El cifrado es una de las herramientas más importantes para proteger nuestras comunicaciones. Tecnologías como Transport Layer Security —TLS— y el cifrado de extremo a extremo evitan que terceros puedan interceptar fácilmente credenciales, datos personales y conversaciones privadas.
Sin embargo, esta protección plantea un desafío para los sistemas de seguridad: ¿cómo detectar una situación de riesgo cuando la comunicación se desarrolla dentro de aplicaciones legítimas, mediante conexiones correctamente cifradas y sin que exista malware o una vulnerabilidad técnica?
Esta pregunta dio origen a Encrypted Conversation Observability —ECO—, un paradigma de investigación orientado a detectar señales tempranas compatibles con riesgos interpersonales sin debilitar los mecanismos criptográficos que protegen las comunicaciones.
El problema no siempre está en la red
Las herramientas tradicionales de ciberseguridad suelen observar paquetes, conexiones, dispositivos, cuentas o comportamientos anómalos.
Encrypted Traffic Analytics puede caracterizar tráfico cifrado a partir de sus propiedades. Network Detection and Response analiza actividad dentro de una infraestructura. User and Entity Behavior Analytics busca anomalías asociadas con usuarios o entidades. La inspección TLS, cuando se encuentra autorizada y resulta técnicamente posible, permite examinar contenido.
Estas tecnologías son fundamentales, pero fueron concebidas principalmente para detectar amenazas contra sistemas y organizaciones: malware, accesos indebidos, exfiltración, fraude o cuentas comprometidas.
El grooming, la sextorsión, la coerción y el acoso digital presentan un problema diferente. Pueden desarrollarse mediante:
- Aplicaciones legítimas.
- Dispositivos no comprometidos.
- Usuarios correctamente autenticados.
- Conexiones cifradas.
- Mensajes que, analizados de manera aislada, pueden parecer inofensivos.
En estos casos, el riesgo no reside necesariamente en el protocolo o la aplicación. Puede encontrarse en la forma en que evoluciona la interacción entre las personas.
De observar conexiones a observar interacciones
ECO propone cambiar la unidad principal de análisis.
En lugar de observar exclusivamente un paquete, un flujo o un dispositivo, plantea representar una interacción digital como una secuencia temporal de señales relacionadas.
Una expresión aislada puede no resultar concluyente. Sin embargo, la combinación de consultas sobre la edad, solicitudes de secreto, insistencia, eliminación de mensajes, cambios de horario o recurrencia podría justificar una revisión.
El propósito no es determinar automáticamente que existe grooming. ECO busca generar una hipótesis explicable y revisable, capaz de señalar por qué una interacción merece atención.
Este cambio puede resumirse de la siguiente manera:
| Enfoque | Unidad principal | Resultado |
|---|---|---|
| Inspección TLS | Paquete o contenido | Alerta basada en contenido |
| ETA | Flujo cifrado | Clasificación o anomalía |
| NDR | Red o infraestructura | Incidente de red |
| UEBA | Usuario o entidad | Anomalía de comportamiento |
| Análisis conversacional | Mensaje o conversación | Clasificación semántica |
| ECO | Interacción temporal | Hipótesis contextual para revisión |
ENSensor Engine y ECO Sense
Para explorar la factibilidad del paradigma desarrollé dos componentes:
- ENSensor Engine: motor experimental de observación, normalización, clasificación y generación de señales.
- ECO Sense: interfaz destinada a visualizar incidentes, administrar políticas y facilitar la revisión de los resultados.
La arquitectura propuesta comprende cinco capas:
- Adquisición: obtiene eventos desde fuentes autorizadas.
- Normalización y minimización: unifica la información y descarta atributos innecesarios.
- Contextualización: relaciona cada señal con su aplicación, fuente e interacción.
- Correlación temporal: agrupa eventos para evaluar persistencia, recurrencia y frecuencia.
- Inferencia: genera una puntuación, una explicación y una recomendación de revisión.
La prueba de concepto implementa actualmente algunos de estos componentes. La correlación temporal integral forma parte de la arquitectura de ECO, pero todavía debe ser desarrollada y validada experimentalmente.
¿ECO necesita romper el cifrado?
No.
ECO no busca vulnerar algoritmos criptográficos, recuperar claves ni incorporar puertas traseras.
La información disponible depende de cada fuente autorizada. Un evento de red puede aportar metadatos técnicos, como la aplicación, el servicio, el horario o el tipo de conexión, sin revelar el texto intercambiado.
Cuando una modalidad legítima requiere analizar contenido, este puede procesarse localmente después de que la propia aplicación lo haya descifrado y presentado en el dispositivo autorizado. Este mecanismo es diferente de interceptar o romper el cifrado durante la transmisión.
La arquitectura puede trabajar con:
- Metadatos de red.
- Eventos TLS y WebSocket.
- Telemetría del endpoint.
- Integraciones autorizadas con aplicaciones.
- Contenido ya visible en el dispositivo.
- Señales derivadas y minimizadas.
El acceso al contenido no constituye un requisito estructural para todas las modalidades de ECO.
Una validación funcional preliminar
La prueba inicial comprendió dos ejercicios independientes.
El primero evaluó la observabilidad técnica. ENSensor registró eventos HTTP y WebSocket generados por aplicaciones reales dentro de un entorno controlado y autorizado.
Este resultado demostró que el sistema podía identificar y normalizar características técnicas de una comunicación. No demostró que pudiera recuperar el texto de un mensaje cifrado desde la carga WebSocket.
