Cómo detectar micrófonos ocultos en su empresa: guía de barrido electrónico (TSCM)

Si sospecha que lo que se dice en su sala de directorio, su despacho o su vehículo llega a terceros, la primera decisión no es comprar un detector: es dejar de hablar del tema en esos lugares. Esta guía explica a gerencias y áreas legales, de cumplimiento y de seguridad qué pueden revisar por su cuenta y qué requiere un método profesional.

¿Qué señales indican que su empresa podría estar bajo vigilancia técnica?

Ninguna señal confirma por sí sola un dispositivo. Importa el patrón: varias señales a la vez, cuando la información que se discute tiene valor para alguien.

• Fugas sin explicación. Terceros conocen cifras, posiciones de negociación o decisiones que solo se trataron en una reunión cerrada, y la lista de asistentes no explica la fuga.
• Cambios físicos en ambientes sensibles. Objetos nuevos que nadie recuerda haber pedido (cargadores, regletas, relojes, adornos, ambientadores), mobiliario movido, placas de techo desalineadas, restos de polvo de yeso o pintura, tornillos de tomacorrientes o luminarias con marcas recientes.
• Accesos inusuales. Visitas técnicas no programadas en salas de directorio o despachos de gerencia (aire acondicionado, telefonía, limpieza, "revisión de la red"), o personas que piden quedarse solas en esos ambientes.
• Anomalías en vehículos. Paneles, alfombras o tapas desalineadas, un accesorio conectado al puerto de diagnóstico que nadie instaló, o un vehículo que quedó en un taller o con un tercero más tiempo de lo habitual.
• Comportamiento del teléfono. La batería se agota más rápido, el consumo de datos sube sin explicación o alguien conoce detalles muy específicos de sus conversaciones o de su ubicación. Son las señales que la FTC describe en su guía sobre software espía en teléfonos.
• Contexto de riesgo. Una licitación, una negociación, una disputa societaria o una investigación interna en curso: el riesgo crece con el valor de la información.

Los zumbidos en parlantes, citados a menudo como señal, hoy son poco concluyentes: cualquier celular cercano puede provocarlos.

¿Qué tipos de dispositivos de vigilancia existen?

Los dispositivos actuales son pequeños, baratos y fáciles de conseguir. Conviene clasificarlos por cómo obtienen y entregan la información, porque eso determina qué técnica los puede encontrar.

Dos tendencias complican la detección. Muchos dispositivos se ocultan en objetos conectados a la red eléctrica, lo que les da energía sin límite. Y la línea entre "micrófono oculto" e "incidente informático" se ha borrado: un teléfono comprometido cumple la misma función que un transmisor, sin que nadie instale nada en la sala.

¿Cómo detectar cámaras ocultas?

Una cámara necesita línea de visión, y su lente solo puede disimularse, no ocultarse por completo. Revise los objetos con vista directa a la mesa, pizarras, pantallas y teclados: detectores de humo, relojes, cargadores, marcos, parlantes, rejillas. Con la sala a oscuras, una linterna a la altura de los ojos ayuda a ver el reflejo de un lente. La revisión se completa con la lista de equipos conectados a la red Wi-Fi y con análisis de espectro. Las cámaras que graban en memoria solo se encuentran con inspección física o con un detector de uniones no lineales.

¿Cómo detectar un GPS en su auto?

Los rastreadores se instalan donde el acceso es rápido: bajos y guardafangos (con imán), parachoques, debajo de los asientos, en la maletera o conectados al puerto de diagnóstico o a la batería. Los teléfonos ayudan solo en parte. iPhone y Android avisan cuando un rastreador Bluetooth separado de su dueño se mueve con usted (Apple; Google), pero Google precisa que su función detecta únicamente rastreadores Bluetooth compatibles. Un GPS con tarjeta SIM conectado a la batería del vehículo no aparece en esas alertas. Para descartarlo se necesita una inspección física con el vehículo elevado o con espejo y linterna, y una verificación electrónica, porque algunos rastreadores transmiten solo por intervalos.

¿Su teléfono puede ser el micrófono?

Sí. El software espía puede activar el micrófono, leer mensajes y compartir la ubicación, y está diseñado para pasar desapercibido (FTC). Para personas expuestas, la guía de comunicaciones móviles de CISA recomienda, entre otras medidas, usar solo comunicaciones cifradas de extremo a extremo, no usar SMS como segundo factor de autenticación, proteger la cuenta del operador con un PIN adicional y mantener el sistema actualizado. Si sospecha que un equipo está comprometido, no lo restablezca antes de decidir si debe preservar evidencia: esa revisión corresponde a un equipo de respuesta a incidentes.

¿Por qué una app o un detector barato no basta?

