La 'chapuza' del espionaje a Torrent por una empresa denunciada en medio mundo

Una "chapuza". Así es definido el espionaje de un millar y medio de teléfonos durante el mes de abril de 2019 en todo el mundo a través del programa Pegasus, que comercializa la compañía israelí NSO Group. Y la chapuza viene dada porque, en esa época, ya se conocía que NSO Group había sido 'hackeada' y sus bases de datos ‘reventadas’ por piratas informáticos que dejaron al descubierto sus vergüenzas. “En ese momento, ya sabíamos que los canadienses estaban sobre el tema, por lo que no deja de resultar inusual que alguien comience a intervenir teléfonos”, explica a El Confidencial una persona del mundo de la seguridad informática internacional. El tema, desvelado por 'El País', está siendo investigado judicialmente en los Estados Unidos, donde hay un sumario abierto por ese espionaje contra las empresas NSO Group Technologies Limited y Q Cyber Technologies Limited.

Los nombres que han salido hasta ahora como perjudicados por el espionaje son el del presidente del Parlamento catalán, Roger Torrent, el del diputado de ERC Ernest Maragall, el de la exdiputada de la CUP Anna Gabriel y el del empresario Jordi Domingo, vinculado a la Asamblea Nacional Catalana (ANC). Según han apuntado Citizen Lab, una de las organizaciones que investigaron el tema, habrá más móviles catalanes que pueden salir a la luz. Torrent deslizó este martes que el Estado español era el responsable de ese espionaje, aunque fuentes del sector lo dudan. “El CNI tiene otras maneras de actuar que dejan menos rastro. En este caso, incluso al intervenir el teléfono les desaparecían los mensajes, por lo que era un espionaje muy chapucero”, señalan las mismas fuentes.

No es la única incongruencia. Si, como acusa Torrent, lo que ha habido es una causa general contra el independentismo, ¿cómo es que los principales dirigentes de la Generalitat, que es el poder ejecutivo, no están en la lista? ¿Y por qué sí está Anna Gabriel, una activista fugada en Suiza que no está entre las prioridades de los servicios españoles? ¿O un activista de cuarta fila de la ANC? Fuentes del sector de la seguridad manifestaron a El Confidencial que lo que hizo Pegasus fue añadir una extensión a este programa, por lo que se puede monitorizar un teléfono móvil a distancia: solo hace falta enviar un mensaje y que el destinatario lo abra para que se instale el programa espía. Normalmente, se envía en dos mensajes para que los programas antivirus no lo detecten.

La organización Motherboard ya denunció el año pasado esta técnica: simulando ser parte de Facebook (se hacía pasar por parte del equipo de seguridad de esta multinacional), NSO utilizaba, aparentemente, varios dominios para controlar teléfonos desde ellos. De ese modo, descubrieron 10 dominios que utilizaba Pegasus y descubrieron las direcciones específicas de IP que hacía servir para crear páginas falsas de Facebook, de FedEx o de empresas de servicios.

Denuncias en medio mundo

Facebook denunció en otoño pasado que la compañía israelí había aprovechado la vulnerabilidad de WhatsApp para espiar a un centenar de defensores de los derechos humanos. Amnistía Internacional, por su parte, aseguraba que los ataques digitales selectivos se habían dirigido, por ejemplo, contra el activista Maati Monjib y el abogado de derechos humanos Abdessadak El Bouchattaoui, ambos de Marruecos. WhatsApp y Facebook finalmente presentaron una denuncia el pasado 29 de octubre en California contra las empresas NSO Group Technologies Ltd y Q Cyber Technologies Ltd. La mayoría de los servidores desde los que se realizaron los ataques a teléfonos estaban instalados en Estados Unidos.

Lo que pasó en esa ocasión cuadra con el espionaje a Torrent: señala una fuente experta que, “aprovechando la intrusión en WhatsApp, el programa espía se introdujo en una serie de teléfonos, entre los que estaban los mencionados ciudadanos catalanes, porque cazaron una conversación de esa red social y los teléfonos asociados a la misma”.

El 'modus operandi', según se relata en la denuncia interpuesta en California, es que los piratas usaron servidores de WhatsApp para enrutar el programa espía y se introducía en los teléfonos haciéndolo pasar por llamadas legítimas y configuraciones. Además, explica la denuncia, “entre abril y mayo de 2019, los demandados también usaron y provocaron el uso de los servidores de retransmisión de WhatsApp sin autorización para enviar paquetes de datos cifrados diseñados para activar el código malicioso inyectado en la memoria de los dispositivos de destino. Cuando se ejecutó con éxito, el código malicioso provocó que el dispositivo de destino enviara una solicitud a uno de los servidores maliciosos controlados por los demandados”.

En otro de los párrafos de la denuncia, se especifica que en abril y mayo del año pasado (las fechas en que denunció Roger Torrent haber sufrido el espionaje), “los demandados formatearon mensajes de inicio de llamada que contienen el código malicioso para que parezca una llamada legítima y ocultaron dicho código dentro de la configuración de la llamada. Disfrazar el código malicioso como configuración de llamadas permitió a los demandados entregarlo al dispositivo de destino e hizo que el código malicioso pareciera que se originó en los servidores de señalización de WhatsApp. Una vez que las llamadas de los demandados fueron entregadas al dispositivo objetivo, inyectaron el código malicioso en la memoria del dispositivo, incluso cuando el usuario no hubiese respondido a la llamada”.

TE PUEDE INTERESAR

De maletines de 600.000€ a virus 'low cost': así te pueden pinchar el móvil sin enterarte

Guillermo Cid

La denuncia detalla también que “entre aproximadamente el 29 de abril de 2019 y el 10 de mayo, los demandados hicieron que su código malicioso se transmitiera a través de servidores de WhatsApp en un esfuerzo por infectar aproximadamente 1.400 dispositivos de destino. Los usuarios objetivo incluyeron abogados, periodistas, activistas de derechos humanos, disidentes políticos, diplomáticos y otros altos funcionarios de gobiernos extranjeros”. Facebook tardó 10 días en solventar el ‘agujero’ de WhatsApp y por eso el espionaje fue controlado rápidamente.

Pero los problemas para la empresa israelí no se quedan ahí. Sus actividades han levantado ampollas y muchas protestas de organizaciones defensoras de los derechos humanos. Treinta activistas de Amnistía Internacional, por ejemplo, interpusieron el pasado mes de enero una denuncia en Tel Aviv contra NSO Group, apoyada también por el Instituto Bernstein de Derechos Humanos y el Centro de Derechos Humanos y Justicia global de la Facultad de Derecho de la Universidad de Nueva York.

Durante los meses anteriores, los promotores de esta denuncia habían documentado el uso del programa espía contra, al menos, 24 activistas mexicanos (entre ellos, la periodista Griselda Valdez, viuda de Javier Valdez) y contra cuatro saudíes (Omar Abdulaziz, Yahya Assiri, Ghanem Al-Masarir y el asesinado en Turquía Jamal Kashogui), además de contra el ciudadano de Emiratos Árabes Unidos Ahmed Mansoor. Fuentes cercanas a NSO Group señalaron a El Confidencial que la compañía “no realiza espionaje alguno. Lo que hace es vender un producto y asesorar técnicamente a los compradores. La utilización que otros hagan de ese producto es cosa del cliente, pero no de NSO Group”.