Pegasus y el software espía comercial: cómo funciona

Pegasus es un programa de vigilancia desarrollado por la empresa israelí NSO Group y vendido, según la propia compañía, exclusivamente a Gobiernos y agencias estatales para investigaciones de terrorismo y crimen organizado. Su relevancia pública procede de que, una vez instalado en un teléfono móvil, permite un acceso muy amplio al dispositivo, y de que se ha documentado su uso contra periodistas, abogados, activistas y políticos en distintos países.

Este artículo cubre solo una parte pequeña de todo lo que se ha investigado y publicado sobre el tema: sirve como introducción divulgativa y como punto de partida hacia las fuentes citadas al final, no como un tratamiento exhaustivo.

Qué es el spyware mercenario

La expresión «spyware mercenario» designa a la industria privada que desarrolla y vende capacidades de intrusión a Estados que no podrían desarrollarlas por sí mismos. Es un mercado con varios actores conocidos —NSO Group, el grupo Intellexa con su producto Predator, Cytrox, Candiru, la italiana Hacking Team o la alemana FinFisher, estas dos últimas afectadas por filtraciones y por su posterior cierre o reestructuración— y con una regulación fragmentada.

Cómo funciona, en términos generales

Sin entrar en detalles técnicos que no corresponden a una enciclopedia divulgativa, el esquema documentado por los investigadores es el siguiente: el producto aprovecha vulnerabilidades no corregidas del sistema operativo del teléfono para instalarse y obtener privilegios elevados. Los análisis de Citizen Lab y de Amnesty International Security Lab han descrito casos de infección sin interacción de la víctima —los llamados ataques de cero clic—, en los que basta con recibir un mensaje o una llamada. Una vez activo, el operador puede acceder a mensajes, contactos, ubicación, micrófono y cámara, lo que hace irrelevante el cifrado extremo a extremo de las aplicaciones de mensajería, porque la información se captura en el propio dispositivo.

Casos documentados

En julio de 2021, el consorcio Forbidden Stories, con Amnistía Internacional y una quincena de medios, publicó el Proyecto Pegasus a partir de una lista filtrada de más de 50.000 números de teléfono señalados como posibles objetivos de clientes de NSO. El análisis forense de una muestra de dispositivos confirmó infecciones en teléfonos de periodistas y defensores de derechos humanos. NSO Group ha rechazado sistemáticamente la interpretación de la lista y ha afirmado que sus productos se venden bajo licencia estatal y control de exportación israelí.

En España, el llamado caso CatalanGate, documentado por Citizen Lab en abril de 2022, describió la infección de decenas de teléfonos de políticos y activistas independentistas catalanes; poco después, el Gobierno español informó de infecciones en los teléfonos del presidente del Gobierno y de varios ministros. La investigación judicial ha avanzado con dificultades por la falta de cooperación internacional. Otros casos analizados afectan a México, Arabia Saudí, Emiratos Árabes Unidos, Hungría, Polonia y Grecia, este último con el producto Predator.

Respuesta legal y regulatoria

• En noviembre de 2021, el Departamento de Comercio de Estados Unidos incluyó a NSO Group y Candiru en su lista de entidades restringidas.
• WhatsApp (Meta) y Apple demandaron a NSO Group en 2019 y 2021 respectivamente; en 2024 un tribunal estadounidense falló a favor de WhatsApp en aspectos centrales del caso.
• El Parlamento Europeo creó en 2022 la comisión PEGA, cuyo informe final de 2023 constató un uso abusivo en varios Estados miembros y pidió normas comunes.
• En 2023, una orden ejecutiva estadounidense restringió el uso de spyware comercial por parte de agencias federales.

Este artículo describe el fenómeno en clave periodística y de política pública. No incluye indicaciones técnicas sobre cómo funcionan las vulnerabilidades ni cómo detectarlas o replicarlas; para autodefensa digital, las organizaciones citadas publican guías propias.