El ministro de Presidencia, Félix Bolaños, ha anunciado este domingo que el CNI se someterá a un "control interno, a petición de este mismo organismo", para analizar el caso Pegasus. Con esta investigación el Ejecutivo ha prometido al Govern de Cataluña esclarecer los hechos publicados por The New Yorker la semana pasada, cuando revelaron que el software espía Pegasus fue usado en 60 independentistas catalanes, incluyendo en presidente de la Generalitat, Pere Aragonès.

Pegasus es un spyware o software espía desarrollado por la empresa israelí NSO Group que lo vende a gobiernos de todo el mundo. Dentro de su sector es uno de los más poderosos, siendo capaz de infectar miles de millones de teléfonos con sistemas operativos como iOS o Android. Con el argumento de la lucha antiterrorista en una mano, países como México, Marruecos, Catar, Yemen, Emiratos Árabes Unidos y Baréin utilizan este software para espiar a sus ciudadanos. The Washington Post informó el año pasado de una lista de 50.000 personas de países de todo el mundo que habían sido espiados en sus móviles con este programa.

En esa inmensa lista se encuentran periodistas, activistas defensores de los derechos humanos, directores de empresas y políticos. Ya se había descubierto con anterioridad la presencia de este programa de espionaje en los teléfonos móviles de políticos catalanes, pero tras la mención del actual presidente de la Generalitat en el reportaje de la revista estadounidense como uno de los afectados por el espionaje, junto a otros cargos, la Generalitat ha exigido explicaciones al Gobierno.

La investigación abordará el espionaje a 63 miembros de la órbita independentista, desde Artur Mas, hasta sus dos sucesores, Quim Torra y Pere Aragonès. Además de la investigación del CNI, el Gobierno facilitará una comisión parlamentaria donde todos los grupos políticos puedan tener acceso a información y documentación secreta recabada por este software.  

Un poco de historia

Pegasus apareció en la esfera pública en 2016, cuando investigadores de Lookout y Citizen Lab alertaron de una amenaza que se aprovechaba de varias vulnerabilidades críticas de zero days en iOS. Con zero days o día cero, los expertos en ciberseguridad se refieren a vulnerabilidades o fallos en un sistema que sus desarrolladores aún no conocen y, por lo tanto, no han tenido oportunidad de corregir.

NSO Group, sin embargo, llevaba operativa desde 2010 como una empresa de desarrollo de malware para gobiernos y cuerpos de seguridad. Siempre han defendido que sus productos se utilizan para combatir el crimen y el terrorismo.

Aún así, Pegasus tiene una amplia trayectoria en la que se le ha vinculado con el espionaje político. En 2019 se vinculó por primera vez con España al publicarse una lista de 1.400 personas entre las que se encontraban varios políticos catalanes que habrían sido espiados por el Gobierno de España a través de una vulnerabilidad de WhatsApp. La aplicación de mensajería denunció esta irregularidad, pero la empresa NSO Group se negó a confirmar si el ejecutivo español estaba entre sus clientes. 

Dos años después volvía a la palestra la empresa israelí al ser denunciada por Apple. La compañía tecnológica aportaba más información sobre la infección de los dispositivos de jefes de estado, abogados, ministros y diplomáticos de alto nivel de todo el mundo.

Con la denuncia, Apple buscaba forzar así una orden judicial que prohibiera de forma permanente a NSO Group utilizar software, servicios y dispositivos de la marca de los iPhones. El juicio entre WhatsApp (Meta) y NSO Group se está celebrando actualmente y, según explica The Times of Israel, la empresa israelí ha solicitado a la Corte Suprema de EEUU ser reconocida como agente de un gobierno extranjero, lo que le otorgaría inmunidad según la ley estadounidense.

Estas sucesivas demandas han acabado pasando factura a la empresa que entraba en 2022 buscando fondos de inversión para refinanciar la compañía o venderla por completo. La compra parece estar estancada por disputas entre los accionistas, al mismo tiempo que la compañía va perdiendo valor.

Cómo funciona Pegasus

En un primer momento, Pegasus se valía de la técnica spear-phishing, que consiste en enviar mensajes de texto o correos electrónicos con enlaces fraudulentos para engañar al objetivo y que este se descargue por error el software espía. Una vez dentro del dispositivo, Pegasus es capaz de rastrear la ubicación de la víctima, detectar con quién ha estado, enviar y recibir mensajes, recopilar fotos, o grabar conversaciones controlando el micrófono y otros elementos de la máquina.

Al igual que los sistemas operativos a los que ataca, Pegasus ha evolucionado para contar con más vías de ataque y opciones. Si el spear-phishing no funciona y no encuentra ninguna vulnerabilidad de día cero con la que infectar el dispositivo, NSO presume de poder utilizar un transceptor inalámbrico que se coloca cerca del objetivo, aunque también se puede instalar de forma manual si un agente consigue tener a mano el móvil de la víctima.

Una de las fortalezas más importantes de Pegasus es que consigue infectar los teléfonos móviles sin que la víctima deba realizar ninguna interacción. Son los conocidos como clic cero o zero-touch que no necesitan que el usuario pinche en ningún enlace o archivo para infectar el dispositivo, y junto con el uso de los fallos del día cero, hace que el software sea mucho más complicado de detectar, un espía 24 horas activo que pasa completamente inadvertido. De esta forma, accedía a los dispositivos de Apple, aprovechando una vulnerabilidad que la compañía ya parcheó.

No deja rastro

La pregunta más importante frente a cualquier ataque informático es siempre ¿cómo podemos evitarlo? En el caso de Pegasus la respuesta no es sencilla. Tal y como recogía The Guardian, los investigadores sospechan que este malware se esconde en la memoria temporal de los móviles, lejos del disco duro.

Esto le permite desaparecer en cuanto el terminal se apaga, no dejando casi ningún rastro para que incluso las víctimas con mayores conocimientos en ciberseguridad no puedan detectarlo.

Ante programas tan avanzados como estos, lo mejor que se puede hacer cualquier usuario es mantener sus dispositivos y aplicaciones actualizados con las últimas versiones y correcciones de seguridad disponibles. Cualquier fallo que se haya descubierto y corregido recientemente se instalará en el teléfono estando así más protegido, aunque siempre habrá pequeñas brechas que softwares como estos sabrán aprovechar.

También te puede interesar...

• Un fallo del iPhone permitió el espionaje de periodistas sólo con enviar un mensaje de texto
• Prohibido usar WhatsApp por seguridad: la ONU ya advertía a sus miembros
• Facebook confirma que usuarios de Whatsapp fueron hackeados: así ocurrió