¿Qué es el Centro Criptológico Nacional? El organismo que ha destapado el espionaje del móvil de Sánchez

El Centro Criptológico Nacional (CCN) ha dado a conocer este lunes que los teléfonos del presidente del Gobierno, Pedro Sánchez, y la ministra de Defensa, Margarita Robles, habrían sido también interceptados por el software de espionaje Pegasus en mayo de 2021. Se trata de un organismo dependiente del Centro Nacional de Inteligencia encargado de mejorar la ciberseguridad española, además de actuar de forma «rápida y eficiente» contra ataques y amenazas que puedan producirse a través de la red.

Qué es el Centro Criptológico Nacional y quién lo dirige

El CCN es el «órgano responsable de coordinar la acción de los diferentes organismos de la Administración que utilicen medios o procedimientos de cifra, garantizar la seguridad de las Tecnologías de la Información en ese ámbito, informar sobre la adquisición coordinada del material criptológico y formar al personal de la Administración especialista en este campo». En definitiva, se encarga de la gestión de ciberincidentes que afecten a cualquier organismo o empresa pública, con el objetivo de lograr «un ciberespacio más seguro y confiable». De esta manera, el Centro Criptológico Nacional cumple la labor de preservar la información clasificada y sensible, además de defender el Patrimonio Tecnológico español, formando al personal experto, aplicando políticas y procedimientos de seguridad y empleando y desarrollando las tecnologías más adecuadas a este fin.

El organismo de ciberseguridad fue creado en el año 2004 como centro adscrito al Centro Nacional de Inteligencia, después de que dos años antes se hubiera encargado a esta institución el ejercicio de las funciones relativas a la seguridad de las Tecnologías de la Información y de protección de la información clasificada. La vinculación entre estos dos órganos hace que el Secretario de Estado y Director del CNI tenga también la responsabilidad de dirigir el CCN, además de que ambos compartan medios, procedimientos, normativas y recursos.

En caso de situaciones críticas, el organismo encargado de actuar será el CCN-CERT, que representa la Capacidad de Respuesta a incidentes de Seguridad de la Información del Centro Criptológico Nacional, tal y como detalla la web del CCN. Su misión es la de contribuir a la mejora de la ciberseguridad española, siendo el centro de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a los ciberataques y ciberamenazas.

¿Cuáles son las funciones del CCN?

El Centro Criptológico Nacional cuenta con ocho funciones principales relativas a salvaguardar la ciberseguridad:

1. Normativa. Elaborar y difundir normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas TIC (Guías CCN-STIC).
2. Formación. Formar al personal del Sector Público especialista en el campo de la seguridad.
3. Vigilar. Velar por el cumplimiento de la normativa relativa a la protección de la información clasificada en su ámbito de competencia.
4. Desarrollo. Coordinar la promoción, desarrollo, obtención, adquisición y puesta en explotación y uso de tecnologías de seguridad.
5. Evaluación. Valorar y acreditar la capacidad de los productos de cifra y de los sistemas para manejar información de forma segura.
6. Certificación. Constituir el Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de la Seguridad, de aplicación a productos y sistemas en su ámbito.
7. Ciberseguridad. Contribuir a la mejora de la ciberseguridad española, a través del CCN-CERT, afrontando de forma activa las amenazas que afecten a sistemas del Sector Público, a empresas y organizaciones de interés estratégico para el país, en coordinación con el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) y a cualquier sistema TIC que procese información clasificada.
8. Relaciones. Establecer las necesarias relaciones y firmar los acuerdos pertinentes con organizaciones similares de otros países, para el desarrollo de las funciones mencionadas.

El espionaje de Pegasus

El programa Pegasus surgió en 2016 de la mano de la empresa israelí NSO con el objetivo de convertirse en un medio para perseguir a criminales y terroristas. Sin embargo, en los últimos años ha resultado ser un sistema muy sofisticado para aprovecharse de las vulnerabilidades de los teléfonos móviles inteligentes. Recientemente se ha descubierto que la compañía tecnológica se dedicaba a vender este software a gobiernos y firmas de inteligencia para realizar espionaje encubierto.

Pegasus aprovecha las brechas de seguridad de Whatsapp y Faceebok para entrar en los dispositivos e instalar módulos en la memoria interna del teléfono para espiar a sus víctimas. El programa utiliza el fishing, una técnica de estafa online que se basa en enviar mensajes para lograr engañar a la víctima y que esta se descargue este malware malicioso en su dispositivo móvil. Una vez se introduce en el teléfono móvil, Pegasus exporta los datos del usuario hacia páginas web creadas por la empresa NSO, que se renuevan constantemente para evitar ser detectadas. Esta transmisión de información pasa totalmente desapercibida por parte del usuario, ya que no deja rastro. El virus se oculta en la memoria temporal del dispositivo para que el usuario no pueda identificarlo ni durante ni después de su ciberataque y, en el momento en el que el teléfono se apaga, desaparece.

Este software de espionaje israelí es capaz de rastrear los mensajes de casi todas las aplicaciones del teléfono móvil, utilizar la grabadora, capturar las fotos e incluso acceder la ubicación del dueño del dispositivo y saber con qué personas ha estado.