Los detectores de RF de consumo y las aplicaciones de celular dan una respuesta binaria (hay señal o no hay señal) a un problema que no lo es. Sus límites son concretos:

• No ven lo que no transmite. Una grabadora, una cámara que guarda en memoria o un rastreador que almacena la ruta no emiten nada mientras usted revisa. El detector no tiene qué medir.
• No distinguen lo legítimo de lo anómalo. En una oficina conviven Wi-Fi, Bluetooth, telefonía móvil, radios del personal y equipos de los pisos vecinos. Un detector de bolsillo reacciona ante todo eso o, si se baja su sensibilidad, ante casi nada.
• No ven lo que se esconde. Un fabricante de sistemas de monitoreo de espectro advierte que un barrido puede ser burlado por dispositivos que saltan de frecuencia, que se ocultan junto a una señal de alta potencia o que transmiten en ráfagas cortas e infrecuentes, y que algunos se desactivan durante el barrido y se reactivan después.
• El teléfono no es un analizador de espectro. Muchas aplicaciones se apoyan en el magnetómetro del celular, que reacciona ante cualquier metal o imán, o en la lista de redes Wi-Fi y Bluetooth visibles. Pueden mostrar equipos conectados, pero no localizar un transmisor ni un componente apagado.

El problema real es que un resultado negativo se interprete como confirmación ("ya revisamos y no hay nada") y se siga tratando información sensible en el mismo ambiente.

¿Qué incluye un barrido electrónico profesional (TSCM)?

TSCM son las siglas en inglés de contramedidas de vigilancia técnica. El control RA-6 de la publicación NIST SP 800-53 describe la revisión TSCM como un servicio que ejecuta personal calificado para detectar dispositivos y riesgos de vigilancia técnica e identificar debilidades que podrían facilitar una penetración técnica del lugar, mediante exámenes visuales, electrónicos y físicos, dentro y fuera de las instalaciones. En la práctica, un barrido serio se organiza en capas, porque cada técnica cubre los puntos ciegos de las otras.

Inspección física

Es la base de todo barrido. Se revisan mobiliario, techos falsos, tomacorrientes, luminarias, cajas de paso, equipos de oficina, objetos decorativos y regalos, con un patrón que no deja zonas sin revisar y con espejos, linternas y cámaras de inspección para ver dentro de cavidades.

Análisis del espectro de radiofrecuencia

Primero se registra una línea base con las señales normales del edificio y su entorno; luego se buscan transmisiones que no corresponden a ella, incluidas las de Wi-Fi, Bluetooth o redes celulares. Como algunos dispositivos transmiten por ráfagas o solo cuando hay conversación, el monitoreo se prolonga y, cuando es posible, se hace con la sala en uso normal. El análisis identifica la presencia de transmisiones, no su contenido.

Detector de uniones no lineales (NLJD)

Es la técnica que encuentra lo que no transmite. Según la documentación técnica de un fabricante de estos equipos (REI), el NLJD emite una señal que, al encontrar uniones semiconductoras (diodos, transistores, circuitos), devuelve una respuesta armónica que el equipo mide. Por eso detecta electrónica oculta en paredes, muebles u objetos esté encendida, apagada o sin batería. Su lectura exige experiencia: el equipo distingue entre segundo y tercer armónico para separar componentes electrónicos de otras respuestas, y cada alerta se verifica físicamente.

Termografía

Una cámara térmica muestra puntos de calor anómalos y ayuda a localizar dispositivos encendidos dentro de regletas, paneles u objetos.

Revisión de cableado, telefonía y redes

Se inspeccionan el cableado de datos, telefonía y energía de la sala, los teléfonos IP, los equipos de videoconferencia y los puntos de acceso inalámbrico, para identificar conexiones, dispositivos o redes no autorizadas. Esta revisión es el punto de encuentro con la ciberseguridad.

Barrido de vehículos

Incluye bajos, guardafangos, parachoques, cabina, asientos, maletera, compartimiento del motor y puerto de diagnóstico, combinado con verificación electrónica. Los vehículos de directivos conviene revisarlos junto con su esquema de protección ejecutiva, porque comparten las mismas vulnerabilidades: talleres, estacionamientos y choferes de reemplazo.

Informe y recomendaciones

El resultado es un informe reservado con ambientes revisados, técnicas aplicadas, hallazgos y recomendaciones para reducir la probabilidad de una nueva instalación. Así está planteado el servicio de barrido electrónico (TSCM) de STRATON.

¿Qué debe hacer antes del barrido? Seguridad operacional

La seguridad de un barrido empieza antes de que llegue el equipo técnico. Si quien instaló el dispositivo se entera, puede retirarlo o apagarlo, y el barrido no encontrará nada.

1. No mencione la sospecha ni el barrido en los ambientes o vehículos que quiere revisar, ni por los teléfonos, correos o chats que podrían estar comprometidos.
2. Coordine desde un teléfono y un lugar ajenos a esos ambientes, por ejemplo un teléfono personal fuera de la oficina.
3. Limite quién lo sabe. Solo las personas indispensables para autorizar y facilitar el ingreso.
4. No haga una búsqueda previa por su cuenta. Mover objetos o desarmar tomacorrientes alerta a quien vigila y puede contaminar evidencia.
5. Mantenga la rutina. No cancele reuniones de forma abrupta ni cambie de sala de manera visible.
6. Prepare la información: planos, lista de ambientes y vehículos, quién tiene acceso, qué proveedores ingresaron en los últimos meses y desde cuándo existe la sospecha.
7. Acuerde la cobertura del ingreso: horario y explicación del ingreso del equipo técnico que no llamen la atención.

