La empresa auditora del sistema de Transmisión de Resultados Electorales Preliminares (TREP), Ethical Hacking, contratada por el Tribunal Supremo Electoral (TSE), en un informe de más de 60 páginas concluyó que el proceso electoral de Bolivia "está viciado de nulidad" por la cantidad de alteraciones al "código fuente del TREP", las modificaciones manuales y "con máximos privilegios a las bases de datos", además de las inconsistencias que aparecieron entre el TREP y el Sistema de Cómputo".
La consultora fue contratada un mes antes de las Elecciones de octubre. Específicamente fue contactada por el TSE el 19 de septiembre, el 26 de ese mes realizó una presentación de su propuesta ante el organismo electoral, dos horas más tarde les comunicaron que habían sido elegidos por su seriedad.
VULNERABILIDADES
¿Cuál era la labor básica de la empresa que gerenta Álvaro Andrade? Identificar cualquier anomalía del proceso.
Andrade dijo que se armó un equipo con personal de México y Panamá, y se instaló "todo" para cumplir con la tarea. "Nuestro trabajo era realizar pruebas todos los días... Publicamos vulnerabilidades bastante críticas. Nos tocó auditar el TREP. El 10 (de octubre) empezamos la auditoría y el 11 presentamos nuestro primer informe de vulnerabilidades", detalló Andrade, que aseguró ser boliviano.
Entre algunas "vulnerabilidades críticas" el gerente señaló:
1. Comunicaciones inseguras. Era posible interceptar y leer todas las comunicaciones del TREP. Eso significaba que se podían ver los votos y cambiarlos.
2. Obtención de credenciales. Se las podía conseguir a través de los números de las cédulas y acceder a las contraseñas cifradas. Por lo tanto, se tuvieron que "romper" los códigos, pero al deshacerlos se permitía que hubiera un atacante externo que pudiera extraerlas. Existían 7.000 usuarios del TREP y cualquiera podía ingresar a estas.
3. Envío masivo de actas. Aquí hay tres instantes en el sistema del TREP: el golpe 1 (donde llegan las actas y se registran), el golpe 2 (donde se verifican las actas y se envían a dos operadores para el cómputo) y el golpe 3 (donde se pide el acta y se hace la validación). Cualquiera podía acceder al golpe 1 y cambiar las tendencias.
4. Envío masivo de actas electorales. Era posible inyectar desde Internet, votos, actas hasta fotografías de las mismas. Eso era una falla en el desarrollo del software por diseño inseguro.
