Viajes y cruces de fronteras — pila de privacidad

Qué hacen realmente los agentes fronterizos

La inspección fronteriza de dispositivos digitales es ya práctica habitual en la mayoría de jurisdicciones con aduanas informatizadas. Concretamente, los agentes pueden:

• Hojear visualmente — abrir la galería, mensajes recientes, pestañas del navegador, apps instaladas. Barato, frecuente, sin rastro.
• Extracción forense — conectar el teléfono a Cellebrite / Grayshift / MSAB que vuelca todo lo accesible sin el código y luego rompe offline lo que no. Habitual en inspección secundaria en EE. UU., Reino Unido, Australia y Canadá; usado ampliamente en otros lugares.
• Recuperación en la nube — extraer lo guardado en tus cuentas (iCloud, Google) una vez tienen el dispositivo. La nube no está protegida por el código del dispositivo.
• Retener el dispositivo — quedárselo días o semanas para procesarlo forensemente mientras tú continúas el viaje sin él.

La defensa no es "no tengo nada que ocultar." La defensa es no tenerlo en el dispositivo que cruza la frontera. Esa es la forma entera de esta guía.

El dispositivo frío de viaje

La jugada más fuerte es la más simple: viaja con un dispositivo distinto al que usas a diario. Un dispositivo frío es:

• Un teléfono físicamente separado (Android reciente barato o un segundo iPhone), configurado desde cero, con las apps mínimas que necesites — mapas, taxi, hotel/aerolínea, una mensajería, opcionalmente una billetera sin KYC para gastar.
• O un portátil aparte — instalación limpia, sin archivos de trabajo, sin sesiones guardadas, sin bandeja de entrada. Un ThinkPad de segunda mano con Linux es opción de presupuesto; un Chromebook en modo invitado también.
• Con sesión en una identidad separada — Apple ID / cuenta Google / handle Matrix distinto del diario, sin contactos ni historial vinculados.
• Difícil de asociar — comprado fuera de tu rastro de facturación si es posible (en efectivo en cadena, reacondicionado en un mercado sin cuenta).

El dispositivo frío existe para que la inspección encuentre apps de viaje aburridas y nada más. Todo lo que realmente importa — correo del trabajo, el hilo con tu editor, las billeteras con saldo, la foto de tu hijo — se queda en un dispositivo que no entró en la zona de inspección.

Patrón copia-y-borrado

Si tienes que viajar con tu dispositivo real (la mayoría), el patrón con mejor seguridad por minuto es:

1. Copia cifrada completa antes de partir — Time Machine a un disco externo cifrado, borg / restic a un remoto cifrado, Signal "Configurar nuevo dispositivo" + borrar el antiguo, copia de iCloud con Protección de datos avanzada activada, "Transferir a un nuevo teléfono" de Google cuando tengas la nueva SIM.
2. Verifica que la copia restaura — intenta restaurar en un dispositivo o partición de prueba. Las copias no probadas son deseo.
3. Borra antes de cruzar — reset de fábrica, vuelve a iniciar sesión solo con lo mínimo: app de la aerolínea, app del hotel, una mensajería, una billetera, un mapa. Cruza la frontera con dispositivo limpio.
4. Restaura después del viaje — una vez pasada la inspección y en una red de confianza, restaura desde la copia o recupera el original del remoto cifrado.

El patrón funciona porque la mayoría de las inspecciones miran qué hay en el dispositivo, no en la copia en la nube. La copia en la nube también puede alcanzarse por subpoena, pero eso requiere proceso legal — no 20 minutos hojeando en un mostrador. La asimetría es el punto.

eSIM vs SIM física

Sea cual sea la elección, el objetivo es el mismo: que el rastro de facturación de tu operador de origen no te siga a la sesión de datos extranjera. Compara:

• SIM física de viaje — comprada en un quiosco al llegar o pedida con antelación. El operador local ve qué haces; el de origen no. Fácil de mover entre dispositivos; fácil de desechar al final. Inconveniente: las bandejas físicas filtran. Aduanas pueden sacar la SIM en inspección; teléfono perdido/robado se lleva la SIM.
• eSIM (con nombre real) — activada por app, facturada en tu cuenta con nombre real en un marketplace global de eSIM. Cómoda. Peor propiedad de privacidad: ata la sesión extranjera a una identidad conocida.
• eSIM (pagada en XMR, sin KYC) — servicios como Cypher eSIM aceptan Monero y emiten la activación sin atarla a tu identidad de facturación. Lo más cercano a "SIM desechable" en formato eSIM. Si no tienes XMR para pagar, ver cómo comprar Monero sin KYC.
• Hotspot desde el plan de un amigo — no es realmente privado (tu amigo aparece en tu sesión de viaje) y suele ser una forma fiscal que la compañía de tu amigo terminará notando.

Para la mayoría de viajes: eSIM en XMR si la hay en el destino, SIM física local si no. La SIM de casa se queda en un cajón, apagada.

Rechazo legal a desbloquear

Esta parte depende íntegramente de dónde estés. Trata lo siguiente como un esbozo, no como consejo legal — verifica la ley para la frontera concreta que cruzas.

