Capítulo 6 — FALSE FLAG #5

—Eso —dijo el técnico—. Aquí dentro, lo llamamos igual, aunque nadie lo dice.

Cuando cae un rack, el del turno de al lado se queda, aunque sea su hora.

Cuando hay que mover los servidores de un hospital a otro, los que saben lo enseñan a los que no saben.

El sistema no es solo las máquinas: es la gente que las sostiene.

—Miró el rack central—. Y cuando alguien ataca al sistema, lo que ataca es eso: a la gente que lo sostiene.

—Hizo una pausa—. Por eso vamos a arreglarlo. Porque es nuestro.

Irati se quedó un momento en silencio, con el frío del CPD alrededor y la frase girándole en la cabeza, y pensó que el auzolan, el que había visto en Basurto y el que estaba viendo en el CPD, era lo que el ataque no había contado.

El que había fabricado el colapso no había contado con que el sistema lo sostenían personas, y que las personas, cuando se cae el sistema, se sostienen entre sí.

Pero también pensó, como esa mañana, que el auzolan no encontraba a los que habían abierto la puerta.

El auzolan no borraba las huellas de la prisa.

El auzolan no abría los códigos cifrados ni rastreaba las cuentas de administración que llevaban una década durmiendo.

Para eso hacía falta alguien que mirara los agujeros, alguien que no se conformara con que la gente se sostuviera sola.

Alguien como Ane.

Alguien como ella.

Jules se había quedado junto a la ventana de cristal, con las manos en los bolsillos y la mirada perdida en el rack central, y cuando el técnico terminó de hablar, se volvió hacia Irati.

—Su madre —dijo Jules, con una voz baja—. Está en Basurto, ¿verdad?

Irati lo miró un momento.

—Sí —dijo—. Está ingresada. Por eso estaba en el hospital esta mañana.

—Y el sistema que se cayó —dijo Jules— es el mismo que guarda su historial. El mismo sistema que han atacado. —Hizo una pausa—. ¿Cómo está?

—Tiene un dolor de costado que nadie sabe explicar —dijo Irati—. Y un historial que, según el sistema, se ha perdido. —Miró a Jules—. Los dos problemas, el del costado y el del historial, son los que estoy intentando resolver. Aunque el segundo es más grande que el primero.

Jules la miró un momento, con el frío del CPD alrededor, y luego dijo, con una voz que sonó más suave de lo que Irati le había oído antes:

—Los sistemas se pueden restaurar, inspectora. Los historiales se pueden recuperar. —Hizo una pausa—. La confianza es la que cuesta. Y la de su madre, en el sistema, no la va a recuperar nadie: la va a recuperar usted, cuando le diga qué pasó de verdad.

Irati se quedó un momento en silencio, con la frase girándole en la cabeza y la certeza, la que le subía desde el pecho, de que Jules acababa de decir, sin saberlo, la misma frase que le había dicho su madre esa mañana.

El que encuentra la verdad, la cuenta.

Y la cuenta, con el tiempo, sana lo que el sistema no puede.

Jules se había quedado junto a la ventana de cristal del pasillo, mirando el rack central con una expresión que Irati no le había visto antes: algo entre la admiración y la tristeza, como si estuviera viendo en el sistema de Osabide algo que le recordaba a otro sistema, a otra historia, a otra noche en Nueva York.

—¿Cuántos sistemas así hay en el mundo? —preguntó, sin volverse.

—En el mundo, muchos —dijo el técnico—. En España, este es el primero, y sigue siendo de los más avanzados.

—Y en Estados Unidos —dijo Jules, con una voz baja—, el sistema de una aseguradora de salud, con datos de casi doscientos millones de personas, se cayó una noche, y nadie supo durante nueve días que no se había caído: que la habían tocado.

—Se volvió hacia Irati—. Aquí, el sistema aguantó.

En Nueva York, el sistema aguantó también.

Los dos sistemas siguen en pie, con los datos intactos.

Y en los dos casos, lo que se atacó no fue el sistema.

Fue la confianza. Y la confianza, una vez atacada, tarda años en volver.

Irati lo miró un momento, con el frío del CPD alrededor y la frase girándole en la cabeza.

—Entonces —dijo—, el que ha hecho esto no quiere destruir el sistema.

Quiere destruir la confianza en el sistema.

Quiere que la gente crea que su sanidad está rota, que no protege sus datos, que no sabe cuidarlos.

—Hizo una pausa—. Quiere fabricar la historia de que todo se cae. Para que nadie mire lo que hay debajo.

—Exacto —dijo Jules—. Y lo que hay debajo —dijo, mirando el rack—, es lo que nadie debe ver. Por eso la fabricaron: para que el mundo mirara el colapso y nadie mirara el fondo de la marea.

Se quedaron en silencio un momento, con el zumbido de los servidores y el frío del CPD alrededor, y luego Irati dijo, con una voz que no era una pregunta:

—¿Y tú qué viste en el fondo de la marea, Jules?

Jules la miró un momento, con el frío y el zumbido y la noche de Nueva York girándole en la cabeza.

