CAPÍTULO 3 #2

—Canal lateral —dijo Trejo—. Si el retardo coincide con bloques específicos de datos sensibles, puede ser un mecanismo de extracción encubierto. La ventana es compatible con paquetes de cuatro a ocho kilobytes. Habría que cruzar los timestamps con los registros de acceso a tablas de alto nivel.

Ferrero se recostó en la silla.

Miró a Trejo durante cuatro segundos sin decir nada. Trejo mantuvo la expresión neutra, las manos en los bolsillos y el peso distribuido parejo sobre los dos pies.

—¿Cuánto te lleva hacer el cruce? —preguntó Ferrero.

—Entre cinco y siete horas —dijo Trejo—. Depende del volumen de datos. Hay que correrlo fuera del horario operativo para no saturar el sistema.

—Arrancá ahora —dijo Ferrero—. Quiero el resultado antes de las siete.

—Recibido.

Se dio vuelta para salir. La voz de Ferrero lo detuvo antes de que llegara a la puerta.

—Flaco.

Trejo giró. Ferrero estaba inclinado sobre el escritorio con los codos apoyados y las manos cruzadas. Lo miraba de una manera distinta. Una manera que Trejo había visto antes, pero no en Ferrero.

—¿Hace cuánto estás en el equipo?

—Tres años y dos meses.

—¿Estás bien? —preguntó Ferrero—. Se te ve cansado.

—Dormí poco —dijo Trejo—. Mi novia trabaja turnos rotativos, me desordena el sueño.

Ferrero asintió lento, sin apartar la mirada. —Cuidate —dijo—. El cruce de timestamps me lo pasás directo a mí. Nada de carpetas compartidas. Nada de intermediarios. ¿Entendido?

—Entendido.

Salió. Cerró la puerta con cuidado. Bajó al tercer piso sin cruzarse con nadie.

Se sentó, encendió la terminal y abrió el entorno de desarrollo.

Las manos le temblaban apenas. Un temblor mínimo, de dos o tres milímetros, solo visible si uno miraba las puntas de los dedos de cerca.

Trejo las miró unos segundos. Después las apoyó sobre el teclado y empezó a escribir la consulta que Ferrero le había pedido, la que iba a producir exactamente el resultado que Ferrero esperaba encontrar y ninguno de los que importaban.

Heavy Metal

Facundo Trejo había crecido en Barrio San Vicente, en una casa de material de tres ambientes sobre calle San Jerónimo al 2300.

El padre trabajaba en una distribuidora de autopartes y la madre daba clases de matemática en un colegio técnico de Villa El Libertador.

A los catorce años armó su primera computadora con piezas recuperadas de un centro de reciclaje electrónico.

A los dieciséis escribía scripts en Python que automatizaban tareas administrativas del colegio de la madre.

A los diecinueve aprobó el examen de ingreso a la Facultad de Matemática, Astronomía, Física y Computación - FaMAF-, con el segundo puntaje más alto de la promoción.

Abandonó la carrera en segundo año por aburrimiento.

Tenía capacidad de sobra. Los profesores enseñaban en 2016 lo que los foros técnicos discutían en 2008.

Trejo necesitaba velocidad y la universidad se movía a un ritmo que le resultaba hostil.

A los veinte consiguió un trabajo freelance en una empresa de Buenos Aires haciendo auditorías de seguridad remotas.

A los veintidós ganaba más que sus padres juntos.

A los veinticuatro se presentó al concurso de ingreso a Cibercrimen de la Policía de Córdoba y entró con honores, convencido de que desde adentro podía cambiar cosas que desde afuera se veían podridas.

El desencanto llegó al año y medio. Las cosas que Trejo quería cambiar estaban protegidas por estructuras que iban mucho más arriba de Cibercrimen.

Los expedientes se archivaban por orden superior.

Las investigaciones se cerraban por conveniencia política.

Los culpables con plata y contactos nunca llegaban a juicio y los que sí llegaban eran siempre los mismos: el adolescente que hackeaba la cuenta de Instagram de la ex, el estafador de barrio que armaba la página falsa de descuentos, el pibe de sistemas de una empresa mediana que se llevaba una base de clientes para venderla en la dark web.

Trejo procesaba esos casos con la eficiencia de una máquina y veía cómo los casos de verdad, los que involucraban a funcionarios públicos o empresas con contactos, se esfumaban antes de que él pudiera abrirlos.

Conoció a Sokolov dieciocho meses después de entrar a Cibercrimen. Fue en una conferencia sobre seguridad informática organizada por la Universidad Blas Pascal. Sokolov dio una charla de cuarenta minutos sobre análisis conductual predictivo aplicado a prevención del delito.

No era técnicamente impresionante, pero tenía una claridad ideológica que le llamó la atención a Trejo: la idea de que el sistema penal tradicional había fracasado porque actuaba después del delito, y que la única manera de corregirlo era intervenir antes, en el patrón, en la intención, en la predisposición.

