Por qué Pegasus está en la lista negra de Estados Unidos

• Ciberseguridad
• Espionaje
• Estados Unidos

La crisis de ciberespionaje en España ha puesto el foco en Pegasus, la herramienta israelí que ya ha causado estragos en países como Estados Unidos. En el país norteamericano, las autoridades incluyeron en una lista negra al NSO Group, creador de Pegasus, en noviembre de 2021.

En esa decisión entraron en juego controversias pasadas sobre espionaje, como las desveladas por Edward Snowden, o la diplomacia de la venta de armas, ahora transformada por la entrada en los mercados de las armas cibernéticas.

El foco es merecido. Pegasus permite a los clientes del NSO Group hacerse con el control remoto de un dispositivo móvil sin que el usuario sea consciente de ello. Es una herramienta implacable muy útil para la persecución de terroristas y criminales por parte de algunos Gobiernos, pero también para el espionaje de opositores y disidentes.

Y pese a que hay agencias estadounidenses que han considerado comprar los servicios de Pegasus, el gobierno de Joe Biden ha preferido blindarse. La iniciativa promete tener consecuencias diplomáticas y geopolíticas importantes para los próximos años.

Los bulos sobre las protestas propalestinas en las universidades de Estados Unidos

Los inicios de Pegasus en Estados Unidos

Pegasus en realidad no entró en el imaginario de Estados Unidos hasta 2016. Entonces, ya llevaba operativo al menos un lustro. Varios medios se hicieron eco de un hackeo al iPhone un activista de Derechos Humanos emiratí.

• Ahmed Mansoor, un disidente de Emiratos Árabes Unidos, recibió un mensaje extraño en su iPhone. El texto incluía un enlace que Mansoor decidió ni clicar y en cambio envió a un investigador.
• Ese investigador era Bill Marczak, miembro del grupo de derechos digitales Citizen Lab de la Universidad de Toronto.
• Tras las pesquisas necesarias, Citizen Lab y la firma de seguridad de móviles Lookout publicaron un informe en el que concluían que un spyware, o software de espionaje, había sido capaz de hackear y tomar el control total del iPhone de Mansoor.

Los medios de comunicación de Estados Unidos centraron la cobertura de Pegasus en ese último término. ¿Cómo había conseguido una pequeña firma de ciberespionaje israelí crear un software lo suficientemente complejo como para hackear un iPhone con un solo click?

«Nos dimos cuenta de que estábamos viendo algo que nadie había visto con anterioridad. Literalmente, un clic a un link para controlar por completo un iPhone en un solo paso. […] Una de las piezas de ciberespionaje más sofisticadas que jamás hemos visto».

Mike Murray, Vicepresidente de Investigación de Lookout.

The Pegasus Project: primer gran escándalo

La relevancia de Pegasus en el plano internacional recibió un mayor escrutinio años después. En 2021, un consorcio de 17 medios de comunicación contó cómo algunos clientes del NSO Group habían usado su famoso spyware para hackear los móviles de periodistas, activistas y empresarios.

Donald Trump, declarado culpable de 34 cargos por los pagos irregulares a la actriz porno Stormy Daniels

• El reportaje contaba con la colaboración de Forbidden Stories, una organización periodística parisina sin ánimo de lucro, y de Amnistía Internacional, el grupo internacional de Derechos Humanos.
• Los números de teléfono de los smartphones hackeados, la gran mayoría de la marca iPhone, aparecían además en una lista de 50,000 números de posibles objetivos del spyware del NSO Group.
• En total, el consorcio desveló que restos de hackeo (o intento de hackeo) de Pegasus estaban presentes en 37 móviles diferentes de personas que no eran ni terroristas ni criminales.
• No se encontró rastro de Pegasus en ningún móvil de Estados Unidos.

En principio, el NSO Group solo licencia su spyware para cometidos de seguridad: el espionaje de terroristas y criminales. Pero investigaciones recientes como la de Pegasus Project han desvelado que algunos clientes como Emiratos Árabes Unidos o México abusan de la herramienta.

• Desde el NSO Group alegan que ellos no saben específicamente el uso que sus clientes hacen de Pegasus. Aseguran que es un sistema que solo licencian tras recibir aprobación del Ministerio de Defensa israelí.
• Pero la organización también dice que ha finiquitado contratos con aquellos clientes con un probado historial de abuso de Pegasus.
• En lo que refiere a Estados Unidos, Pegasus no permite el hackeo de números de teléfono estadounidenses. Es algo que exigió el gobierno israelí con tal de no enfadar a uno de sus mayores aliados.

El factor Edward Snowden

Antes de Pegasus, Estados Unidos acumulaba un historial muy controvertido en materia de espionaje a sus ciudadanos —y a otros en el extranjero. El actor principal en ese terreno fue Edward Snowden. El informante exiliado a Rusia reveló en 2013 lo lejos que había llegado la Agencia Nacional de Seguridad (NSA) para sus labores de espionaje.