Figura 1. Evento WebSocket asociado con WhatsApp Web y observado por ENSensor durante una ejecución controlada. El registro demuestra observabilidad técnica, pero no recuperación del contenido textual del mensaje.
El segundo ejercicio evaluó el clasificador local mediante conversaciones completamente sintéticas. Se utilizaron dos escenarios: uno neutral y otro con expresiones previamente configuradas como indicadores compatibles con grooming.
En el escenario neutral, los tres mensajes obtuvieron:
- Detección: falsa.
- Severidad: informativa.
- Puntaje: 0.
En el escenario experimental se procesaron las siguientes expresiones:
| Expresión sintética | Resultado | Severidad | Puntaje |
| “cuantos años tenés” | Grooming | Baja | 25 |
| Respuesta neutral | Sin detección | Informativa | 0 |
| “no le digas a nadie” | Grooming | Media | 40 |
| “borra los mensajes” | Grooming | Media | 45 |
Los resultados confirman que las reglas configuradas diferenciaron las expresiones seleccionadas de los mensajes neutrales.
No obstante, cada mensaje fue clasificado de manera independiente. Los valores 25, 40 y 45 no representan una acumulación temporal del riesgo. Tampoco confirman automáticamente una situación de grooming.
Figura 2. Resultado del análisis local del escenario sintético POC-GROOMING-01. Las puntuaciones corresponden a clasificaciones independientes de cada mensaje.
La prueba demuestra el funcionamiento de componentes específicos, no la precisión predictiva del paradigma completo.
Lo que la prueba demuestra y lo que todavía no demuestra
La validación permite afirmar que:
- ENSensor puede registrar eventos técnicos de aplicaciones reales.
- El clasificador produce resultados estructurados y trazables.
- Los mensajes neutrales utilizados no activaron las reglas.
- Las expresiones configuradas fueron asociadas con la categoría esperada.
- ECO Sense puede presentar los resultados para su revisión.
Todavía no permite afirmar que:
- El sistema haya validado una correlación temporal completa.
- Exista una cadena integral entre un evento de red y su clasificación semántica.
- ECO pueda confirmar automáticamente grooming.
- Se haya medido la precisión sobre conversaciones reales.
- Se conozcan tasas generales de falsos positivos y negativos.
- Las garantías de minimización hayan sido completamente auditadas.
Esta distinción es fundamental para presentar la investigación con rigor y evitar atribuirle al prototipo capacidades que aún se encuentran en desarrollo.
Privacidad por diseño
Una tecnología de protección no puede convertirse en una herramienta de vigilancia indiscriminada.
Por esta razón, ECO se basa en principios de:
- Finalidad específica.
- Autorización.
- Minimización de datos.
- Procesamiento local cuando resulte posible.
- Conservación limitada.
- Explicabilidad.
- Supervisión humana.
- Proporcionalidad.
- Auditoría.
Una alerta no debería exponer automáticamente una conversación completa. El sistema debería conservar únicamente la información necesaria para explicar por qué una situación requiere revisión y cuál fue la señal que originó la advertencia.
En aplicaciones destinadas a niñas, niños y adolescentes también deben considerarse su privacidad, dignidad, interés superior y autonomía progresiva.
ECO no reemplaza la intervención humana
Una coincidencia con una regla no constituye prueba de grooming, sextorsión o acoso. El lenguaje puede ser ambiguo y una misma expresión puede tener significados diferentes según la relación, el contexto y la cultura.
Del mismo modo, la ausencia de una alerta no garantiza que una conversación sea segura.
ECO debe funcionar como un sistema de apoyo a la decisión. Su objetivo es advertir que existe una combinación de señales que merece atención, no identificar automáticamente culpables ni aplicar sanciones.
La revisión humana continúa siendo indispensable.
Aplicaciones posibles
ECO podría incorporarse como complemento de otras estrategias de protección.
En las familias, podría acompañar a los controles parentales tradicionales, que normalmente se concentran en horarios, aplicaciones o restricciones de contenido. En lugar de proporcionar acceso indiscriminado a todas las conversaciones, podría generar advertencias limitadas y explicables.
En escuelas y clubes, podría integrarse a dispositivos y redes administrados dentro de programas transparentes de alfabetización y ciudadanía digital. La finalidad no debería ser vigilar permanentemente a los estudiantes, sino detectar situaciones que requieran acompañamiento temprano.
También podría utilizarse en entornos institucionales autorizados para estudiar coerción, amenazas, sextorsión, acoso o manipulación digital.
Próximos pasos
La evolución de ECO requiere avanzar en cinco áreas:
- Implementar y validar el motor de correlación temporal.
- Integrar de manera verificable las fuentes autorizadas con el análisis local.
- Construir conjuntos de prueba más amplios y diversos.
- Medir falsos positivos, falsos negativos y capacidad de generalización.
- Auditar técnicamente la privacidad, conservación y seguridad de los datos.
La validación futura deberá incorporar especialistas en ciberseguridad, derecho, psicología, criminología, educación y protección de infancias.
Detectar antes de que el daño escale
Durante años, la seguridad informática se concentró en proteger dispositivos, redes, cuentas e información. Esa protección continúa siendo indispensable, pero no siempre resulta suficiente cuando la amenaza se dirige contra una persona y se desarrolla dentro de una relación digital.
ECO propone ampliar la mirada.
No busca romper el cifrado. Busca comprender qué señales pueden observarse legítimamente, cómo pueden relacionarse y de qué manera pueden transformarse en una advertencia temprana, proporcional y explicable.
El desafío no consiste únicamente en detectar más. Consiste en detectar mejor, intervenir responsablemente y proteger sin convertir la prevención en vigilancia permanente.
