Crypto AG y la infiltración de la CIA/NSA

Hoy traigo un poco de historia de la criptografía, o más bien de lo que EEUU hace mejor: traicionar a sus enemigos, a sus adversarios, pero sobre todo a sus aliados. Cuando digo y mantengo que empresas como google o Apple, como Microsoft o Meta recopilan, almacenan y custodian el 100% de todas nuestras comunicaciones, algunos de mis amigos me llaman paranoico. Bueno, pues hagamos un poco de historia. Es lo bueno de la edad, que algunos recopilamos experiencias en blanco y negro. Hoy vengo a hablar de Cripto AG, empresa Suiza de Seguridad y criptografía. Durante los primeros meses de la pandemia estalló el escándalo, pero como otros, llegados de EEUU, se ocultan o ignoran como irrelevantes. Crypto AG fue durante décadas la empresa suiza más reconocida en la fabricación de máquinas y sistemas de cifrado para gobiernos y servicios diplomáticos. La empresa aprovechó la reputación de neutralidad suiza para vender sus productos a más de cien países, muchos de ellos ajenos a la pugna de la Guerra Fría.

Investigaciones desclasificadas reveladas en 2020 demostraron que Crypto AG había sido controlada en secreto por las agencias de inteligencia de Estados Unidos y Alemania occidental, permitiendo a la CIA y al Servicio Federal de Inteligencia Alemán (BND) leer comunicaciones que se creían seguras. Esta historia, conocida en la comunidad de inteligencia como Operación Rubicón, ha sido calificada por la propia CIA como “el golpe de inteligencia del siglo”.

Orígenes de Crypto AG (1920‑1950)

La historia de Crypto AG está ligada al ingeniero sueco Boris Hagelin, quien en los años 1920 heredó de Arvid Damm la firma AB Cryptograph y continuó desarrollando máquinas de cifrado, como el modelo B‑21. Durante la Segunda Guerra Mundial, Hagelin viajó a Estados Unidos y vendió a las fuerzas armadas el modelo M‑209, un cifrador portátil del que se fabricaron más de 140.000 unidades. Tras la guerra, ante leyes restrictivas en Suecia, Hagelin decidió trasladar su empresa a la neutral Suiza, estableciendo Crypto AG en Zug en 1952. Las máquinas Hagelin gozaban de gran reputación y la empresa fue vista como un proveedor “neutral”, por lo que muchos países, incluidos aliados y adversarios, compraron sus productos.

El “acuerdo de caballeros” con la NSA (1951‑1960)

Durante la Guerra Fría, la creciente complejidad de los cifradores preocupaba a la Agencia de Seguridad Nacional (NSA). Según el Washington Post y otras fuentes, Hagelin entabló amistad con William F. Friedman, considerado el padre de la criptología estadounidense. En 1951 ambos se reunieron en el Cosmos Club de Washington D.C. y pactaron restringir la venta de los modelos de cifrado más sofisticados a países aprobados por Estados Unidos. Este acuerdo informal, conocido luego como el “acuerdo de caballeros”, preveía que la NSA compensara a Hagelin por las pérdidas. La colaboración se formalizó en 1955 y permitió a la NSA redactar los manuales de instrucciones de las máquinas, incluyendo indicaciones que debilitaran el cifrado para determinados clientes. Estos arreglos marcaron el inicio de la relación secreta entre Crypto AG y la inteligencia estadounidense.

Licencias secretas y manipulación de algoritmos (1960‑1970)

A finales de los años sesenta, Crypto AG comenzó a fabricar cifradores electrónicos. El Guardian señala que, «con el cambio de tecnología, la NSA aprovechó para manipular los algoritmos de los equipos, de modo que los agentes estadounidenses pudieran descifrar los mensajes rápidamente». La empresa producía dos versiones: modelos seguros para gobiernos aliados y versiones debilitadas con algoritmos con puerta trasera para el resto del mundo. Para ocultar su intervención, la CIA firmó acuerdos de licencia con Crypto AG durante los años 1960‑1970; según el Crypto Museum, este acuerdo de licencias precedió a la compra total posterior.

Operación Thesaurus/Rubicon: compra secreta y control total (1970‑1993)

Compra encubierta y codenombres

En junio de 1970, la CIA y el BND compraron en secreto Crypto AG a través de empresas fachada. De acuerdo con el Archivo de Seguridad Nacional de EE. UU., los documentos de la CIA y del BND indican que el operativo se denominó inicialmente “Thesaurus” y luego “Rubicon”, mientras que el nombre en clave de la empresa era “Minerva”. La compra permitió a las agencias controlar el diseño de las máquinas y añadir vulnerabilidades que hacían sus códigos fácilmente rompibles. La sociedad se mantuvo en absoluto secreto; ni siquiera gran parte de los empleados de Crypto AG conocían quiénes eran los propietarios.

Casos destacados

Durante las décadas de 1970 y 1980, Crypto AG vendió miles de máquinas de cifrado a más de cien países de todos los continentes. Esta red permitió a la CIA y al BND alemán interceptar comunicaciones de gobiernos amigos y enemigos. El Archivo de Seguridad Nacional señala que, gracias a las vulnerabilidades, las agencias pudieron descifrar mensajes relacionados con hechos como el golpe militar en Chile de 1973, el golpe argentino de 1976, el asesinato de Orlando Letelier en Washington (septiembre de 1976), la bomba contra un avión cubano en octubre de 1976 y la guerra de las Malvinas en 1982. El diario The Guardian añade que durante las negociaciones de Camp David de 1978 la NSA leyó las comunicaciones egipcias, y que en 1979, durante la crisis de los rehenes en Irán, Estados Unidos obtuvo inteligencia decisiva mediante los equipos de Crypto. También interceptaron mensajes libios tras el atentado de la discoteca La Belle en Berlín (1986).

