El mundo espía de “Pegasus”: Todos los líos y el gran negocio de la célebre arma israelí de ciberinteligencia

Por Sal Emergui

Todos los líos y el gran negocio de la célebre arma israelí de ciberinteligencia que entra en los móviles.  La empresa responde en ‘Crónica’ a las acusaciones de que países que compraron su software no lo usan sólo contra el terrorismo. El Gobierno polaco acaba de hacerlo. Espían con él a activistas y periodistas.

Pocas veces un producto invisible ha sido tan visible. Pocas veces un programa de software tan beneficioso para su creador acaba siendo tan perjudicial para su imagen. En resumen, Pegasus.

El sofisticado ciberespía que desnuda teléfonos móviles es la criatura más famosa de la empresa israelí NSO y ha convertido a sus padres en seres muy solicitados por los servicios de Inteligencia de decenas de países, pero también les ha colocado bajo la lupa de Estados Unidos y la demanda de Apple.

Pegasus penetra en el smartphone, lo controla a distancia (activación de su cámara o grabación de conversaciones) y recoge toda su información (mensajes, llamadas, contactos…) repartida en tres espacios: voz, Data y ubicación. El usuario no sabe que le tiene localizado y le vigila desde su aparato más íntimo. Se trata, al parecer, de un programa intruso sin clic que no necesita la apertura de un link para instalarse en el móvil. Es como tener un espía invisible en tu dormitorio sin que hayas abierto la puerta.

«Gracias a Pegasus se abortaron numerosos atentados terroristas y durante la pandemia se desbarató una gran red de pedofilia en Europa», indican a Crónica en la sede central de NSO en la ciudad israelí de Herzliya. Sólo venden a países y sólo para combatir la delincuencia y terrorismo internacional, aclaran. Pero como cualquier moneda, Pegasus tiene dos caras. La que puede luchar contra delincuentes y terroristas y la que puede espiar a opositores, activistas de derechos humanos y periodistas.

«En el Proyecto Pegasus que publicaron 16 medios en julio se habló de una lista de 50.000 números de teléfonos que pueden ser de interés potencial para los clientes de NSO. Pero esto no quiere decir que hubo 50.000 objetivos. El sistema está diseñado para que el cliente tenga sólo un número muy limitado de lo que puede considerarse objetivo», replica una importante fuente de NSO.

Esta compañía de ciberseguridad atiende por primera vez a un medio español para responder a las acusaciones que proyectan sombras sobre Pegasus y hacen temblar los cimientos de la empresa. Con cerca de 800 empleados, NSO dispone también de una oficina en Tel Aviv y un centro de desarrollo de sistemas antidrones (se hacen con el control del artefacto si es «hostil») en el desierto en el sur de Israel.

Quién se lo iba a decir en el 2010 a Niv Carmi, Shalev Hulio y Omri Lavie cuando crearon NSO. La compañía, que lleva las iniciales de sus fundadores, se levantó sobre el concepto de lo que sería Pegasus. Como muchas ideas, nació de la necesidad.

Antes de NSO, Hulio y Lavie, dos viejos amigos de infancia en Haifa, ofrecían un servicio con mucha demanda en los inicios de la era de los smartphones: penetrar en el aparato para explicar sus funciones al usuario y solucionar fallos. Un servicio secreto europeo quedó impresionado y llamó a Hulio interesado en aplicar esa tecnología para tareas de Inteligencia al no poder acceder a conversaciones blindadas y codificadas de sospechosos en sistemas de mensajería y aplicaciones. Esa fue la semilla de NSO. Hulio es el CEO de la empresa cibernética sin haber tenido formación tecnológica, a diferencia de muchos emprendedores israelíes salidos de la Unidad 8200 de la Inteligencia del Ejército. De hecho, realizó el servicio mi cotraficante El Chapo Guzmán. Por otro lado, según la investigación del Proyecto Pegasus, el número del móvil del reportero mexicano Cecilio Pineda Brito, asesinado en 2017, había sido seleccionado como «posible objetivo de vigilancia por parte de un cliente mexicano de la empresa de spyware NSO Group».

El precio de este sistema de ciberataque varía en función de los objetivos y duración del contrato. «Hay países que compraron por un millón de dólares y otros por 50 millones», revelan en la empresa que necesita el permiso del ministerio de Defensa, primero para iniciar los contactos con un cliente potencial y después, para vender a un país, siempre y cuando sepa qué organismo lo usará.

—Ustedes dicen que Pegasus es usado por el cliente, pero ¿no hacen nada si lo utiliza también para espiar a un periodista?

—En el contrato está especificado que si el cliente lo usa de forma indebida, por ejemplo contra un activista de derechos humanos, de forma inmediata le cerramos el sistema.

—¿España lo adquirió? Informaciones en 2019 señalaron que el presidente del Parlament de Cataluña, Roger Torrent, fue un objetivo de Pegasus.

—No puedo hablar de clientes específicos. Por contrato y regulación no podemos confirmar ni desmentir que un país sea o no sea nuestro cliente.

Eso sí, realiza una excepción al negar que Arabia Saudí sea hoy su cliente. No es casual, ya que la denuncia más grave giró en torno a Jamal Khashoggi. El 2 de octubre del 2018, este periodista saudí crítico con el príncipe heredero Mohamed Bin Salman fue brutalmente asesinado en la embajada saudí en Estambul. Varias informaciones indicaron que Riad le espió recurriendo también a Pegasus. «Tras el terrible asesinato y las acusaciones, iniciamos una exhaustiva investigación que demostró que el sistema no se instaló en el móvil de Khashoggi. Arabia Saudí no lo necesitaba para saber que le criticaba ni su ubicación cuando él mismo llegó a la embajada», dicen en NSO.

Hace dos meses, el Departamento de Comercio estadounidense incluyó la empresa en su lista negra alegando que Pegasus fue usado por gobiernos extranjeros como herramienta para seguir a disidentes, periodistas y activistas. Si no revierte la decisión, quizá NSO deba plantearse cerrar el departamento de Pegasus y centrarse en ciberdefensa.

El Annus Horribilis de NSO se completó en diciembre cuando el Washington Post reveló que el sistema fue hallado en los móviles de varios diplomáticos estadounidenses con base en Uganda. La empresa reaccionó anunciando el cierre inmediato de su sistema para «clientes potencialmente relevantes en este caso». NSO niega que fuera usado para espiar al presidente Emmanuel Macron. «No sé si había otros programas de otras empresas pero Macron nunca fue objetivo de Pegasus», responden a Crónica. La última denuncia de Citizen Lab se refiere al espionaje de más de 20 periodistas en El Salvador. Israel ha endurecido los criterios para la venta de productos cibernéticos consciente del daño que puede causarle Pegasus que sirvió en el pasado como tarjeta de presentación para crear alianzas con otros países. El nombre de Pegasus es un guiño al caballo de Zeus, pero parece más el caballo de Troya del siglo XXI.