EN 30 SEGUNDOS
- ¿Qué ha pasado? Un ataque de spyware ha comprometido los iPhone de diputados del Bundestag y de altos funcionarios del Gobierno alemán. La Oficina Federal de Seguridad Informática (BSI) ha calificado la amenaza de ‘spyware mercenario’.
- ¿Quién está detrás? Berlín sospecha de actores estatales y apunta al modus operandi de Pegasus, el programa del grupo israelí NSO Group. Ningún servicio de inteligencia ha sido señalado oficialmente.
- ¿Qué impacto tiene? El alcance se desconoce. La alerta llega semanas después de la detención del exjefe del servicio exterior alemán August Hanning y en plena discusión europea sobre el control del software de vigilancia.
El ciberataque en Alemania con spyware mercenario ha alcanzado los iPhone de diputados y altos funcionarios federales, confirma el Ejecutivo.
Anatomía de un ataque sin clic: cómo entra el spyware en un iPhone
El ministro de Transformación Digital, Karsten Wildberger, confirmó este lunes en declaraciones a las cadenas públicas ARD y ZDF que los terminales afectados son iPhone de parlamentarios y de funcionarios del Ejecutivo federal, y que los usuarios han recibido notificación de la vulnerabilidad. ‘Todo el asunto sigue bajo investigación’, dijo. Berlín, según su propia versión, sospecha de actores estatales.
La pieza que sostiene esa sospecha lleva años en el catálogo de la industria. La BSI ha descrito la amenaza como ‘spyware mercenario’ y cita como ejemplo más conocido Pegasus, el programa desarrollado por el grupo israelí NSO Group y capaz de entrar en un teléfono sin que el dueño haga nada. Ni un clic, ni un enlace abierto. Basta un mensaje manipulado que el sistema procesa por su cuenta, sin intervención del usuario. Una vez dentro, el software puede leer las las comunicaciones cifradas, robar contraseñas, seguir la localización y activar cámara y micrófono de forma remota.
La recomendación del organismo es tan drástica como reveladora: los iPhone señalados deben darse por comprometidos, sustituirse por otros con número nuevo y migrar solo los datos imprescindibles. Las notificaciones de Apple no acreditan que la intrusión se completara, pero tampoco lo contrario. En ciberdefensa, la duda se resuelve siempre del lado del defensor.
El alcance no está claro. La BSI reconoció este lunes que hay ‘otras figuras públicas’ entre los objetivos, sin identificar a nadie ni dar cifra alguna. Tampoco ha precisado cuántos diputados han recibido la alerta ni a qué grupos parlamentarios pertenecen.
Un teléfono comprometido no es un dispositivo: es una sala de escuchas que el afectado lleva en el bolsillo y recarga cada noche.
El rastro roto: del fabricante al cliente que nadie señala
La atribución es el punto débil de todo el caso. La BSI sostiene que detrás de este tipo de campañas suele haber actores estatales, pero no ha identificado a ninguno. No es pudor: es que el mercado del espionaje mercenario está diseñado precisamente para difuminar la cadena. El fabricante vende licencias, el cliente puede ser un servicio de inteligencia, una unidad militar o un intermediario privado, y el rastro técnico del ataque no dice nada del contrato que hay detrás.
El historial europeo ayuda a entender el contexto. Pegasus y herramientas similares se han documentado desde 2016 en cerca de una decena de países de la Unión, con periodistas, opositores políticos y altos cargos entre los objetivos. Los informes mencionan Chipre, Dinamarca, Italia, Grecia, Hungría, Polonia y España. En 2023, el Parlamento Europeo reclamó ‘mecanismos de control más rigurosos’ para impedir el abuso de este software; la Comisión no llegó a aplicar las medidas propuestas.
A eso se suma la semana más incómoda para los servicios alemanes en años. El mes pasado fue detenido August Hanning, jefe del servicio exterior (BND) entre 1998 y 2005, imputado por espionaje y traición. Se le acusa de obtener documentos clasificados para trabajos de consultoría, incluido un informe para un servicio extranjero no identificado. Según la versión difundida, las pruebas aparecieron en una investigación paralela sobre el supuesto reclutamiento del exdirector del Mossad Danny Yatom para una operación de secuestro de menores. Hanning ha reconocido en el pasado sus vínculos con altos cargos de la inteligencia israelí tras dejar el cargo. Ninguna de esas imputaciones cuenta con sentencia firme.
Equilibrio de Poder
En el eje Washington-Moscú-Bruselas, la etiqueta ‘actor estatal’ abarca hoy a una docena de servicios y a una industria que factura por licencia. Moscú prefiere herramientas propias —del phishing masivo al sabotaje de infraestructuras— y rara vez necesita comprar spyware comercial; Washington, en cambio, ha legislado contra ese mercado: el Departamento de Comercio incluyó a NSO Group en su lista de entidades en 2021, una medida que no cerró el negocio, solo lo desplazó hacia proveedores más discretos. Bruselas sigue sin régimen sancionador específico para el software de vigilancia y sin capacidad forense común. Cada Estado mira por su cuenta y el conjunto no existe.
Para España no es un asunto ajeno. Los teléfonos del presidente del Gobierno y de la ministra de Defensa aparecieron infectados con Pegasus en 2021 y 2022, y Moncloa atribuyó entonces el ataque a servicios marroquíes. Rabat lo negó y el caso nunca se ha sustanciado ante un tribunal. La frontera sur, el Sáhara y el Sahel son escenarios donde la inteligencia de origen comercial sustituye a veces lo que la ley no permite hacer en casa, y donde la dependencia de proveedores extranjeros deja al CNI y al Mando Conjunto del Ciberespacio sin margen de verificación técnica. La lección alemana es la misma que la española: sin capacidad forense propia no hay atribución creíble, y sin atribución no hay respuesta política.
La lectura a cinco o diez años es incómoda para Europa. El spyware cero-clic ha pasado de arma de nicho a servicio de suscripción, y su coste baja mientras su precisión sube. Los países que quieran señalar culpables con pruebas necesitan laboratorios propios, no solo comprar análisis a terceros. Alemania tiene al BSI; España tiene al CNI y a INCIBE. Ninguno puede certificar hoy qué ocurre dentro de un iPhone cerrado. Esa asimetría es el verdadero problema de seguridad: el atacante necesita acertar una vez, el defensor, todas.
El caso alemán se resolverá, si se resuelve, en el terreno de la atribución política y no en el técnico. El BSI mantiene abierta la investigación y no ha fijado plazo. La próxima ventana crítica la marcará la publicación de indicadores técnicos y la comparecencia del Gobierno federal ante el Bundestag, donde los diputados afectados tienen derecho a preguntar. Mientras el rastro siga sin nombre, cada cancillería europea hará lo que ya hace: cambiar de teléfono y no contarlo.