¿Qué hacer si encuentra un dispositivo?

La reacción natural es arrancar el aparato; casi siempre es un error.

• No lo toque, no lo desconecte y no lo comente en el lugar. Retirarlo alerta a quien lo instaló y puede destruir huellas o datos útiles para identificarlo.
• Documéntelo en su posición: fotografías, ubicación exacta, fecha, hora y personas presentes.
• Decida con su asesoría legal antes de retirarlo. En algunos casos conviene que la autoridad intervenga con el dispositivo en el lugar.
• Preserve la cadena de custodia. Si se retira, que lo haga una persona designada, con registro de quién lo manipuló, cómo se embaló y a quién se entregó.
• Asuma que puede haber más de uno. Quien tuvo acceso para instalar un dispositivo pudo instalar otros, también en vehículos, domicilios o equipos.
• Reconstruya el acceso: registros de visitas, control de acceso, grabaciones de CCTV, órdenes de trabajo de proveedores.
• Evalúe la información comprometida: qué se trató en ese ambiente desde la fecha probable de instalación y a quién podría servirle.

¿Qué dice la ley peruana sobre micrófonos y dispositivos ocultos?

La Constitución Política del Perú, en su artículo 2, inciso 10, reconoce el derecho al secreto y a la inviolabilidad de las comunicaciones y documentos privados, y establece que solo pueden ser intervenidos por mandamiento motivado del juez. El Código Penal desarrolla esa protección en varios tipos penales:

• Artículo 162, interferencia telefónica. Sanciona a quien, indebidamente, interviene, interfiere o escucha una conversación telefónica o similar. El Decreto Legislativo 1182 fijó para este delito una pena privativa de libertad no menor de cinco ni mayor de diez años, con agravantes.
• Artículo 162-A. Incorporado por el mismo Decreto Legislativo 1182, sanciona a quien fabrica, adquiere, introduce al territorio nacional, posee o comercializa equipos o software destinados a ese fin ilegal.
• Artículo 162-B. Incorporado por el Decreto Legislativo 1234, sanciona la interferencia indebida de comunicaciones electrónicas, de mensajería instantánea y similares.
• Artículo 154, violación de la intimidad. Sanciona a quien viola la intimidad de la vida personal o familiar observando, escuchando o registrando un hecho, palabra, escrito o imagen mediante instrumentos o procesos técnicos (Código Penal). Según el artículo 158, modificado por la Ley 30171, los delitos de ese capítulo se persiguen por acción privada, salvo las excepciones que la norma señala.
• Ley 30096, de Delitos Informáticos. Su artículo 7, en la redacción de la Ley 30171, sanciona la interceptación deliberada e ilegítima de datos informáticos en transmisiones no públicas, relevante cuando la vigilancia se hizo a través de equipos o redes.

El tipo penal depende de los hechos, y con él la vía: los delitos de acción pública se denuncian ante la Policía Nacional o el Ministerio Público; en los de acción privada es el agraviado quien promueve el proceso. Esa calificación corresponde a su abogado; consúltelo antes de mover el dispositivo.

El barrido, en cambio, es una medida defensiva: se realiza en instalaciones y vehículos propios o bajo control legítimo de quien lo solicita, con su autorización y sin acceder al contenido de ninguna comunicación.

Checklist: qué puede revisar usted y qué requiere un especialista

¿Cada cuánto conviene hacer un barrido electrónico?

No existe una frecuencia universal. El control RA-6 de NIST SP 800-53 deja que cada organización defina en qué lugares aplicar la revisión y si la hace con una periodicidad fija, cuando ocurren determinados eventos o indicadores, o de ambas formas. Es el criterio correcto: la frecuencia se decide por riesgo, no por calendario.

En la práctica, los momentos que justifican un barrido son:

• antes de sesiones de directorio con decisiones estratégicas, financieras o societarias;
• antes de negociaciones, licitaciones, fusiones o adquisiciones relevantes;
• después de remodelaciones, mantenimientos o trabajos de terceros en salas sensibles;
• después de la salida conflictiva de personal con acceso a esos ambientes;
• cuando aparece una fuga de información sin explicación;
• en vehículos de directivos, después de que hayan quedado en manos de terceros.

Un barrido refleja el estado de los ambientes en el momento de la inspección. Lo que mantiene ese estado es el control de acceso a las salas, la gestión de visitas y proveedores, y reuniones sensibles sin teléfonos en la mesa. Si sus directivos tienen alta exposición pública, conviene revisar qué se sabe de ellos en fuentes abiertas con un estudio de OSINT y exposición digital, porque esa información facilita planificar una instalación.

Cuándo pedir un barrido profesional

Si reconoce varias de estas señales o necesita confirmar que una sala está limpia antes de una reunión crítica, lo prudente es un barrido profesional, no una búsqueda por cuenta propia. STRATON realiza barridos electrónicos (TSCM) en oficinas, salas de directorio y vehículos, con informe reservado y recomendaciones. Coordine el primer contacto desde un teléfono y un lugar ajenos a los ambientes que quiere revisar.