MENÚ
Pegasus es un nombre muy conocido dentro del mundo de la ciberseguridad porque todo aquel que trabaje en este campo sabe que se trata de un programa de espionaje muy potente y muy difícil de combatir, ya que se instala de forma secreta en teléfonos móviles para poder acceder a toda la información guardada en ellos e incluso controlar sus funciones. Una vez infectado el dispositivo, es muy complicado de detectar porque los propietarios no notan cambios en su funcionamiento, pero este puede llegar a leer conversaciones, activar el micrófono o la cámara o rastrear una ubicación.
Una investigación internacional de casi veinte medios y organizaciones de derechos humanos destapó que al menos una decena de gobiernos lo ha utilizado para espiar a activistas y periodistas. Entre ellos, también a políticos independentistas catalanes con cargos en la Generalitat, el Parlament o el Parlamento Europeo. En mayo de 2021, el Gobierno de España anunció que también el presidente, Pedro Sánchez, y la ministra de Defensa, Margarita Robles, habían sido víctimas de este programa de espionaje.* A octubre de 2023, la investigación sigue abierta y elDiario.es ha publicado que se ha admitido la querella del president de la Generalitat, Pere Aragonès, y que la exdirectora del Centro Nacional de Inteligencia (CNI) Paz Esteban ha sido declarada a citar como imputada.**
¿Qué es y qué puede hacer Pegasus en el móvil de una víctima?
Pegasus entra dentro de la familia de malware conocida como spyware: programas maliciosos espías que se utilizan para monitorizar y controlar un dispositivo. Se cuelan en los móviles y los ordenadores como muchos otros malware, es decir, engañando a los usuarios para que hagan clic en un enlace que no deben o incluso, como es el caso de Pegasus, aprovechando vulnerabilidades en aplicaciones como WhatsApp para instalar el virus directamente, sin que se percate el usuario. Aprovechar brechas de las cuales la empresa no tiene constancia que existan, como ocurrió en el caso de WhatsApp, es lo que se llama en inglés un ataque zero day.
Por añadir otro concepto a la lista, el uso de Pegasus también se caracteriza por aprovecharse de vulnerabilidades conocidas como zero-click. ¿Qué significa este concepto en concreto? Que para que el spyware entre en un dispositivo no hace falta que la persona afectada haga clic en un enlace ni realice ninguna otra acción. Esto hace que el programa sea muy difícil de detectar.
Una vez instalado, es capaz de acceder a la memoria del teléfono para comprobar sus archivos y los programas que tenga instalado en él, extraer estos datos y enviarlos directamente a los servidores del cliente que lo haya contratado. ¿Datos como cuáles? Todos los que pueda obtener a partir de distintas acciones: activar la cámara y/o el micrófono, consultar la geolocalización del dispositivo, consultar mensajes de texto, del correo o de redes de mensajería, comprobar y escuchar las llamadas o los contactos, entre otras cosas.
¿Quién ha producido Pegasus y quién puede usarlo?
Sí, Pegasus se contrata. La empresa que ha diseñado y vende este programa de espionaje es la israelí NSO Group, otro nombre que cualquiera que esté familiarizado con la seguridad informática conoce. Según han relatado medios de varios países en múltiples ocasiones, esta compañía siempre asegura que solo lo vende para que los servicios de inteligencia de los países lo utilicen contra criminales y terroristas, pero en más de una ocasión se ha demostrado que las víctimas no encajan en ese perfil.
Que este software solo puedan adquirirlo (en teoría) las unidades de inteligencia de un país o, por ende, sus gobiernos se debe a que es un programa muy sofisticado que todavía no se sabe cómo combatir una vez está dentro de un móvil. Como decíamos un poco más arriba, permite acceder a los mensajes de texto, las llamadas, escucharlas cuando se producen, activar la cámara o el micrófono según necesidad y saber la localización de la persona que lleva el móvil, entre otras cosas, pero pasando desapercibido en el transcurso.
