Ronald Deibert: "España es cliente de NSO, veremos más casos de móviles espiados"
  1. Tecnología
entrevista con el director de Citizen Lab

Ronald Deibert: "España es cliente de NSO, veremos más casos de móviles espiados"

Deibert y su equipo de investigadores han destapado algunas de las mayores tramas de espionaje de móviles, desde el teléfono de Emmanuel Macron o el entorno de Jamal Khashoggi a los independentistas catalanes

Foto: Ronald Deibert, fundador de The Citizen Lab. (Wikimedia Commons)
Ronald Deibert, fundador de The Citizen Lab. (Wikimedia Commons)

"Te gusta jugar a los espías, pero sabes que tiene un coste, ¡tu vida! Vamos a analizar tu cerebro y el de tu familia con una bala dentro". Corría el año 2015 cuando Ronald Deibert leyó atónito este mensaje. Lo había enviado un remitente anónimo al móvil de uno de sus investigadores más cercanos. Y en perfecto español. Deibert y su equipo llevaban meses investigando un 'spyware' (un 'software' espía) llamado Packrat que se estaba usando para espiar y extorsionar a periodistas y abogados en Latinoamérica. "Nos tomamos la seguridad muy en serio, pero son situaciones que tenemos que aceptar, van con nuestro trabajo", explica Deibert en una entrevista con El Confidencial. "Sabemos, por ejemplo, que la empresa israelí Black Cube nos ha estado espiando". Deibert es el enemigo número uno de la inteligencia israelí, nadie como él ha destapado los secretos de la empresa de espionaje más avanzada del país, NSO, y una de las más poderosas del mundo.

Este profesor canadiense fundó hace 20 años The Citizen Lab, un laboratorio de investigación adscrito a la Universidad de Toronto que se ha convertido en referente global en ciberespionaje. Su primer gran 'hit' llegó en el 2009, cuando destapó una red mundial de espionaje de China a políticos, empresarios, medios de comunicación y hasta figuras como el dalái lama. Deibert se llegó a reunir con el líder espiritual tibetano y su equipo para explicarles cómo el Gobierno chino se había colado hasta la cocina de sus ordenadores. Esta investigación, que llevó al Citizen Lab a la portada de 'The New York Times' y al radar de las agencias de inteligencia de medio mundo, fue solo el comienzo.

Foto: Peter Thiel, cofundador de PayPal. (Foto: Reuters)

Desde entonces, el pequeño laboratorio de contraespionaje de Deibert (unas 20 personas a tiempo completo y una docena de colaboradores repartidos por el globo) ha ido aireando algunas de las tramas de espionaje más secretas, desde el hackeo por parte de Arabia Saudí de los móviles de amigos y familiares del periodista asesinado Jamal Khashoggi hasta el teléfono del presidente francés, Emmanuel Macron, y otros 50.000 altos cargos políticos, activistas y periodistas. Una línea une todos estos casos: la gran mayoría fueron espiados con un sofisticado 'software' llamado Pegasus, desarrollado por la firma israelí NSO. Incluso el Gobierno español, supuestamente, usó este sistema para espiar a varios políticos independentistas catalanes, entre ellos Roger Torrent, Anna Gabriel y Jordi Puigneró. "La gente de NSO son unos mercenarios".

PREGUNTA. Usted y su equipo descubrieron recientemente un nuevo fallo desconocido en iOS que estaba siendo usado para instalar 'software' de NSO y espiar a cualquier persona. Llevan años destapando estas técnicas de espionaje y, sin embargo, parece que esto es solo la punta del iceberg.

RESPUESTA. Es tal cual. Hemos publicado muchísimo sobre todo tipo de abusos en el uso de ‘spyware’, pero sabemos que lo que vemos es… solo lo que vemos. Tenemos un mandato de centrarnos en asuntos de seguridad digital que afectan a los derechos humanos, a periodistas, activistas, opositores políticos, etc. Pero somos muy conscientes de que esto se está convirtiendo en un asunto de seguridad nacional. Estamos viendo cómo jefes de Gobierno, embajadores, miembros de gabinetes de Gobierno… están siendo objeto de espionaje. Hay un uso legítimo de esta tecnología para investigar crímenes y delitos, pero el problema es que apenas hay control de su uso. Las compañías que la desarrollan, como NSO, operan en un terreno muy opaco, sin ningún tipo de transparencia.

placeholder Ronald Deibert. (Cedida)
Ronald Deibert. (Cedida)

P. Mucha gente se hace la misma pregunta: si no soy ni político, ni periodista, ni activista, si no tengo información sensible que ocultar, ¿por qué me deben preocupar estos espionajes?

