Investigación revela uso masivo del espía Pegasus contra políticos, periodistas y activistas

Una investigación coordinada por diecisiete medios de comunicación internacionales sacó a la luz el alcance masivo de una operación de vigilancia digital que se extiende por más de cincuenta países. Los reporteros lograron identificar a más de mil personas cuyos números telefónicos aparecían en una lista de cincuenta mil contactos, todos ellos marcados como objetivos de interés para los clientes de NSO Group, la empresa israelí que fabrica y comercializa el software espía Pegasus.

La investigación, publicada el domingo y coordinada por la organización periodística sin fines de lucro Forbidden Stories junto con Amnistía Internacional, reveló que Pegasus —un programa diseñado oficialmente para que los gobiernos rastrearan a terroristas y criminales de alto nivel— fue utilizado en realidad para infiltrarse en los teléfonos inteligentes de periodistas, activistas de derechos humanos, ejecutivos empresariales y políticos de alto rango. Entre los medios que participaron en la investigación figuraban The Washington Post, The Guardian, Le Monde, CNN, Associated Press, The New York Times, The Wall Street Journal, Bloomberg News, Financial Times y Al Jazeera, entre otros.

Los números en la lista, que data de 2016, no llevaban identificación de quién los había agregado, pero el análisis forense de treinta y siete teléfonos inteligentes mostró un patrón inquietante: en muchos casos, la marca de tiempo del número en la lista coincidía estrechamente con el inicio de la vigilancia, a veces con apenas unos segundos de diferencia. De esos treinta y siete dispositivos analizados, veintitrés fueron hackeados exitosamente y catorce mostraron signos de intentos de infiltración fallidos. Aunque no está claro cuántos de los cincuenta mil números fueron efectivamente comprometidos, los hallazgos sugieren una operación sistemática y a gran escala.

Entre los objetivos identificados había miembros de la familia real de Arabia Saudita, sesenta y cinco ejecutivos de negocios, ochenta y cinco activistas de derechos humanos, ciento ochenta y nueve periodistas, varios jefes de Estado y primeros ministros, y más de seiscientos políticos y funcionarios gubernamentales que incluían ministros de gabinete, diplomáticos y oficiales militares y de seguridad. La investigación también identificó dos mujeres cercanas al periodista saudita Jamal Khashoggi, quien fue asesinado en 2018. Los números se concentraban desproporcionadamente en diez países: Azerbaiyán, Baréin, Hungría, India, Kazajistán, México, Marruecos, Ruanda, Arabia Saudita y los Emiratos Árabes Unidos, todos ellos clientes confirmados de NSO Group.

Pegasus funciona como un programa de vigilancia de capacidad total. Una vez instalado en un teléfono, puede extraer toda la información almacenada en el dispositivo: nombres y números de contactos, mensajes de texto, comunicaciones en redes sociales, correos electrónicos, datos de ubicación y registros de llamadas. El software también puede activar remotamente la cámara y el micrófono del teléfono, convirtiendo el dispositivo en un dispositivo de vigilancia completo. Típicamente, Pegasus se instala cuando una víctima hace clic en un enlace trampa, pero en versiones más sofisticadas puede infiltrarse sin intervención del usuario, una técnica conocida como ataque de "cero clics".

NSO Group respondió a la investigación negando categóricamente las acusaciones. La empresa declaró que las reportajes contenían "teorías no corroboradas" que cuestionaban la confiabilidad de las fuentes y la base de la investigación. Según la compañía, NSO Group no opera los sistemas que vende a sus clientes gubernamentales, no tiene acceso a los datos de los objetivos de vigilancia, y no recopila ni posee información alguna de sus clientes. La empresa se negó a revelar la identidad de los compradores de Pegasus, argumentando consideraciones contractuales y de seguridad nacional. NSO Group también afirmó que su misión es "salvar vidas" y que sus tecnologías han ayudado a prevenir ataques terroristas, violencia armada y otros delitos graves. La compañía se comprometió a investigar todas las denuncias creíbles de uso indebido y a tomar medidas apropiadas, incluyendo la desactivación de clientes del sistema si se comprueba abuso.

La brecha entre la intención declarada de Pegasus —una herramienta para combatir el terrorismo— y su uso documentado contra periodistas, activistas y políticos plantea preguntas fundamentales sobre la supervisión de la tecnología de vigilancia y la responsabilidad de las empresas que la comercializan. La investigación sugiere que una vez que estas herramientas se venden a gobiernos, poco se puede hacer para controlar cómo se utilizan realmente.