¿Contra quién se ha utilizado?
El nombre de Pegasus lleva resonando años en los medios y en los grupos de ciberseguridad por haberse usado contra figuras públicas. Un ejemplo es el el fundador de Amazon, Jeff Bezos. Entonces, se usó este malware para infectar el móvil del multimillionario valiéndose únicamente de un vídeo mandado a través de WhatsApp.
Una de las investigaciones más extensas llevadas a cabo sobre Pegasus, el Pegasus Project, ha revelado que los gobiernos de al menos diez países han utilizado este software espía contra periodistas, activistas y defensores de derechos humanos. En ella han participado 17 medios de comunicación y dos organizaciones sin ánimo de lucro: Amnistía Internacional y Forbidden Stories.
Estos han accedido a una base de datos filtrada que contiene miles de números de teléfono que clientes de NSO Group habrían seleccionado como potenciales blancos. Entre ellos, figuran periodistas, activistas o abogados dedicados a casos de derechos humanos.
"Pegasus Project documenta que, si bien NSO Group promueve Pegasus como una herramienta eficiente para combatir los delitos graves o el terrorismo, algunos gobiernos lo han usado para espiar a voces críticas o incómodas, entre ellos periodistas, defensores de derechos humanos, sindicalistas, activistas, abogados, empresarios, jueces, sacerdotes y opositores políticos de primer nivel", expone Proceso, uno de los medios que participó en la investigación.
¿A quién ha afectado en España?
También en España ha habido ataques con Pegasus: elDiario.es y El País contaron en 2020 que políticos catalanes, entre ellos el expresidente del Parlament Roger Torrent, habían sido espiados con este programa informático.
En abril de 2022, se conoce que el caso de la infección de los móviles de políticos catalanes independentistas y allegados va más allá. El laboratorio Citizen Lab de la Universidad de Toronto, el principal centro de investigación de las infecciones de móviles con Pegasus, lanzó entonces los resultados de un informe propio sobre el ciberespionaje realizado contra al menos 63 políticos catalanes independentistas y dos vascos. Entre ellos, todos los presidentes de la Generalitat desde 2010, eurodiputados, presidentes del Parlament, pero también miembros de la sociedad civil que apoyan la independencia de Cataluña. *
Poco después de que se dieran a conocer los resultados de la investigación de Citizen Lab, en mayo de 2022, el ministro de la Presidencia, Félix Bolaños, anunció en una rueda de prensa que los móviles del presidente del Gobierno, Pedro Sánchez, y la ministra de Defensa, Margarita Robles, habían sido infectados con Pegasus. "Se han producido dos intrusiones en el móvil del presidente en mayo de 2021 y una intrusión en el móvil de la ministra en junio de 2021", explicó, según un informe elaborado por el Centro Criptológico Nacional (CCN).
¿Quién utiliza Pegasus?
Según las investigaciones del Pegasus Project, entre los clientes destapados por la investigación están los gobiernos de México, Azerbaiyán, Kazakistán, Hungría, India, los Emiratos Árabes Unidos, Arabia Saudí, Baréin, Marruecos y Ruanda. Estos gobiernos habrían utilizado el spyware contra periodistas, políticos y miembros de la sociedad civil de sus países o de terceros.
Por el momento, en el caso de España, el Gobierno dice no conocer el origen de la infección de los móviles de Sánchez y Robles y niega que el CNI haya conducido el ciberespionaje contra los políticos catalanes independentistas.
* Hemos actualizado este artículo el 19 de abril de 2022 para hacer referencia a la investigación de Citizen Lab.
* Hemos actualizado este artículo el 3 de mayo de 2022 para incluir las revelaciones sobre la infección de los móviles del presidente de España y la ministra de Defensa.
** Hemos actualizado este artículo el 16 de octubre de 2023 para incluir avances en la investigación.
Primera fecha de publicación de este artículo: 19/07/2021