R. Este tipo de tecnología, aunque es muy sofisticada y se vende a gobiernos para espiar a objetivos de gran valor, al final acaba llegando a criminales comunes cuyo objetivo es puramente financiero. En ese punto, cualquiera puede convertirse en víctima. Por eso, cuando se descubren estas vulnerabilidades, es importante actualizar todos tus dispositivos. Hay otro aspecto importante, y es que muchas veces se espía al entorno del objetivo principal, a su familia, sus amigos cercanos… Puede que tú no tengas nada importante que compartir, pero tu padre igual sí, o tu tío.

Foto: Shalev Hulio, CEO de NSO Group, entrevistado en el programa '60 Minutes'.

P. En el 2013, los documentos filtrados por Edward Snowden revelaron las técnicas de espionaje masivo de la NSA en EEUU. Usted lo ha mencionado alguna vez: lo primero que harían muchos gobiernos sería preguntarle a sus jefes de seguridad: ¿cómo podemos hacer nosotros algo parecido? ¿Explica esto el auge en los últimos años de compañías privadas de espionaje como la israelí NSO?

R. No hay un solo factor que lo explique, pero sí hubo un par de eventos que aceleraron las cosas. Uno fueron las Primaveras Árabes, millones de personas movilizándose usando las redes sociales para organizarse. Luego las protestas de Rusia en el 2011. Todo eso empujó a quienes estaban en el poder a hacerse con tecnología para infiltrar y neutralizar esos grupos. Desde luego, tampoco estaríamos aquí si no lleváramos un móvil en el bolsillo las 24 horas del día. Puedes colarte en la vida personal de la gente, en sus móviles, en un solo clic. Añade que todo este entorno no está apenas regulado, es intrusivo por diseño, en eso consiste el ‘capitalismo de vigilancia’, y además es inseguro, el mantra es muévete rápido y rompe cosas. Es como una tormenta perfecta de factores. Y luego llegó Snowden, claro. Lo que él expuso pudo tener un efecto demostración. Creo que gente en posiciones de poder que desconocían lo que podían estar haciendo las agencias de inteligencia de su país pensaron: ¿cómo podemos usar nosotros también este tipo de 'spyware'? Compañías como NSO ofrecen justo esto, un programa listo para usar y válido a nivel global. Es lo que yo llamo ‘despotismo bajo servicio’.

placeholder Edward Snowden, durante una intervención por videoconferencia en el Consejo Europeo de Estrasburgo. (Reuters)
Edward Snowden, durante una intervención por videoconferencia en el Consejo Europeo de Estrasburgo. (Reuters)

P. ¿Cómo lo hacen? ¿Qué técnicas utilizan para descubrir quién espía y quién está siendo espiado?

R. Analizamos este tema como académicos, como científicos, de la forma más rigurosa posible. El secreto del Citizen Lab, si es que hay uno, es la combinación de métodos. Tenemos ingenieros, abogados, investigadores de política internacional… Trabajamos también bajo estrictos protocolos de ética de investigación. Si alguien participa en una de nuestras investigaciones, es como si formara parte de un estudio médico, le garantizamos confidencialidad, firmamos un acuerdo, etc.

Respecto a las técnicas, combinamos dos. Por un lado, empezamos con las víctimas. Muchas veces hay gente que te contacta, o los contactas tú, empiezas a investigar y descubres que han sido objeto de espionaje. Es ahí donde empiezas. A veces tienes suerte y puedes obtener una copia del código del 'spyware' mediante análisis forense del dispositivo. La otra forma es a través de un rastreo de la red. Compañías como NSO funcionan con una red de servidores distribuidos por todo el mundo que sirven de receptores anónimos. Si alguien te ha infectado el teléfono con Pegasus para extraer los datos del mismo, estos se tienen que enviar a algún sitio a través de internet. Usando una serie de técnicas, como rastreo de la red y de la huella digital o conectar con miles de millones de servidores, pudimos medir y monitorizar la infraestructura de empresas como NSO de forma más o menos fiable. A veces esto te permite ver quiénes son los clientes. Luego, si combinas ambas aproximaciones, puedes llegar a más conclusiones. Por ejemplo, si hackean a alguien en España, pero no sabemos quién es, quizá podemos averiguar que las comunicaciones provienen de una universidad, entonces contactamos con ellos, con su equipo de sistemas, llegamos a la víctima y analizamos su móvil. Es como hacer una radiografía de internet.