• Estados Unidos (ciudadanos) — CBP afirma autoridad para exigir desbloqueo en frontera sin orden. La negativa no puede conllevar denegación de entrada para un ciudadano, pero el dispositivo puede ser retenido para procesamiento forense. Negarse al desbloqueo biométrico es más defendible legalmente que negarse a un código en gran parte de la jurisprudencia estadounidense a mediados de 2026.
• Estados Unidos (no-ciudadanos) — La negativa puede causar denegación de entrada, revocación de visado o ser devuelto. El cálculo legal es radicalmente distinto.
• Reino Unido — La Sección 49 de RIPA puede compeler a revelar el código; negarse es por sí mismo un delito con hasta dos años de prisión. UK es el régimen más fuerte de "debes desbloquear" del mundo anglosajón.
• Unión Europea — Varía por estado miembro. Francia, Alemania, Países Bajos tienen jurisprudencia específica; algunos exigen orden judicial para extracción forense en aeropuertos, otros no.
• Regímenes autoritarios — Da por hecho que cualquier negativa será tratada como conducta sospechosa. Ahí el patrón de dispositivo frío es lo más importante.

Significa en la práctica: la palanca del rechazo legal es real pero depende de jurisdicción y es asimétrica para no-ciudadanos. No planifiques un viaje en torno a ella. Planifica en torno a no tener nada sensible en el dispositivo que cruza la frontera, y deja el rechazo legal como salvavidas, no como defensa principal.

Wi-Fi de hotel, cargadores de aeropuerto, USB público

Tres amenazas distintas que la mayoría de guías agrupan en el mismo párrafo. En realidad son distintas:

• Wi-Fi de hotel y aeropuerto — portales cautivos, a veces creación obligatoria de cuenta, a veces inspección profunda de paquetes. Defensa simple: cliente VPN que arranca antes que cualquier navegador, kill switch que corta el tráfico si cae el túnel. Elige uno de mejor VPN sin KYC; actívalo antes de conectarte.
• Carga USB pública (alias "juice jacking") — sobredimensionada por la prensa. iOS y Android modernos rechazan handshakes de datos desde un cargador por defecto; debes aprobar manualmente "Confiar en este dispositivo." El riesgo real es un cable malicioso, no un enchufe malicioso. Defensa barata: llevar tu propio USB-C, o un bloqueador de datos USB. No tomes prestado cables a desconocidos, ni en salas VIP.
• Ethernet del hotel y puertos de TV — casi nunca son superficie útil de amenaza para viajeros; está aquí solo porque las guías lo mencionan. Saltar.

Las defensas caras (bolsas Faraday, rotación diaria, router de viaje dedicado) son apropiadas para viaje de alta asimetría — periodismo de investigación, activismo disidente, investigación de seguridad en lugares hostiles. Para viaje rutinario son teatro. Dispositivo frío + VPN-al-arranque + cable propio cubren al atacante realista del percentil 95.

Reset post-viaje

El viaje termina. Ahora:

1. Desconéctate de redes extranjeras antes de volver a tu pila de casa — cambia el exit del VPN, borra SSID recordados del viaje, cierra sesión en la mensajería de viaje si usaste una.
2. Audita las apps instaladas — cualquier cosa que instalaste "solo para entrar al Wi-Fi del hotel" o "para pagar este taxi" debe salir. Las tiendas filtran metadatos incluso tras desinstalar; eso no se arregla retroactivamente, pero corta el sangrado.
3. Rota credenciales sensibles — todo lo que usaste sobre red desconocida con protocolos no E2E. Contraseñas de correo, logins de intercambios, lo que escribiste en aquel ordenador del hotel.
4. Borra el dispositivo frío o guárdalo apagado — si llevaste un teléfono dedicado, hazle reset de fábrica ahora con todo fresco y guárdalo en el cajón hasta el próximo viaje.
5. Restaura desde la copia si usaste copia-y-borrado — y verifica que la restauración volvió limpia.

Qué NO vale la pena hacer

Cosas que las guías repiten sin examinar:

• Bolsas Faraday para viaje diario — útiles solo si tu modelo de amenaza incluye IMSI catchers o rastreo celular encubierto en lugar concreto. Para aeropuerto-a-hotel rutinario, apagar el botón vale.
• "Burners" comprados sin pensar — un Android desbloqueado de 40 USD logueado en tu cuenta Google diaria no es un burner — es solo un teléfono peor. Lo que importa es la identidad detrás del dispositivo, no la etiqueta de precio.
• Hardening agresivo de OS en un dispositivo que no entiendes — GrapheneOS en Pixel es excelente si sabes administrarlo. Un dispositivo mal configurado que te bloquee en un mostrador de aduanas es peor que uno por defecto que puedas desbloquear.
• Negarse a hacer copia — la paranoia sobre subpoenas en la nube lleva a saltarse las copias. Estadísticamente, perder/robar el dispositivo es más probable que tu nube específica sea subpoena'd. Copia cifrada vence a sin copia.

Véase también

• Mejor VPN sin KYC — la lista corta de VPN que tu dispositivo de viaje debe usar antes que nada.
• Elegir email sin KYC — para la bandeja de entrada de viaje en el dispositivo frío.
• Almacenamiento en frío de Monero — lo que se queda en casa, no en la frontera.
• Telegram opsec — si Telegram es tu mensajería de viaje, los modos de fallo que necesitas conocer.
• Modelos de amenaza de privacidad — calibra el resto de tu pila al adversario que realmente enfrentas.