Lo que nos cuentan las últimas filtraciones del software espía de Pegasus

Por Luis Domenech / Julio 19, 2021

Nuevos documentos filtrados muestran que los periodistas y activistas están siendo vigilados utilizando las herramientas creadas por la secreta compañía de seguridad israelí NSO.

Durante el fin de semana, un consorcio de medios de comunicación internacionales encabezados por The Guardian, The Washington Post y otras 15 organizaciones de medios entre los que se encuentra El País, publicaron los hallazgos de una investigación sobre el uso de Pegasus, el producto de software espía más importante de la secreta compañía israelí de vigilancia, con una facturación de miles de millones de dólares, NSO Group.

Los informes se basan en una filtración de decenas de miles de números de teléfono que parecen haber sido atacados por Pegasus. Si bien los dispositivos asociados con los números de la lista no estaban necesariamente infectados con el software espía, los medios pudieron usar los datos para establecer que periodistas y activistas en muchos países fueron atacados y, en algunos casos, pirateados con éxito.

Las filtraciones indican el alcance de lo que los reporteros y expertos en ciberseguridad llevan contando durante años: que mientras NSO Group afirma que su software espía está diseñado para atacar a criminales y terroristas, sus aplicaciones reales son mucho más amplias. (La compañía emitió una declaración en respuesta a la investigación, negando que sus datos se filtraron y que cualquiera de los informes resultantes fueran ciertos).

A NSO Group, que “se la ha relacionado con casos que incluyen el asesinato del periodista saudí Jamal Khashoggi, el ataque de científicos y activistas que presionan por una reforma política en México y vigilancia gubernamental de los políticos separatistas catalanes ”, según escribió Patrick Howell O´Neill en agosto de 2020. En el pasado, NSO ha negado estas acusaciones, pero también ha argumentado de manera más amplia que no se le puede responsabilizar si los gobiernos hacen un mal uso de la tecnología que les vende.

La empresa utiliza un argumentario para negar las acusaciones "que es común entre los fabricantes de armas". A saber: "La empresa es el creador de una tecnología que utilizan los gobiernos, pero no ataca a nadie por sí misma, por lo que no puede ser considerada responsable".

Según informa MIT Tecnology Review, las fugas son una herramienta importante para comprender la forma en que se usa Pegasus, en parte porque es muy difícil para los investigadores detectar el software cuando está en los dispositivos. En marzo, un investigador del Citizen Lab, organismo de control de ciberseguridad, que se ha centrado en estudiar el software, explicó cómo las medidas de alta seguridad de Apple habían permitido a NSO violar la seguridad del iPhone pero bloquear a los investigadores.

"Es un arma de doble filo", le dijo a MIT Tech. Rew. Bill Marczak, investigador principal de Citizen Lab. “Vas a mantener alejada a gran parte de la gentuza haciendo que sea más difícil romper los iPhones. Pero el 1% de los principales piratas informáticos van a encontrar una forma de entrar y, una vez que estén dentro, la fortaleza impenetrable del iPhone los protegerá a ellos".

No es la primera vez que NSO se ve envuelta en una controversia. Actualmente, Facebook está demandando a la compañía por acusaciones de que Pegasus manipuló la infraestructura de WhatsApp para infectar más de 1.400 teléfonos celulares. Facebook ha dicho en documentos judiciales que su propia investigación ha identificado a más de 100 defensores de los derechos humanos, periodistas y figuras públicas blanco de Pegasus.

Shalev Hulio, CEO de NSO Group

En agosto pasado, el director ejecutivo y cofundador de NSO Group, Shalev Hulio, dijo a MIT Technology Review que sabía que su empresa había sido "acusada, con buenas razones, de no ser lo suficientemente transparente" y que su industria debería ser más responsable de su secreto, especialmente porque sus métodos se vuelven más difíciles de detectar por investigadores y expertos guardianes externos.

Como señala el Post, NSO Group no proporciona detalles sobre sus clientes, citando la confidencialidad. Hace dos semanas, la empresa publicó su primer “Informe de transparencia y rendición de cuentas”, donde reveló que tiene 60 clientes en 40 países, entre ellos está España que lo es desde 2015, según informa la revista VICE, que se basa en las revelaciones de un ex trabajador de la empresa israelí que prefiere mantener el anonimato, y que afirma que fue el Centro Nacional de Inteligencia (CNI) quien llevó a cabo la contratación del programa. La mayoría de los clientes son agencias de inteligencia o fuerzas del orden, que utilizan las herramientas de la empresa para elegir un objetivo humano, infectar el teléfono de la persona con el software espía y luego apoderarse del dispositivo. Una vez que Pegasus está en su teléfono, ya no es su teléfono.

