'Zero click', la novedosa técnica con la que Marruecos infectó el móvil de Sánchez
Se trata de una variante que permite Pegasus y que no requiere que el usuario haga algo para ser espiado
Pedro Sánchez hablando por su teléfono móvil. | EFE
El espionaje con el software israelí Pegasus del móvil del presidente del Gobierno, Pedro Sánchez, se llevó a cabo sin necesidad de que el líder socialista hiciese nada. No pinchó ningún enlace, no cogió ninguna llamada en especial ni abrió una fotografía de WhatsApp. Según ha podido confirmar THE OBJECTIVE de fuentes de la investigación, la infección espía del móvil de Sánchez se produjo mediante lo que se denomina zero click. Una técnica compleja que no permiten muchas herramientas en el mundo, pero que sí forma parte de las características que Marruecos tenía contratadas con NSO Group, la firma israelí que suministra Pegasus y cuyos responsables volaron de urgencia a Málaga apenas unas horas después del espionaje a Sánchez. Un año antes de lo que admitió Moncloa.
Por su definición técnica, un ataque sin clic o zero click utiliza una vulnerabilidad detectada de antemano por Pegasus —u otra herramienta de este tipo de sofisticación— para llevar a cabo la intromisión sin ser detectada y sin que el usuario haga absolutamente nada para ello. Es más eficaz, ya que entra sin llamar la atención, y no requiere de técnicas de ingeniería social para que el usuario interactúe con algún tipo de archivo: una foto, un enlace…
De esa forma, el llamado exploit, el código informático que lleva una serie de instrucciones maliciosas contra el dispositivo, puede comenzar a trabajar sin ser detectado. Lo primero que suele atacar —y transfiere remotamente al atacante— es la agenda de contactos. De ahí es más fácil saltar a otros objetivos, explican fuentes familiarizadas con este tipo de sistemas.
Esta opción es una de las que presenta NSO Group cuando oferta a actores estatales la compra de paquetes de software de Pegasus. Un programa que, cabe recordar, cobra por pinchazo. Es decir, el operador selecciona a un teléfono móvil objetivo y accede a él, pagando una tarifa al fabricante israelí que alcanza las decenas de miles de euros. Según las fuentes consultadas, Rabat usó tanto el software que terminó siendo el operador con la factura más abultada, de varios millones de euros.
Una operación de Marruecos
El espionaje con el software israelí Pegasus del teléfono móvil del presidente Pedro Sánchez sigue, casi cinco años después, sin autor identificado judicialmente. La investigación no logró atribuir técnicamente la intrusión, debido a la mínima huella que deja este spyware. Sin embargo, fuentes de inteligencia citadas por THE OBJECTIVE sostienen que, en el ámbito interno, no existen dudas: la operación fue ejecutada por Marruecos y aprovechó una circunstancia muy concreta, el viaje del presidente a Ceuta y Melilla en mayo de 2021, en plena crisis migratoria provocada por la entrada masiva de más de 10.000 personas en Ceuta.
El momento clave se sitúa el 18 de mayo de 2021. Sánchez y el ministro del Interior, Fernando Grande-Marlaska, se desplazaron a Ceuta para supervisar sobre el terreno la situación generada tras el asalto fronterizo, desencadenado por la acogida en España del líder del Frente Polisario, Brahim Ghali. Durante esa visita, mantuvieron reuniones en el Centro Operativo de Seguridad en la zona de El Tarajal, a escasos metros de territorio marroquí, y posteriormente sobrevolaron el área en helicóptero antes de viajar a Melilla. Según estas fuentes, ese itinerario constituyó una «ventana de oportunidad» operativa: permitió identificar con precisión los terminales del presidente y su séquito.
El elemento técnico central habría sido el uso de dispositivos conocidos como IMSI-Catcher o StingRay, sistemas capaces de suplantar antenas de telefonía móvil para forzar la conexión de los teléfonos cercanos y capturar sus identificadores únicos (IMSI e IMEI). El móvil de Sánchez habría quedado expuesto en al menos tres ubicaciones ese mismo día —El Tarajal, el sobrevuelo y Melilla—, lo que facilitó aislar la firma digital de sus dispositivos entre todos los presentes. Marruecos dispone, según estas fuentes, de varios equipos de este tipo, incluidos modelos portátiles y variantes de uso militar con mayor alcance.
La infección con Pegasus se habría producido ese 18 de mayo y el 19 tuvo lugar el primer y mayor robo de datos. Para ello, como se describe en esta información, se empleó un ataque zero-click, es decir, sin necesidad de que la víctima pulsara un enlace o interactuara con ningún contenido. Este método, más sofisticado, puede verse facilitado por el uso previo de un IMSI-Catcher, que permite identificar el objetivo exacto e incluso manipular el tráfico para inyectar el exploit. La huella técnica detectada sería similar a la observada en casos atribuidos a la inteligencia marroquí contra periodistas críticos, reforzando así la hipótesis de su autoría.