Pegasus Project revela arma de vigilancia nunca antes vista

Periodistas del Proyecto Pegasus, más de 80 reporteros de 17 organizaciones de medios en 10 países coordinados por Forbidden Stories con el apoyo técnico del Laboratorio de Seguridad de Amnistía Internacional, examinaron decenas de miles de registros del programa Pegasus, desarrollado por NSO Group, y pudieron observar detrás de la cortina: un arma de vigilancia como nunca antes había sido vista hasta ahora.

Una filtración sin precedentes de más de 50 mil números de teléfono seleccionados para vigilancia por los clientes de la empresa israelí NSO Group muestra cómo esta tecnología ha sido utilizada sistemáticamente para cometer abusos durante años. El consorcio Forbidden Stories y Amnistía Internacional tuvieron acceso a registros de números de teléfono seleccionados por clientes de NSO en más de 50 países desde 2016.

NSO Group afirma que el producto que vende a clientes gubernamentales, comúnmente conocido como Pegasus, está destinado a “recopilar datos de los dispositivos móviles de personas específicas, sospechosas de estar involucradas en delitos graves y terrorismo”. Pegasus tiene amplias capacidades: el software espía se puede instalar de forma remota en un teléfono inteligente sin requerir ninguna acción por parte de su propietario. Una vez instalado, permite a los clientes tomar el control completo del dispositivo, incluido el acceso a mensajes de aplicaciones de mensajería encriptadas como WhatsApp y Signal, y encender el micrófono y la cámara.

Forbidden Stories descubrió que, contrariamente a lo que NSO Group ha afirmado durante muchos años, incluso en un informe de transparencia reciente, este software espía se ha utilizado de forma indebida. Los datos filtrados mostraron que al menos 180 periodistas han sido seleccionados como objetivos en países como India, México, Hungría, Marruecos y Francia, entre otros. Los posibles objetivos también incluyen a defensores de los derechos humanos, académicos, empresarios, abogados, médicos, líderes sindicales, diplomáticos, políticos y varios jefes de estado.

En una carta compartida con Forbidden Stories y sus socios, NSO Group sostuvo que los informes del consorcio se basaban en “suposiciones erróneas” y “teorías no corroboradas”. NSO Group insiste en que el análisis de los datos por los periodistas que formaban parte del Proyecto Pegasus se basó en una “interpretación engañosa de los datos filtrados a partir de información básica accesible y abierta, como los servicios de búsqueda de HLR, que no tienen relación con la lista de clientes objetivos de Pegasus o cualquier otro producto NSO”.

HLR se refiere a Home Location Register, una base de datos que es esencial para operar redes de telefonía celular. Una persona con conocimiento directo de los sistemas de NSO, hablando bajo condición de anonimato, dijo a los periodistas del Proyecto Pegasus que una búsqueda de HLR es un paso clave para determinar ciertas características de un teléfono, como si está encendido o en un país que permite apuntar a Pegasus.

NSO Group también dijo que “continuará investigando todas las denuncias creíbles de uso indebido y tomará las medidas adecuadas en función de los resultados de estas investigaciones”.

El consorcio se reunió con víctimas de todo el mundo cuyos números de teléfono aparecían en los datos. Los análisis forenses de sus teléfonos, realizados por el Laboratorio de Seguridad de Amnistía Internacional y revisados por pares por la organización canadiense Citizen Lab, pudieron confirmar una infección o un intento de infección con el software espía de NSO Group en el 85% de los casos, o 37 en total. Esta tasa es notablemente alta dado que se supone que el software espía de última generación es indetectable en el dispositivo comprometido.

Periodistas del Proyecto Pegasus, más de 80 reporteros de 17 organizaciones de medios en 10 países coordinados por Forbidden Stories con el apoyo técnico del Laboratorio de Seguridad de Amnistía Internacional, examinaron estos registros y pudieron observar detrás de la cortina: un arma de vigilancia como nunca antes había sido vista hasta ahora.

Entre las víctimas se encontraban varios periodistas del Proyecto Pegasus, como Siddarth Varadarajan, un periodista de investigación indio y fundador del sitio de noticias The Wire, que fue atacado en 2018 y Szabolcs Panyi, un reportero de investigación de Direkt36 en Hungría cuyo teléfono fue comprometido durante un período de siete meses en 2019.

Todos compartían una sensación general de impotencia cuando se les informaba sobre los ciberataques que habían sufrido. “Nos hemos estado recomendando mutuamente esta o aquella herramienta, cómo mantener [nuestros teléfonos]cada vez más seguros de los ojos del gobierno”, dijo la periodista azerbaiyana Khadija Ismayilova. “Y ayer me di cuenta de que no hay forma. A menos que te encierres en [una]tienda de hierro, no hay forma de que no interfieran en tus comunicaciones”.

El Laboratorio de seguridad de Amnistía Internacional también identificó nuevas formas a través de las cuales se puede instalar Pegasus en un teléfono, como a través de una falla de seguridad en iPhones que se ha utilizado con frecuencia desde 2019 y aún se detectó en julio de 2021. Fuentes bien informadas compartieron preocupaciones sobre innumerables vulnerabilidades vinculadas al servicio de mensajería de Apple iMessage, un problema que dicen que ha empeorado con los años.

Los datos filtrados sugieren que el software espía se utiliza mucho más descuidadamente de lo que se anuncia. En el informe de transparencia publicado en junio de 2021, la compañía israelí enfatizó que Pegasus “no era una tecnología de vigilancia masiva” y que “se usaba solo cuando [había] una razón legítima de aplicación de la ley o de inteligencia”. Sin embargo, solo el cliente marroquí de NSO Group seleccionó más de 10 mil números de teléfono para su vigilancia durante un período de dos años.

El proyecto arroja una luz dura sobre el negocio de NSO Group, que, a pesar de afirmar que investiga a sus clientes en función de sus antecedentes en materia de derechos humanos, decidió vender su producto a regímenes autoritarios como Azerbaiyán, los Emiratos Árabes Unidos y Arabia Saudita. Los indicios revelaron el importante papel que desempeña el Ministerio de Defensa israelí a la hora de elegir a los clientes de NSO Group. Varias fuentes corroboraron el hecho de que las autoridades israelíes presionaron para que se agregara Arabia Saudita a la lista de clientes a pesar de las dudas de NSO Group. El abogado de la empresa negó que “NSO Group siga las instrucciones gubernamentales con respecto a los clientes”.

Las revelaciones derivadas de esta investigación colaborativa internacional cuestionan las salvaguardas implementadas para prevenir el uso indebido de armas cibernéticas como Pegasus y, más específicamente, el compromiso de NSO Group de crear “un mundo mejor y más seguro”.

Fuente: Aristegui Noticias