Pegasus: así es el software espía israelí que ha infectado a miles de móviles de todo el mundo

Al menos 50.000 números de teléfono de periodistas, altos cargos de empresas, activistas de derechos humanos, políticos, funcionarios, ministros y diplomáticos han sufrido un posible espionaje por diferentes organizaciones y gobiernos a través del programa Pegasus de la empresa israelí NSO. Así lo ha desvelado una investigación periodística realizada por 17 medios internacionales que ha levantado una oleada de condenas en todo el mundo por el uso de este tipo de métodos de inteligencia militar en el rastreo de información privada de periodistas, políticos y defensores de derechos humanos, entre otras víctimas.

En la Feria de Defensa bianual de Emiratos Árabes (IDEX), en 2017, un representante de una empresa de seguridad me mostró que a través de la red wifi gratuita de la feria, a la que se conectaban gran parte de los asistentes, era muy fácil acceder a los datos de sus smartphones. Abrió una aplicación instalada en su tablet y allí estaban todos los dispositivos que estaban conectados a la red en nuestro alrededor. Con un solo clic, su información ya sería suya. No hizo ese clic, por supuesto, de haberlo hecho estaría incurriendo en un delito.

En aquel momento esta tecnología me pareció sorprendente a la par que peligrosa y me demostró lo desprotegidos que estamos y lo fácil que es ser hackeado. Peor es que lo del software Pegasus es otro nivel. No hace falta hacer clic en ningún enlace, ni estar conectado a una red wifi, ni estar cerca del otro dispositivo para introducirse en móvil de la víctima y sacar la información que contiene. Te damos las claves de cómo funciona este avanzado software de espionaje israelí que ya ha infectado a miles de móviles en todo el mundo.

El programa Pegasus, lanzado en 2016 por la empresa israelí NSO, prometía ser un medio para perseguir a criminales y terroristas, pero ha resultado ser un sistema muy sofisticado que explota constantemente las vulnerabilidades de los teléfonos móviles inteligentes. La lista de víctimas del supuesto espionaje incluye los números de 180 periodistas, 600 políticos, 85 militantes defensores de los derechos humanos o 65 empresarios, según la investigación realizada por el diario francés Le Monde, el británico The Guardian, el estadounidense The Washington Post y los medios mexicanos Proceso y Aristegui Noticias, entre otros.

A medida que avanza la investigación de un consorcio de medios internacionales, coordinados por la organización francesa Forbidden Stories y con apoyo técnico de Amnistía Internacional (AI), crece el escándalo y los gobiernos supuestamente implicados niegan con mayor vehemencia su relación en el uso ilegítimo del software de la firma tecnológica israelí NSO Group.

Arabia Saudí, Marruecos, México, Hungría, la India, Ruanda y Azerbaiyán figuran entre los que habrían recurrido a esta práctica, según los autores de la investigación, que implican a casi un centenar de países.

La empresa implicada, NSO, ha rechazado divulgar la lista de sus clientes, ha considerado que la investigación es «endeble» y ha recalcado su argumento de que su tecnología ayuda a combatir el terrorismo y el crimen.

¿Cómo funciona Pegasus?

Una vez se introduce en el teléfono móvil, Pegasus exporta los datos del usuario (correos electrónicos, mensajería, fotografías, etc) hacia páginas de internet creadas por NSO, que se renuevan constantemente para evitar ser detectadas. El programa permite también escuchar las conversaciones de su propietario.

Es «como si dejarais vuestro teléfono en manos de otra persona», advierte Alan Woodward, profesor en ciberseguridad de la Universidad de Surrey (Reino Unido), a la agencia AFP.

Esta transmisión de información pasa completamente desapercibida para el usuario y es muy difícil encontrar cualquier prueba de este espionaje en los teléfonos Android. Por este motivo, la investigación de Amnistía Internacional, revelada el domingo, se basó en móviles Apple.

¿Cómo se piratea el teléfono de la víctima?

En su controvertido pasado, muy bien documentado por Amnistía, NSO utilizó SMS trampa, bugs en Whatsapp, en iMessage, Apple Music…

Hace unos años, se requería una acción del usuario, como clicar en un enlace, para que se produjera el pirateo del teléfono. Pero ahora ya ni siquiera se necesita este gesto del propietario para que Pegasus pueda introducirse en su smartphone.

¿Cómo NSO encuentra fallos en los teléfonos para introducirse en ellos?

Con más de 1.000 empleados, NSO es una gran empresa que tiene contratados a piratas informáticos de élite y esto le permite encontrar constantemente fallos en los teléfonos para introducirse en ellos. Según expertos, también suele recurrir al «mercado negro» en el que investigadores en ciberseguridad, con muy poca moral, suelen comercializar las fallas que sirven como puerta de entrada.

Las fallas más apreciadas se conocen como «zero days» y se trata de errores que nadie antes había detectado y que resultan difíciles de solucionar. Según Bastien Bobe, director técnico en el sur de Europa de Lookout, editora de un programa de protección de smartphones, los «zero days» más valiosos pueden comercializarse por hasta dos millones de dólares en iOS (sistema operativo de Apple) y 2,5 millones en Android.

¿Se puede evitar este tipo de espionaje?

Sí y no. Algunas precauciones sencillas pueden dificultar el pirateo, como actualizar su teléfono o apagarlo una vez al día, dado que este tipo de acciones dificultan el funcionamiento de estos programas de espionaje.

También pueden comprarse algunos programas para mejorar la seguridad del móvil, pero estos cuentan con pocos usuarios, «ya que la gente se siente más segura con su teléfono que con el ordenador», lamenta Bobe.

Según reconoce este especialista, ninguna acción garantiza una protección total. «Si alguien quiere hacerse con el control de un smartphone y dispone de medios importantes para ello (…), como varios millones o decenas de millones, lo conseguirá», afirma.

Por este motivo, recomienda que aquellas personas que disponen de informaciones sensibles o codiciadas es mejor que utilicen viejos teléfonos móviles no inteligentes.