—Vi datos —dijo—. Datos de pacientes que se abrían a las tres de la madrugada.

Datos de gente con cosas que esconder. Datos que alguien estaba copiando durante años, sin que nadie lo viera, sin que nadie lo detuviera.

—Hizo una pausa—. Y vi a un testigo que iba a contarlo, y que no llegó a contarlo.

—Miró a Irati—. Vi a Daniel Reyes. Y vi la noche en que lo mataron.

Irati se quedó un momento en silencio, con el frío del CPD y la confesión de Jules flotando en el aire como una pieza que acababa de encajar en el sitio correcto.

—Esa noche —dijo— no fue tu culpa.

—Lo sé —dijo Jules—. Pero la culpa no es la única cosa que pesa.

También pesa lo que no se pudo demostrar.

Lo que se sabía y no se pudo decir. Lo que se vio y no se pudo probar.

—Miró a Irati—. En Nueva York no pude demostrarlo.

Aquí, con Ane, con su nota, con su camino, puedo intentarlo.

—Hizo una pausa—. Y no pienso fallar dos veces.

Irati lo miró un momento, con el frío y el zumbido y la certeza, la que le subía desde el pecho, de que el caso acababa de ganar algo más que un compañero.

V. El enemigo está dentro

Volvieron a Vitoria cuando empezaba a anochecer, y encontraron la sala de crisis de Cyberzaintza más silenciosa de lo que la habían dejado.

Las luces del techo estaban apagadas, y las únicas pantallas encendidas eran las de Leire, que no se había movido del sitio, con los ojos fijos en el terminal y las manos quietas sobre el teclado, como si hubiera encontrado algo que no sabía cómo procesar.

Irati se acercó despacio.

—Leire —dijo—. ¿Qué pasa?

Leire levantó la vista, y Irati vio en sus ojos algo que no le había visto antes: miedo. No el miedo del que se encuentra un peligro, sino el del que se encuentra la verdad.

—He estado toda la tarde tirando del hilo —dijo Leire, con una voz más baja de lo habitual—.

El borrado de Ane. El informe, la copia de Protección de Datos, las alertas, los logs de la cuenta de servicio.

Todo lo que se borró, borrado desde dentro de la red, con cuentas de administración que tenían acceso a los sistemas de auditoría.

—Hizo una pausa—. Y he estado buscando desde dónde se hicieron esos borrados.

Desde qué terminal, desde qué sesión, desde qué cuenta.

Irati sintió el frío subirle por la nuca.

—¿Y qué has encontrado?

Leire se volvió hacia la pantalla, donde había abierto una línea de tiempo de las sesiones de administración de la red, marcadas con IPs y usuarios.

—Los borrados no se hicieron desde el exterior —dijo—.

No se hicieron desde un servidor remoto, no se hicieron desde una cuenta comprometida, no se hicieron desde fuera de la red.

—Miró a Irati—. Se hicieron desde dentro.

Desde una terminal de la propia red de Osakidetza, con una cuenta de administración que tenía acceso total al sistema de auditoría.

Una cuenta que no estaba comprometida. Una cuenta que estaba limpia.

Una cuenta que, según los registros, pertenecía a un administrador del sistema, con años de antigüedad, con permisos de gestión de auditoría.

—Hizo una pausa—. La cuenta desde la que se borró a Ane es una cuenta interna, legítima, de alguien que trabaja dentro del sistema. No es un atacante. Es un topo.

Irati se quedó un momento en silencio, con la frase girándole en la cabeza como una pieza que acababa de encajar en el sitio equivocado.

—¿Y sabes a quién pertenece esa cuenta? —preguntó.

Leire negó con la cabeza, despacio.

—Todavía no —dijo—. La cuenta es de un administrador del sistema, pero los nombres reales de los administradores están en una capa de seguridad que no puedo abrir sin autorización judicial.

Lo que sí puedo decirte es una cosa. —Señaló la pantalla—.

La sesión desde la que se hizo el borrado no empezó hace tres semanas.

Empezó hace diez años, el mismo día en que se creó la cuenta de servicio de la empresa del vertedero.

Y no se ha cerrado desde entonces: está activa, conectada, con el mismo administrador, en la misma red, como una puerta que llevan diez años sin cerrar.

Irati sintió el mundo pararse un momento.

Diez años.

La misma puerta.

La misma red.

El mismo administrador que sabía dónde estaban todas las puertas, y que llevaba una década entrando y saliendo sin que nadie lo viera.

—Leire —dijo Irati, con una voz que sonó más baja de lo que esperaba—. ¿Esa cuenta, la del administrador, puede estar conectada ahora mismo?

Leire se volvió hacia el terminal, tecleó un par de órdenes y se quedó un momento mirando la pantalla, con una expresión que Irati no le había visto antes.

—Sí —dijo—. Está conectada. —Miró a Irati—. Se conectó hace veinte minutos, con una terminal de la red de Osakidetza, en un hospital de Bilbao. —Hizo una pausa—. El que borró a Ane está ahora mismo dentro de la red, con la cuenta abierta, en un hospital de Bilbao.