Pegasus y Predator siguen espiando a periodistas en Europa y casi nadie responde por ello.
Cinco años después de que la investigación coordinada por Forbidden Stories destapara que decenas de activistas, políticos y periodistas europeos habían sido infectados con Pegasus, el balance del continente sigue siendo el mismo: una sola condena penal. El resto son causas archivadas, recursos dormidos y documentos bloqueados bajo el sello de la seguridad nacional.
El periodista griego Thanasis Koukakis esperó casi cinco años a que un tribunal confirmara lo que ya sabía: su teléfono estaba infectado con Predator, el spyware de Intellexa que entrega contactos, documentos y mensajes y que permite encender cámara y micrófono a distancia. El pasado 26 de febrero, un tribunal de Atenas condenó a cuatro directivos vinculados a la compañía, entre ellos su fundador, Tal Dilian, excomandante de la inteligencia militar israelí. Hasta ocho años de prisión por acceso ilegal a sistemas informáticos, vulneración de la protección de datos y de la privacidad de las telecomunicaciones.
La condena de Atenas aclara el cómo y deja abierto el quién
Las penas quedaron suspendidas a la espera de los recursos y las investigaciones no han identificado quién ordenó la vigilancia. En la práctica, se condena al que pone la herramienta, no a quien la encarga.
Koukakis lo explicó a la periodista de IrpiMedia Rosita Rijtano, que firma la investigación junto a otras cuatro víctimas: identificaron el programa y al operador, no a quien dio la orden. Los registros judiciales muestran algo más incómodo: casi un tercio de los infectados estaba bajo vigilancia del servicio griego en 2020 y 2021.
Se condena al fabricante y se archiva al cliente. Ese es el reparto de responsabilidades que sostiene el mercado europeo del spyware.
Atenas sostiene que no utilizó Predator porque entonces ninguna ley lo regulaba. La Fiscalía del Tribunal Supremo se negó a reabrir la causa el pasado 27 de abril y Koukakis ha acudido al Tribunal Europeo de Derechos Humanos.
El escudo de la seguridad nacional no protege a los ciudadanos: protege a quien firma la orden.
Rebecca White, investigadora del Security Lab de Amnistía Internacional, lo llama doble victimización. primero te alcanza la tecnología, después el muro judicial: tribunales lentos, costes altos y años de trámite que desgastan psicológicamente a quien denuncia.
La comisión PEGA del Parlamento Europeo aprobó sus recomendaciones el 15 de junio de 2023: fondo para costes legales, laboratorio independiente con análisis forense gratuito, obligación de notificar al vigilado y acceso de organismos independientes a los datos. Tres años después, la eurodiputada verde Saskia Bricmont constata que ni la Comisión ni los Estados han movido ficha.
El patrón se repite: falsas citas, periodistas señalados y la seguridad nacional como escudo
El tradecraft es casi siempre el mismo. A Koukakis lo pescaron con mensajes de falsas citas y supuestas invitaciones para escribir artículos; sospecha que el detonante fue su cobertura de cambios legales que beneficiaban a implicados en delitos financieros. En Polonia, el eurodiputado Krzysztof Brejza llevaba la campaña electoral contra el PiS cuando Pegasus entró en su teléfono: 85.000 mensajes de diez años y conversaciones alteradas que la televisión pública emitió después para desacreditarlo.
La Oficina Central Anticorrupción polaca pidió la vigilancia dentro de una investigación sobre su padre, alcalde; los fiscales de Gdansk concluyeron después que no había motivo. En octubre, una comisión parlamentaria concluyó que Pegasus se compró de forma ilegal y se usó contra opositores. De momento, Brejza solo ha ganado en lo civil: la emisora tuvo que disculparse, y pagar. Las causas penales avanzan despacio.
Hungría es el otro extremo. El periodista Szabolcs Panyi, que cubre la influencia rusa sobre el Gobierno de Viktor Orbán, supo por los análisis del Security Lab de Amnistía y de Citizen Lab que estuvo siete meses bajo Pegasus en 2019, con unos 100 megabytes moviéndose desde y hacia su teléfono. Todo lo que ha averiguado desde entonces es que la agencia de inteligencia civil guarda información clasificada sobre él y que cada solicitud ha sido bloqueada por seguridad nacional: en Hungría la autorización la firma el ministro de Justicia, miembro del Gobierno.