Sokolov hablaba de reducir el crimen en un treinta por ciento usando sistemas de vigilancia predictiva combinados con presión psicológica dirigida sobre los perfiles de mayor riesgo.

Una idea brillante y perfectamente inaplicable dentro de los marcos legales existentes.

Después de la charla Sokolov se quedó conversando con un grupo reducido.

Trejo se acercó con una pregunta técnica sobre los modelos de predicción.

Sokolov le respondió con precisión durante diez minutos.

Al final le pidió el mail. Un mes después le ofreció una colaboración informal.

Seis meses después Trejo estaba instalando el primer componente del software de exfiltración en una terminal de Cibercrimen.

Sokolov le pagaba, pero el dinero era lo de menos.

Lo que lo había convertido en cómplice era otra cosa: la sensación de estar finalmente del lado correcto del sistema, el lado que funcionaba de verdad, el lado que tenía resultados.

Sokolov le había mostrado estadísticas internas del Proyecto Nodo en los seis meses previos a su incorporación.

Reducción del catorce por ciento en delitos menores en el radio céntrico.

Predicción correcta del noventa y dos por ciento de las reincidencias violentas.

Desactivación preventiva de tres redes de narcotráfico mediana escala antes de que ejecutaran operaciones con víctimas civiles.

Todo eso sin una sola orden judicial de por medio.

A Trejo la idea de la legalidad empezó a parecerle una discusión estéril. El Proyecto Nodo funcionaba. Lo demás era ruido administrativo.

El Error

Ferrero cerró la puerta del despacho cuando Trejo salió y volvió al escritorio.

Se sentó frente al monitor central, abrió una terminal nueva y tecleó una consulta directa contra el servidor de logs.

Quería verificar el retardo que Trejo acababa de reportar.

Cuestión de metodología básica, la que le había salvado dos décadas de carrera.

El retardo existía. Estaba ahí, registrado en los logs del servidor del Ministerio de Finanzas, visible en cualquier auditoría que revisara los tiempos de respuesta promedio de las consultas SQL.

Ferrero lo observó durante dos minutos. El patrón era casi demasiado limpio. Un retardo consistente, repetido, estadísticamente predecible. En sistemas reales los retardos anómalos tenían ruido. Este era uniforme. Trejo lo había presentado como una anomalía pero se parecía más a una firma.

Ferrero abrió el historial de accesos al servidor del Ministerio durante las ventanas de tiempo donde aparecía el retardo.

Filtró por usuarios con credenciales activas en esos intervalos.

El resultado devolvió cuatro nombres. Dos eran administradores de sistema del propio ministerio.

Uno era una cuenta automatizada de mantenimiento.

El cuarto era una cuenta de consulta externa de la Jefatura. El usuario registrado: TREJO_FM.

Ferrero se tapó la cara con las manos durante cinco segundos. Cuando las retiró, volvió a mirar la pantalla con una expresión distinta. La de quien confirma lo que ya había empezado a sospechar la noche anterior en el búnker.

No alcanzaba con eso. Una coincidencia de usuario en una ventana de tiempo podía explicarse por mil motivos en un ambiente de trabajo compartido.

Ferrero necesitaba evidencia que resistiera una revisión institucional.

Abrió una segunda terminal y ejecutó un análisis de correlación entre los retardos del servidor y las ventanas de tiempo donde las siete terminales comprometidas de la Jefatura habían enviado tráfico hacia la IP de Paraguay.

El resultado tardó cuatro minutos. La correlación era del noventa y siete por ciento. Los retardos del Ministerio coincidían con las ventanas de exfiltración hacia el servidor externo. El patrón era inequívoco.

Ferrero cerró las terminales. Se levantó, caminó hasta la ventana y miró hacia la calle Colón.

Dos colectivos pasaban en direcciones opuestas.

Un vendedor de diarios acomodaba las revistas sobre un tablón.

Adentro del edificio, cinco metros abajo de su despacho, Trejo estaba ejecutando la consulta que Ferrero le había pedido, diseñada para apuntar a un retardo fabricado por el propio Flaco, con el único objetivo de ocultar la exfiltración que él mismo operaba.

Un señuelo dentro de un señuelo. Trejo no sabía que Ferrero ya había identificado el nombre en los logs la noche anterior. Trejo pensaba que tenía tiempo.

Ferrero volvió al escritorio. Sacó el teléfono personal y le envió un mensaje breve al Gallego por el canal cifrado.

Confirmado. El nombre del búnker es correcto. Está operando desde el tercer piso en este momento. Necesito un plan que no levante alarmas institucionales. Reunión en una hora en el lugar de siempre.

La respuesta de Morales no tardó. Voy para allá. Pensá en dónde lo sacamos del edificio sin que se entere ninguno de los otros seis que identificaste anoche.