Veintinueve eurodiputados piden ralentizar la adhesión de Serbia a la UE por el espionaje con Pegasus y NoviSpy contra activistas. Es un terremoto institucional, no una simple protesta.
La carta de los 29: un ataque directo del Estado contra la democracia
En la carta difundida esta semana, los eurodiputados no se muerden la lengua: ‘No es un fallo técnico; es un ataque directo del Estado contra la democracia’. El texto relaciona el espionaje con las inminentes elecciones y acusa al régimen de Aleksandar Vučić de utilizar la vigilancia digital ilegal para desmantelar sistemáticamente a la oposición política.
Permítame una precisión: los firmantes no piden sanciones económicas, piden consecuencias institucionales. La negociación de adhesión quedaría congelada hasta que se complete una investigación sobre el uso del spyware. También exigen que la entrada de Belgrado quede condicionada a mejoras en el estado de derecho y que Ursula von der Leyen cancele su visita prevista.
La carta se suma a la crisis por Ratko Mladić, condenado por crímenes de guerra. La comisaria de Ampliación, Marta Kos, canceló su visita a Belgrado este viernes tras la respuesta serbia a la muerte del excomandante serbobosnio. La presión por el espionaje se mezcla con el malestar por Mladić y complica el calendario de la ampliación.
Hannah Neumann, eurodiputada alemana firmante, admitió a CyberScoop que el espionaje no será la única razón del giro: ‘Es muy probable que se atiendan algunas de estas demandas, pero con seguridad el spyware no será la única razón’. En la misma carta, los firmantes rematan con dureza: ‘El apaciguamiento ha fracasado. Es hora de que la Comisión demuestre que el cumplimiento de las normas democráticas fundamentales es un requisito no negociable, no una opción’. El Gobierno serbio no respondió a las peticiones de comentarios de última hora del viernes.
El espionaje con Pegasus y NoviSpy no es una violación menor de la privacidad; es la herramienta de un ejecutivo para desmantelar la oposición.
Anatomía del espionaje: Pegasus y NoviSpy en móviles de activistas
El informe forense detecta dos cepas de spyware. La SHARE Foundation, Amnistía Internacional y el Citizen Lab de la Universidad de Toronto hallaron Pegasus y NoviSpy en los teléfonos de activistas estudiantiles.
La atribución del NoviSpy apunta a Belgrado. Los investigadores no asignan responsabilidad por la infección de Pegasus, la herramienta de NSO Group señalada en operaciones de vigilancia política. NoviSpy es un programa de vigilancia menos mediático; los forenses no han detallado su cadena de explotación, pero la evidencia, según SHARE Foundation, apunta a las autoridades serbias.
Bruselas ya investigó el uso comunitario de Pegasus. La Eurocámara lo hizo a través de la comisión PEGA, y la aparición de NoviSpy en los Balcanes reaviva las recomendaciones que aquella comisión dejó sin ejecutar.
He seguido de cerca el expediente europeo del spyware y le adelanto que desde las revelaciones del Pegasus Project en 2021, el espionaje con esta herramienta contra periodistas y opositores se ha convertido en un patrón reconocible. Serbia no es el primer socio en ser señalado, pero sí el candidato con un proceso de adhesión abierto sobre la mesa.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es puro ciberespionaje de Estado. Pegasus, de NSO Group, trabaja con vulnerabilidades de día cero y explotaciones sin clic; NoviSpy, menos documentado, entra en la categoría de spyware de vigilancia gubernamental. La enumeración Pegasus, NoviSpy, y otras herramientas de vigilancia no es casual.
La atribución de Pegasus sigue sin cerrarse. No se equivoque conmigo: la cautela no exculpa a Belgrado. En ciberguerra solo debe afirmarse una responsabilidad cuando hay respaldo técnico cruzado, y el informe actual deja ese extremo abierto para Pegasus. El NoviSpy, en cambio, sí está señalado con pruebas forenses por Citizen Lab y Amnistía.
El precedente del comité PEGA reabre el debate europeo. Aquel órgano documentó entre 2022 y 2023 el uso de Pegasus contra periodistas y opositores en varios Estados miembros. El expediente se enfrió, pero el hallazgo en Serbia lo reabre en el peor momento para el proceso de ampliación.
Mi lectura es que la Comisión se enfrenta a una partida de desgaste en la que el spyware es el síntoma de un problema más profundo: la erosión del estado de derecho en Belgrado. La Comisión se juega su credibilidad en Belgrado. Si Bruselas cancela la visita de Von der Leyen o congela el capítulo 23, el mensaje cambiará de tono.
En clave española, he sostenido en esta redacción que la reputación de un servicio se mide por cómo gestiona la exposición de sus errores. El caso serbio recuerda al CNI y al CCN-CERT que la vigilancia con spyware comercial deja trazas que Citizen Lab o Amnistía pueden exhumar. La contrainteligencia moderna asume que toda operación de espionaje digital acabará expuesta.
El siguiente termómetro será la reacción oficial de la Comisión Europea. Si acepta la petición de los 29 y pospone la visita, estaremos ante un cambio de doctrina; si la rechaza, la presión migrará al pleno de la Eurocámara.