Si usted compara marcos legales, el español es de los más exigentes de Europa; los resultados, sin embargo, se parecen demasiado. Citizen Lab documentó al menos 65 infectados vinculados al independentismo catalán, sobre todo entre 2017 y 2020, entre ellos cuatro miembros de Òmnium Cultural. La causa se archivó, se reabrió en apelación y el Gobierno fue requerido para desclasificar documentos; en 2022, el Defensor del Pueblo confirmó que los servicios de inteligencia habían vigilado legalmente a 18 independentistas.
Elena Jiménez, de Òmnium, lo formula con precisión incómoda: la autorización judicial no convierte por sí sola una vigilancia en legítima. En Italia, los fundadores de Mediterranea Saving Humans, Luca Casarini y Beppe Caccia, y el activista David Yambio fueron infectados con Graphite, el spyware de Paragon, compañía israelí adquirida después por un fondo estadounidense; el control parlamentario avaló los tres casos como legales. El Gobierno alegó facilitación de la inmigración irregular y Casarini sostiene que el motivo real eran sus pruebas de abusos contra migrantes en Libia y Túnez.
Sostengo desde hace tiempo que el problema no es tecnológico, es de incentivos. Sophie in ‘t Veld, exrelatora de PEGA, cree que la situación ha empeorado y que han aparecido más casos desde la investigación, sobre todo en Italia, y reprocha a la Comisión que se haya alineado con los gobiernos en lugar de proteger a las víctimas. Su frase resume el estado de ánimo del oficio: ‘está claro que se sienten seguros, intocables’.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de Estado con spyware comercial como servicio. No es un zero-day lanzado a ciegas, es una infección dirigida, precedida de ingeniería social —falsas citas, invitaciones, enlaces personalizados— y sostenida sobre una plataforma que da acceso a contactos, documentos, mensajes, cámara y micrófono. El modelo es el de un APT externalizado: el Estado no desarrolla, compra, y el vendedor le entrega operación, infraestructura de mando y control y, si hace falta, formación.
Agencias implicadas. Atacantes: Intellexa (Predator), con Dilian al frente; NSO Group (Pegasus); Paragon Solutions (Graphite). Las tres repiten el mismo argumento comercial, que solo venden a gobiernos y servicios de inteligencia. Defensores: las fiscalías y servicios de Grecia, Polonia, Hungría, España e Italia, además de los equipos forenses de Citizen Lab y el Security Lab de Amnistía Internacional, que hacen el trabajo que los Estados no hacen. Terceros en la sala: la Comisión Europea, un Parlamento que aprobó recomendaciones sin mecanismo de seguimiento y una industria israelí de cibervigilancia que exporta con licencias que nadie audita. El CNI no aparece como atacante en ningún informe público; sí como defensor institucional, con el Defensor del Pueblo validando 18 vigilancias legales en Cataluña.
Nivel de clasificación estimado: Secreto. Estimo, y es una estimación de oficio, que lo que las víctimas no consiguen no es el código del programa, sino la identidad de quien firma la autorización. Ese documento existe y está en un registro interno; el celo con el que se protege es idéntico en Budapest, en Madrid y en Atenas.
El precedente del oficio es 2013. Con Snowden supimos que los Estados se vigilaban entre sí; con el proyecto Pegasus supimos que se vigilan a sí mismos con herramientas compradas. La diferencia no es moral, es industrial: NSO, Intellexa y Paragon tienen servicios jurídicos, comerciales y hojas de cálculo, y los parlamentos tienen recomendaciones. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic; entonces pensaba en infraestructuras críticas, hoy el vector más rentable es individual, portátil y cabe en un bolsillo.
Lo veo así: el punto débil de todo el edificio es la atribución. En ciberguerra exigimos prueba técnica cruzada antes de señalar a un APT; con el spyware comercial tenemos certeza forense del programa y un vacío casi total sobre el cliente. La asimetría es deliberada: contratos con cláusulas de confidencialidad, servidores en terceros países y una cadena de reventa que permite que el gobierno que espía no aparezca nunca en el registro.
Le adelanto lo que viene. El caso de Koukakis en Estrasburgo es hoy la pieza con más recorrido: si el tribunal lo admite a trámite, la pregunta dejará de ser quién compró y pasará a ser quién autorizó. En Madrid sigue pendiente la desclasificación de la causa catalana; en Varsovia, las investigaciones penales avanzan sin prisa; y en Bruselas, cualquier norma futura sobre spyware tendrá que pasar por un Consejo donde los Estados que compran son los mismos que votan.
No se equivoque conmigo. El problema no es Predator, ni Pegasus, ni Graphite; el problema es el hueco legal que los tres han convertido en mercado. Mientras exista, cada vez que un periodista mire su teléfono sin saber si le escuchan, el Estado que pagó habrá obtenido algo más valioso que información: habrá obtenido silencio.