• Sin las revelaciones de Snowden, es probable que el mercado actual de ciberespionaje jamás hubiera podido existir.
• Fue aquel escándalo sobre el alcance de la inteligencia estadounidense el que desencadenó que grandes firmas tecnológicas como Google, Microsoft, Apple y Facebook fortificaran su seguridad.
• Con la llegada del cifrado punta-a-punta en las aplicaciones más usadas, las fuerzas de seguridad y las agencias de inteligencia quedaron excluidas de su espionaje habitual. Fue así como quedó sembrada la aparición de un mercado lucrativo para la venta de software de ciberespionaje.
• Es en ese contexto en el que aparecen compañías como el NSO Group, que además aprovechan la falta de regulación y de estándares internacionales que limiten la proliferación de iniciativas privadas en un mercado global con pocas restricciones.

(Curiosamente, NSO y NSA comparten una pronunciación parecida. NSO son las iniciales de los tres cofundadores del grupo israelí, algo que ‘The New York Times’ definió en un reportaje al respecto de Pegasus como una «feliz coincidencia»).

El día que el FBI casi compra Pegasus

Haber acumulado controversias estuvo lejos de desmotivar a agencias gubernamentales de Estados Unidos a la hora de considerar hacerse con los servicios de Pegasus.

• En 2018, la CIA compró los servicios de Pegasus para Djibouti para la lucha contra el terrorismo. El país tiene historial de abusos contra los derechos humanos.
• En 2019, Motherboard contó que la Agencia de Control de Drogas estadounidense valoró hacerse con una licencia de Pegasus. La descartó por su alto precio.
• En 2021, The Washington Post contó que los departamentos de policía de San Diego y Los Ángeles se reunieron con representante del NSO Group. Tenían previsto contratar una versión de Pegasus capaz de hackear teléfonos en Estados Unidos. Nunca firmaron nada porque era demasiado cara.
• Y en 2022, The New York Times desveló que el Servicio Secreto estadounidense y el Comando de África del ejército estadounidense también tuvieron conversaciones con el NSO Group.

Pero el aterrizaje real de Pegasus en Estados Unidos se produjo en 2019, cuando el FBI llegó a probar el sistema en Nueva Jersey. La agencia federal compró el sistema pese a saber del historial de uso del spyware en violación de los derechos humanos.

• El FBI llegó a probar la versión Phantom y cero-clics. Es decir, una versión de Pegasus que podía hackear móviles de Estados Unidos sin interacción del usuario con ningún enlace.
• La agencia debatió con el Departamento de Justicia durante las administraciones de Trump y Biden sobre las posible ilegalidad de usar Pegasus contra estadounidenses. El motivo, las leyes de escuchas telefónicas que rigen en el país desde hace décadas.
• Finalmente, el FBI descartó usar Pegasus, pero renovaron la licencia en al menos una ocasión y mantienen el sistema israelí en una oficina de la agencia en Nueva Jersey.

El blindaje de Estados Unidos contra Pegasus

Descartado el uso de Pegasus en Estados Unidos, otras noticias han hecho que la Casa Blanca vea al spyware desde otro prisma. La más destacada apareció en 2021, cuando se supo que los iPhone de 11 empleados de la embajada estadounidense en Uganda fueron hackeados con Pegasus.

• La noticia revelaba por primera vez el hackeo de móviles pertenecientes a funcionarios estadounidenses, incluidos miembros del Servicio Extranjero.
• Investigaciones previas indicaban que otros ciudadanos de Estados Unidos con números extranjeros también habían sido hackeados con Pegasus.

A raíz de esa y otras noticias, la Casa Blanca tomó la decisión el año pasado de enfrentarse a Pegasus. Biden incluyó al NSO Group en una lista negra por llevar a cabo actividades que no están en el interés de su seguridad o política exterior.

• La llamada lista de entidades confeccionada por el Departamento de Comercio se ha centrado históricamente en otros objetivos. Por ejemplo, países productores de armas de destrucción masiva y compañías implicadas en supuesta producción de armas cibernéticas.
• Estar en la lista impide al NSO Group tener acceso a tecnología estadounidense que podría ser indispensable para sus operaciones. Según The New York Times, los ordenadores Dell y los servidores de almacenamiento en la nube de Amazon serían dos pilares importantes.
• La decisión enfadó a las autoridades israelíes, para quien Pegasus se ha convertido en un arma diplomática muy atractiva. Sin ir más lejos, para la reconciliación con algunos países árabes vecinos.

Conclusión: regulación y sanciones

La decisión de Estados Unidos de bloquear al NSO Group podría tener consecuencias imprevisibles. En primera instancia, para la diplomacia israelí, pues ahora será más difícil vender un producto sancionado por el gobierno estadounidense. Pero también en otros términos:

• El bloqueo estadounidense podría ahuyentar a nuevos clientes, empleados e inversores, todos clave para el futuro del NSO Group. La compañía necesita estar al máximo nivel para seguir pudiendo vulnerar la seguridad de firmas como Apple y Google.
• El fin de la hegemonía del NSO Group podría crear hueco para que otras compañías firmen contratos millonarios con los que lograr objetivos parecidos. Por ejemplo, el hackeo de apps como WhatsApp que el gobierno estadounidense es incapaz de llevar a cabo ahora mismo, según The New York Times.

El NSO Group y Pegasus todavía son capaces de dominar los titulares internacionales, como bien demuestra el caso de España. Pero con el bloqueo estadounidense, cabe ver si sus capacidades se mantienen al mismo nivel en un futuro cada vez más competitivo —y cibserseguro, si hay suerte.