Durante años, los investigadores de ciberseguridad de Citizen Lab han monitoreado a la empresa israelí de software espía NSO Group y su producto principal, Pegasus. En 2019, Citizen Lab informó haber encontrado decenas de casos en los que se utilizó Pegasus para atacar los teléfonos de periodistas y defensores de derechos humanos a través de una vulnerabilidad de seguridad de WhatsApp.
Ahora NSO, que está en la lista negra del gobierno de EE.UU. por vender software espía a regímenes represivos, está tratando de utilizar una demanda por el exploit de WhatsApp para saber “cómo Citizen Lab realizó su análisis”.
Proporcionar su trabajo en bruto a NSO, argumentaron los abogados de Citizen Lab , “expondría a las personas ya víctimas de las actividades de NSO al riesgo de mayor acoso, incluso por parte de sus propios gobiernos” y enfriaría su trabajo futuro.
NSO montó una campaña agresiva para rehabilitar su imagen en los últimos años. En noviembre pasado, tras los ataques de Hamás del 7 de octubre, la empresa solicitó una reunión con el Departamento de Estado de EE.UU. para discutir Pegasus como una “herramienta crítica que es utilizado para ayudar en la lucha en curso contra los terroristas”.
La demanda, presentada ante un tribunal federal de EE.UU. en 2019 por WhatsApp y Meta (entonces Facebook), alega que NSO envió Pegasus y otro malware a aproximadamente 1.400 dispositivos en todo el mundo. Durante más de cuatro años, NSO no ha logrado en repetidas ocasiones que se desestime el caso.
Ahora que la demanda avanza, NSO está probando una táctica diferente: exigir repetidamente que Citizen Lab, con sede en Canadá, entregue todos los documentos sobre su investigación de Pegasus. Un juez negó el último intento de NSO de obtener acceso a los materiales de Citizen Lab la semana pasada.
Guacamaya Leaks: la filtración masiva que reveló el uso de Pegasus por parte del Ejército de México
El grupo de filtradores autodenominado Guacamaya se infiltró en 2022 en un servidor de la Secretaría de la Defensa Nacional (Sedena) y extrajo 6 terabytes de información interna y confidencial, aproximadamente el triple de información que la filtración de los Pandora Papers que expusieron secretos financieros mundiales en 2021.
En el caso de la Sedena, se trata de información militar recopilada a lo largo de la última década, con un nivel de detalle de las actividades operativas y de inteligencia de la milicia que nunca antes se había hecho público en México.
En los archivos de la Sedena se expone el seguimiento detallado que hacen los militares de medios de comunicación, periodistas, activistas, defensores de derechos humanos y civiles de interés a través del software Pegasus.
Periodistas como Ricardo Raphael, del diario El Universal, denunciaron que fueron víctimas de espionaje por parte del ejército a través del software Pegasus, según se reveló con la filtración de Guacamaya. Hay listas negras de periodistas clasificados «a favor» y «en contra» del gobierno.
En un comunicado, la Sedena aseguró que el uso del software de espionaje Pegasus no se dio durante el actual sexenio de López Obrador, sino entre 2011 y 2013.
La compañía se ha enfrentado a otras demandas en tribunales estadounidenses por Pegasus, incluidas demandas en curso presentadas por periodistas salvadoreños, Apple y Hanan Elatr Khashoggi, viuda del periodista asesinado Jamal Khashoggi. Estas demandas también se basan en la investigación de Citizen Lab, en diversos grados.
Hasta ahora, con la demanda de WhatsApp, que NSO calificó recientemente como “un juicio ‘espectáculo’ unilateral” en ciernes, no le ha ido particularmente bien a la empresa de software espía. Al principio, NSO argumentó que era completamente inmune a ser demandada en los tribunales estadounidenses, lo que un tribunal federal de apelaciones rechazó rotundamente en 2021 y la Corte Suprema de Estados Unidos se negó a considerar a principios de 2023.
A continuación, NSO argumentó que la demanda debería haberse presentado en Israel en lugar del Tribunal de Distrito de EE.UU. para el Distrito Norte de California, donde tanto WhatsApp como Meta (que también es propietaria de WhatsApp) tienen sus sedes. La jueza Phyllis Hamilton también rechazó ese argumento.
Quizás en el mayor golpe para NSO, a principios de este año Hamilton ordenó a la compañía que revelara su código de software, no solo para Pegasus sino también para “cualquier software espía de NSO dirigido a servidores de WhatsApp o que utilice WhatsApp de cualquier forma para acceder a los dispositivos de destino”. «
Durante el descubrimiento, NSO ya obtuvo miles de documentos de Meta y WhatsApp de la investigación de Citizen Lab sobre Pegasus. Independientemente, NSO ha intentado y fracasado dos veces al utilizar la demanda para obtener más información directamente de Citizen Lab, que tiene su sede en la Universidad de Toronto. En marzo, Hamilton denegó la primera solicitud de NSO de enviar una demanda transfronteriza (una “carta rogatoria”) a sus homólogos del Tribunal Superior de Justicia de Ontario.
NSO volvió a intentarlo el mes pasado. «Las pruebas que los propios demandantes han presentado sobre la investigación de Citizen Lab son incompletas e inadecuadas», argumentaron sus abogados , porque no muestran «cómo Citizen Lab llevó a cabo su análisis o llegó a sus conclusiones» de que Pegasus se utilizó para atacar a individuos de la sociedad civil a diferencia de criminales o terroristas.
Citizen Lab se opuso a las demandas de NSO por numerosos motivos, particularmente dada la “animosidad de NSO” hacia su investigación.
En la última orden, Hamilton concluyó que la demanda de NSO era “claramente demasiado amplia”. Dejó abierta la posibilidad de que NSO vuelva a intentarlo, pero sólo si puede señalar pruebas de que individuos específicos que Citizen Lab categorizó como objetivos de la “sociedad civil” estaban realmente involucrados en “actividades criminales/terroristas”.
«Nos complace que el tribunal haya reconocido que la solicitud de información de NSO Group era demasiado amplia y no necesaria en este momento para resolver las cuestiones en disputa», dijo a The Intercept el director de Citizen Lab, Ronald Deibert.
Con información de Shawn Musgrave para The Intercept