Tensiones internas y disidencia

Aunque la operación resultó muy lucrativa (en 1975 las ventas produjeron 51 millones de francos suizos), surgieron tensiones entre la CIA y el BND. Alemania, se oponía a espiar a países aliados de la OTAN, mientras que Estados Unidos quería escuchar a “básicamente todo de todos los gobiernos”. En 1977 un ingeniero de Crypto, Peter Frutiger, descubrió las debilidades de los algoritmos y reparó las máquinas usadas en Siria; por ello fue despedido. La confianza de algunos gobiernos disminuyó, pero los clientes desconocían el control oculto y Crypto siguió vendiendo sus productos.

El caso Hans Bühler y la retirada alemana (1992‑1994)

En 1992, el vendedor suizo Hans Bühler fue arrestado en Irán cuando el gobierno iraní sospechó que los equipos de Crypto estaban saboteados. Bühler, ajeno a la conspiración, permaneció detenido nueve meses y fue liberado en enero de 1993 tras el pago de un millón de dólares, según el Archivo de Seguridad Nacional. La empresa lo despidió poco después, lo que lo llevó a hablar con la prensa. El episodio, que los documentos de la CIA llamaron “HYDRA”, fue considerado por los servicios secretos “la brecha de seguridad más grave del programa” y generó tanto temor a ser descubiertos que el BND decidió vender su participación a la CIA. En 1993, la CIA compró la parte alemana por 17 millones de dólares.

Clamor, Revelaciones parciales, Sospechas Crecientes (1975‑2019)

Aunque el control de Crypto AG se mantuvo secreto durante décadas, varios indicios salieron a la luz:

1975 – El exagente de la CIA Philip Agee publicó Inside the Company — A CIA Diary. Según un historial de la NSA citado por el Archivo de Seguridad Nacional, Agee afirmaba que las máquinas Hagelin tenían vulnerabilidades explotadas por la NSA.

1982 – El periodista James Bamford mencionó en su libro The Puzzle Palace referencias al “proyecto Boris” en cartas entre Hagelin y Friedman. La NSA re-clasificó los documentos en 1983, pero fueron liberados en 2015.

1995 – El Baltimore Sun publicó un artículo titulado “Rigging the Game” que describía cómo el NSA había manipulado los equipos de Crypto AG. Pese a ello, muchos países siguieron usando las máquinas.

2014 – Se desclasificaron documentos del archivo Friedman que confirmaban la existencia del “acuerdo de caballeros”.

Durante estos años, se formaron dos comunidades de usuarios: algunos gobiernos desconfiados compraban cifradores de otros fabricantes o buscaban sistemas propios, mientras que otros continuaron adquiriendo equipos de Crypto por la aparente neutralidad suiza.

Escándalo público (2018‑2020)

En 2018, Crypto AG se escindió en dos empresas: CyOne Security AG, dedicada al mercado suizo, y Crypto International AG, bajo propiedad de un empresario sueco. La rama internacional asumió el legado comercial de Crypto, mientras que la empresa original se liquidó formalmente el 31 de octubre de 2019. Aunque la CIA había vendido sus activos, las máquinas seguían circulando.

El 11 de febrero de 2020, una investigación conjunta del Washington Post, la televisión alemana ZDF y la emisora suiza SRF publicó extractos de un estudio interno de la CIA que confirmaba la operación Rubicon y el control estadounidense‑alemán de Crypto AG. El Guardian señaló que las debilidades añadidas a los productos permitieron a los servicios de inteligencia espiar a enemigos y aliados, y que la operación fue descrita como “el golpe de inteligencia del siglo”. Las revelaciones llevaron al gobierno suizo a retirar las licencias de exportación de Crypto International y abrir una investigación; además, se anunció el despido de prácticamente toda la plantilla. Un informe del parlamento suizo de noviembre de 2020 concluyó que el servicio de inteligencia suizo conocía la operación desde 1993 y cooperó en romper el cifrado de clientes extranjeros.

Conclusión Final

La historia de Crypto SA/Crypto AG muestra cómo la neutralidad aparente y la confianza en un proveedor de tecnologías de seguridad pueden ocultar estrategias de espionaje de alto nivel. A lo largo de casi medio siglo, la CIA y el BND controlaron la compañía y manipularon sus algoritmos para leer mensajes diplomáticos y militares de más de cien países. Esta trama —que comenzó con un apretón de manos en 1951, continuó con la compra encubierta en 1970 y concluyó con la liquidación de la empresa en 2019 — cuestiona la seguridad de los sistemas propietarios y la confianza en la tecnología de cifrado comercial.

El escándalo también tuvo consecuencias políticas: la manipulación de los aparatos influyó en conflictos como el golpe chileno de 1973 y la guerra de las Malvinas de 1982, permitió a Estados Unidos intervenir con ventaja en negociaciones de paz y fomentó el recelo de países que sospechaban de “puertas traseras”. Tras las revelaciones de 2020, muchos estados revisaron sus sistemas de cifrado y se plantearon adoptar estándares abiertos para reducir la dependencia de proveedores externos. La Operación Rubicón permanece como un ejemplo histórico de cómo la ingeniería social y el control industrial pueden convertirse en poderosas armas de inteligencia.

¿Vamos a seguir confiando en Google, Amazon, Meta, Microsoft, Oracle o Apple para proteger nuestra privacidad?. Sigo dando pautas y consejos. Pídemelos.

Linkedin: Aquilino García