una aplicación interna.

Un técnico mejor podía concluir que escondía un canal lateral de extracción de datos. Ferrero era del segundo tipo.

La clave estaba en darle la pista justa para que persiguiera el retardo durante seis horas, sin encontrar la conclusión real. Trejo sabía exactamente cómo hacerlo porque él mismo había diseñado el señuelo para auditorías externas hacía un año y medio.

A las 10:31 subió al cuarto piso. El despacho de Ferrero tenía la puerta cerrada con la luz encendida. Trejo golpeó dos veces y esperó.

—Pase —dijo Ferrero.

Trejo entró. El despacho era un rectángulo de cuatro metros por tres, con un escritorio de fórmica blanca contra la pared del fondo, dos monitores encendidos y una pizarra blanca cubierta de anotaciones que Trejo no alcanzó a leer desde la puerta.

Ferrero estaba sentado con una taza de café y un marcador en la mano.

Tenía ojeras profundas y la camisa del día anterior. Lo miró sin sonreír.

—Decime, Flaco —ordenó.

—Encontré algo raro revisando los logs —dijo Trejo—.

Un retardo consistente en las consultas al servidor del Ministerio de Finanzas.

Ciento ochenta milisegundos de diferencia con el promedio del resto del sistema.

Se repite desde hace seis meses. Puede ser una mala optimización pero también puede ser otra cosa.

Ferrero apoyó el marcador sobre el escritorio.

—¿Otra cosa como qué?