"NSO son unos mercenarios. Estamos ante la última variación del término en el mundo digital"

P. ¿Cuál es la relación exacta entre NSO y el Gobierno de Israel?

R. No lo sé, no tenemos acceso a lo que ocurre por detrás. Pero sí sabemos que, al estar en Israel, NSO tiene que obtener las licencias de exportaciones, que son gestionadas por el Ministerio de Defensa israelí. Así que, a un nivel muy básico, existe esa relación. El Gobierno tiene que evaluar y aprobar cada venta al extranjero de empresas locales. También sabemos, y no es ningún secreto, que la compañía busca siempre fichar personal técnico de la agencia de inteligencia de señales, la Unidad 8200 perteneciente a sus fuerzas armadas. Y el Gobierno siempre anima al personal más veterano de esas agencias a continuar trabajando en compañías como NSO.

P. NSO asegura que solo venden su tecnología a gobiernos que la van a usar para objetivos legales y éticos, como lucha contra el terrorismo, crímenes, etc.

R. Eso es mentira. Son unos mercenarios. La figura del mercenario lleva existiendo desde hace siglos y ha ido evolucionando. Ahora estamos ante la última variación del término en el mundo digital. Es una compañía que vende sus sistemas a cualquier Gobierno, y lo ha hecho de forma repetida a gobiernos conocidos por sus abusos de los derechos humanos, como Arabia Saudí o México.

placeholder El logo de la firma NSO, en una de sus sedes en Israel. (Reuters)
El logo de la firma NSO, en una de sus sedes en Israel. (Reuters)

P. Pero gobiernos de Occidente, muchos de ellos en Europa, como Alemania, son también clientes de NSO.

R. Sí, hay un mercado en los países democráticos y liberales para este tipo de tecnología. El problema es que, si estos países usan esta tecnología, están indirectamente contribuyendo a los abusos de los derechos humanos al financiar a NSO. Esos gobiernos tienen que entender que tienen una responsabilidad como países que respetan los derechos humanos de no apoyar financieramente a empresas como NSO. Es realmente frustrante ver cómo la Policía Federal alemana es cliente de NSO. Canadá también usa este tipo de tecnología, no NSO, al menos que sepamos, pero compran ‘spyware’ parecido.

P. Y todo apunta a que España también. En el 2020 una investigación del Citizen Lab demostró que los móviles de varios políticos independentistas catalanes, entre ellos Roger Torrent, Anna Gabriel y Jordi Puigneró, habían sido espiados con Pegasus.

R. Estas víctimas salieron a la luz como parte de nuestra investigación en los fallos de seguridad de WhatsApp. NSO había desarrollado una forma de colarse en los móviles usando una vulnerabilidad desconocida de WhatsApp. Un abogado que representaba a víctimas de NSO nos alertó del problema. Él avisó a WhatsApp, sus ingenieros lo investigaron y se dieron cuenta de que su sistema había sido comprometido durante dos semanas. Nosotros nos presentamos voluntarios para identificar a los ciudadanos que habían sido víctimas de este ataque. Estuvimos varios meses realizando esta investigación, entre mayo de 2019 y el otoño de ese año. Y detectamos un número significativo de personas en la zona de Cataluña a las que notificamos. Como dije antes, tenemos una estricta política de confidencialidad. En ese momento, la gente a la que notificamos en Cataluña no quiso salir a luz, pero luego, al comienzo de 2020, estas personas, Roger Torrent el primero, decidieron hacer público su caso.

Foto: Foto: Reuters.

P. Exempleados de NSO reconocieron a la publicación 'Motherboard' que España era cliente de NSO. ¿Espió el Gobierno español a los independentistas catalanes?

R. Tienes la evidencias recabadas por 'Motherboard', tienes las víctimas que fueron objetivo de espionaje y a las que identificamos… ¿Quién más iba a querer espiar en políticos catalanes independentistas? Además de eso, en 2018 hicimos un análisis de red global para entender cuáles eran los clientes de NSO. A través de todos estos medios sabíamos que España era uno de los clientes.

placeholder El presidente del Parlament, Roger Torrent, cuyo móvil fue espiado usando el 'spyware' Pegasus de la firma israelí NSO. (EFE)
El presidente del Parlament, Roger Torrent, cuyo móvil fue espiado usando el 'spyware' Pegasus de la firma israelí NSO. (EFE)

P. En un comunicado, el Centro Nacional de Inteligencia (CNI) dijo que todas sus actuaciones habían sido "acordes con el sistema legal y con absoluto respeto a la ley".

R. Lo que es legal o legítimo está en el ojo del observador. En muchos gobiernos democráticos, las agencias de inteligencia operan sin apenas control. Algo funciona mal cuando un país compra este tipo de tecnología, sin ningún control, y luego la usa para espiar a miembros de la oposición política. Es muy fácil decir 'a posteriori' que todo esto era legal y estaba autorizado. Arabia Saudí puede decir que hackear los móviles de los amigos y familiares de Jamal Khashoggi para saber su ubicación y sus planes y luego asesinarlo era todo legal y autorizado. Eso es, claro, según su propio régimen.

