Nadie está protegido: Pegasus es indetectable y los hackers lo saben
Ciberespionaje
Los fabricantes de móviles no son capaces de seguir el ritmo de los piratas informáticos
El programa que espió a los independentistas catalanes también se usó con reporteros y activistas de todo el mundo
Szabolcs Panyi: “La única forma de evitar el espionaje es no tener una tarjeta SIM”
Una mujer usa su iPhone frente al edificio que alberga al grupo israelí de NSO Group, responsable del desarrollo de Pegasus
Una investigación coordinada por Forbidden Stories, un consorcio de medios apoyado por Reporteros Sin Fronteras (RSF) y Amnistía Internacional, ha destapado un programa de espionaje vinculado a la empresa israelí NSO Group. Su software Pegasus habría sido utilizado por parte de gobiernos de decenas de países para infectar unos 50.000 móviles pertenecientes a sus enemigos políticos, entre ellos periodistas, activistas y rivales políticos.
El uso de este programa malicioso ya se conocía de informes filtrados en el pasado, entre ellos la investigación publicada hace un año que señalaba como víctimas de espionaje a Roger Torrent, expresident del Parlament de Catalunya, y a otros políticos catalanes, como conseller Jordi Puigneró y el excandidato a la alcadía de Barcelona por ERC Ernest Maragall.
Vigilancia masiva
Así usan los gobiernos el software espía Pegasus para perseguir a enemigos políticos
El expresident del Parlament de Catalunya, Roger Torrent, y el diputado de ERC Ernest Maragall, dos de los políticos espiados con el sotfware Pegasus(Horizontal)
El análisis forense realizado por Amnistía Internacional del mecanismo de piratería informática utilizado por los especialistas de NSO Group no deja lugar a dudas: nos encontramos ante el escándalo más grave en materia de ciberseguridad desde que Edward Snowden destapara la red de vigilancia mundial de la NSA. El propio Snowden ha calificado las revelaciones como "la historia del año", y ha instado a la compañía israelí a "asumir la responsabilidad penal directa" por las muertes y detenciones de los objetivos de esta campaña global de espionaje a través de dispositivos móviles.
El consorcio de investigación ha avanzado que la lista de las víctimas de esta campaña de cibervigilancia será publicada en los próximos días. Las primeras publicaciones ya han revelado algunos nombres. Entre los clientes de NSO Group destacan países como México -el país con más afectados, unos 15.000-, India, los Emiratos Árabes Unidos, Hungría y Arabia Saudita.
Lo que ya se sabe es que nadie está a salvo. Esta herramienta de ciberespionaje es de tal grado de sofisticación que ni siquiera la última versión del sistema operativo de Apple, iOS 14.6, puede detectar a los intrusos. Uno de los investigadores de Citizen Lab, que ha prestado apoyo tecnológico en la investigación, explica en un hilo de Twitter cómo funciona Pegasus. En resumen: recaba cualquier comunicación realizada a través del dispositivos, desde correos electrónicos a chats de Whatsapp; activa de forma secreta el micrófono y la cámara del móvil de la víctima; graba sus llamadas; y le geolocaliza. Todo esto se hace independientemente de las medidas de seguridad que haya tomado el usuario, ya sea de Android o de iOS. Simplemente, los atacantes van varios pasos por delante de sus objetivos.
Una herramienta muy sofisticada
Inescrutable incluso para la última versión del iOS de Apple
Hatice Cengiz, la prometida del periodista saudí asesinado Jamal Khashoggi, es una de las víctimas de Pegasus
Lo realmente novedoso -y alarmante- del modus operandi de Pegasus es cómo llega a infectar los dispositivos que persigue. La víctima no tiene escapatoria. No es necesario que ésta cometa una acción ingenua o imprudente, como hacer clic en un enlace sospechoso recibido a través de un SMS. El software es mucho más avanzado. Los atacantes se aprovechan de vulnerabilidades desconocidas por el resto de hackers e incluso por los equipos de seguridad de las más grandes compañías del mundo tecnológico como Apple o Google. Son los exploits conocidos como "zero-day". Esto es, debilidades que son ignoradas incluso por el fabricante del producto. Y por tanto, también por el usuario.
Una de las grandes sorpresas que se han llevado los responsables técnicos de la investigación que ha destapado esta red de espionaje global es que Pegasus -que han analizado ataques realizados desde 2016 hasta hace apenas unos días, en julio de 2021- es capaz de sortear la que pasaba por ser la muralla más infranqueable de la ciberseguridad a nivel de usuario: la versión más actualizada del sistema operativo de los iPhone. Pegasus enviaba un mensaje sin sonido a través de iMessage (los SMS de Apple). El usuario no recibía notificación del mensaje. Ni sonora, ni visual ni en modo de vibración. Es decir, el ataque no sólo no requería interacción del usuario, sino que éste no tenía manera alguna de enterarse que "el bicho" se había introducido en su dispositivo.
No es posible crear una puerta trasera solo para los buenos
La conclusión es clara: Pegasus es indetectable y muy difícil de rastrear. Y la lección para el futuro es lúgrube: los fabricantes de móviles no son capaces de seguir el ritmo de los hackers. Ni siquiera Apple, que se jacta de ser la avanzadilla del sector en materia de seguridad y privacidad. Ahora más que nunca vienen a la menta las palabras de Tim Cook cuando la compañía que preside se negó a facilitar a desbloquear el iPhone de un terrorista para acceder a sus datos a petición del FBI: "No es posible crear una puerta trasera solo para los buenos", dijo entonces Cook.
Años después, se demuestra que las precauciones de la empresa de la manzana no han sido suficientes para impedir que los poderosos espíen a sus enemigos. Las víctimas de Pegasus lo tiene claro: “La única forma de evitar el espionaje es no tener una tarjeta SIM”.