Tanto The Guardian como El País, revelaron que el Presidente del Parlamento Catalán Roger Torrent había sido víctima entre Abril y Mayo de 2020 de la intervención de su teléfono, Así como lo fueron la ex-diputada Anna Gabriel, Ernest Maragall, el activista de la ANC Jordi Domingo y según cuenta Diario.es  el consejero Jordi Puigneró y el director técnico de la Casa de la República Sergi Miquel. La fuente de la información también cuenta que "el cliente había desbloqueado la posibilidad de usar el programa fuera de la frontera española, en concreto en Francia, Malta y México".

La revista VICE afirma que no tiene pruebas suficientes para afirmar que el Gobierno Español esté detrás de la contratación del programa para perseguir independentistas, algo que este niega, pero que de confirmarse la noticia, el caso español sería el primero conocido de un gobierno europeo que utiliza software espía contra políticos dentro de Europa.

La Vanguardia nos cuenta que los frentes abiertos contra NSO Group son muchos, Facebook y WhatsApp la han denunciado, por haber usado agujeros de seguridad en sus plataformas para que Pegasus accediera a los teléfonos que usan ese servicio de mensajería, y un Juez de California está investigando esto.

Pero según el periodico alemán Die Zeit, el CEO de NSO Group, Shalev Hulio señaló que Facebook les consultó si podrían usar ciertas capacidades de Pegasus para espiar a todos los clientes que usan dispositivos Apple con fines publicitarios. Unas afirmaciones que, según el diario alemán, Facebook ha calificado como inexactas, toda vez que es llamativa esta revelación dado el énfasis que hace NSO en que no proporciona datos de sus clientes. Sin embargo, el dato mas importante que dio este ejecutivo a la revista alemana es otro, y es que "la empresa solo vende Pegasus si los clientes aceptan permitir que NSO documente su uso. Esto quiere decir que están al tanto de todas las personas que han sido investigadas mediante ese software de espionaje, pudiendo incluso NSO desconectar remotamente a Pegasus, algo que Shalev Hulio afirma ya se ha hecho en alguna ocasión". Dicho de otro modo: la empresa espía a los espías.

NSO vende Pegasus posicionándolo como una ayuda crucial en la búsqueda de terroristas y criminales. En una era de tecnología ubicua y cifrado sólido, este tipo de "piratería legal" ha surgido como una herramienta poderosa para la seguridad pública cuando las fuerzas del orden necesitan acceder a los datos. NSO insiste en que la gran mayoría de sus clientes son democracias europeas, aunque como no publica listas de clientes y los países mismos guardan silencio, eso nunca se ha podido verificar. También son clientes de NSO Group los  piratas informáticos que trabajan para agencias de espionaje; ¿Qué tan difícil sería para ellos manipular los registros? En un comunicado, la compañía insistió en que esto no es posible, pero se negó a ofrecer detalles.

Uno de los paises que usan Pegasus es Marruecos, que por ejemplo tiene un historial de derechos humanos cada vez peor, pero una larga historia de buena cooperación con Israel y Occidente en materia de seguridad, así como un verdadero problema de terrorismo, por lo que, según los informes, se aprobó una venta. Por el contrario, NSO ha dicho que China, Rusia, Irán, Cuba, Corea del Norte, Qatar y Turquía se encuentran entre las 21 naciones que nunca serán clientes.

Tal parece que la privacidad es la entelequia de hoy en día. Ya tendremos claro que somos objeto de espionaje y seguimiento, no solo de empresas con fines publicitarios o de otro sino, sino de agencias gubernamentales bajo el control de jueces o fuera de todo control con vaya usted a saber con que finalidad.

La piratería legal y el ciberespionaje han crecido enormemente como negocio durante la última década, sin signos de retroceso, pero como afirma la Subdirectora de Amnistía Internacional Danna Ingleton, "arrojar una luz mucho más brillante sobre la industria de la piratería, permitirá una mejor regulación y una mayor responsabilidad".