P. ¿Es comparable el espionaje de España a independentistas catalanes con el de Arabia Saudí a la familia de Khashoggi para asesinarle?

R. Es comparable, sí. Creo que tiene que ser un asunto que los ciudadanos y organismos independientes exijan investigar. Hay que hacer las preguntas difíciles: ¿quién en el Gobierno español autorizó comprar ese 'software'? ¿Por qué se ha usado para espiar a políticos? Iría incluso más allá: si las agencias de inteligencia españolas van a usar esta tecnología, tienen que ser más responsables sobre a quién se la compran, porque están contribuyendo a abusos fuera de España. Si fuera un ciudadano español, estaría muy muy preocupado con el uso de esta tecnología por parte del Gobierno.

P. The Citizen Lab ha participado también en la reciente investigación Pegasus Project, en la que se detalla cómo más de 50.000 móviles de políticos, periodistas y activistas habían sido espiados. En esa lista solo aparecía un número español, el del periodista y columnista de este diario, Ignacio Cembrero. ¿Cómo es posible que no hubiera más números españoles?

R. Nosotros no tuvimos acceso directo a la lista de 50.000 números, es algo que tenía Amnistía Internacional. Nuestro rol en el Proyecto Pegasus fue revisar su metodología y algunos de los análisis que hicieron de varios móviles. Confirmamos que todas sus conclusiones eran correctas. La lista de 50.000 números es una prueba de una actividad de reconocimiento llevada a cabo por los gobiernos clientes de NSO. Estar en esa lista no implica necesariamente haber sido espiado. Si un Gobierno quiere espiar a una persona, primero tendrá que asegurarse e identificar que su objetivo está de verdad detrás de ese número de teléfono. Es un secreto a voces que la red celular es insegura, hay muchas compañías, como Circles, una unidad de NSO, que permiten a los gobiernos identificar la ubicación de cualquier móvil. Antes de lanzar una herramienta tan valiosa y cara como Pegasus, quieres verificar que ese es realmente tu objetivo.

placeholder Manifestantes contra NSO en su sede de Tel Aviv. (Reuters)
Manifestantes contra NSO en su sede de Tel Aviv. (Reuters)

P. ¿Tiene constancia de que existan más listas de móviles de españoles que hayan podido ser espiados usando Pegasus?

R. Si lo supiera, no podría hablar de ello. Tenemos que ser muy cuidadosos sobre lo que hablamos de este tema, incluso si es para dar la impresión de que conocemos la existencia de algo que no es público aún. Lo único que diré es que hay un problema en España respecto al independentismo catalán, sabemos que políticos independentistas han sido objetivo de espionaje. Teniendo en cuenta que las agencias de inteligencia españolas son clientes de NSO, sospecho que veremos más casos de móviles espiados, pero es un asunto que necesita más investigación.

P. Si NSO es el 'spyware' preferido de EEUU y Europa, ¿qué hay de Rusia y China?

R. Cada país hace esto de una forma diferente. Las potencias que tienen muchas capacidades internas, como China y Rusia, no necesitan salir fuera a contratar compañías como NSO. Es más, probablemente no quieran por un aspecto estratégico, pueden tener miedo a que contratar 'spyware' de terceros ponga en riesgo otras operaciones. Y, francamente, no lo necesitan. Tanto China como Rusia están en la élite del espionaje, tienen unas capacidades enormes y no usan a NSO.

P. ¿Qué deberíamos hacer para evitar que nuestros móviles puedan ser espiados?

R. Hay muy poco que puedas hacer para defenderte de este tipo de ataques con 'spyware' avanzado. Ni siquiera tienes que hacer clic en nada, hay cero interacción, el usuario no nota nada inusual. Incluso para nosotros supone muchas semanas de análisis forense antes de que podamos encontrar el rastro de Pegasus. Esto significa que necesitamos regulación. Las plataformas también pueden hacer más. Las aplicaciones de mensajería se han convertido en un objetivo irresistible para empresas como NSO. Por eso es importante que las compañías tecnológicas tomen medidas en el desarrollo de esas aplicaciones. Nosotros, como usuarios, debemos siempre actualizar nuestros dispositivos, pero la responsabilidad final está en manos de las tecnológicas y los gobiernos.

Israel Centro Nacional de Inteligencia (CNI) Jamal Khashoggi Arabia Saudí
El redactor recomienda