Qué es Pegasus: así funciona el software espía israelí que "hackea" a medio mundo

Pegasus es un software de la empresa israelí NSO Group. Una nueva investigación reveló que este poderoso programa espía fue usado por gobiernos y otras instituciones para espiar a más de 50.000 personalidades entre periodistas, activistas o políticos.

Estos nuevos informes realizados por una coalición de hasta 16 medios internacionales, entre ellos The Guardian y The Washington Post y liderados por la organización sin ánimo de lucro Forbidden Stories, muestran un entramado de dispositivos espiados a nivel global.

El software de NSO, que en principio solo estaba preparado e indicado para operaciones contra "delincuentes y terroristas", ha sido un arma manejada por todo tipo de regímenes para controlar a sus ciudadanos. Incluso el millonario Jeff Bezos fue víctima de este programa.

La compañía israelí habría vendido su herramienta a, como mínimo, diez países: Azerbaiyán, Bahrein, Kazajstán, México, Marruecos, Ruanda, Arabia Saudí, Hungría, India y los Emiratos Árabes Unidos (EAU).

Todos estos gobiernos señalaron a los ciudadanos que querían controlar aunque la investigación no puede confirmar si al final se "hackearon" todos porque solo han podido comprobar 37, de los cuales el 50% estaban infectados.

Este sofisticado sistema desarrollado por NSO es uno de los mayores quebraderos de las compañías tecnológicas y su seguridad. Tanto es así que en Estados Unidos las grandes plataformas se unieron en una demanda histórica contra esta empresa y su forma de explotar los fallos de privacidad de sus desarrollos.

Microsoft (incluidas sus subsidiarias LinkedIn y GitHub), Google, Cisco, VMware y la Asociación de Internet, que representa a decenas de gigantes tecnológicos, incluidos Amazon, Facebook y Twitter, se coaligaron a finales de 2020 a WhatsApp en la demanda que inició en 2019. Ese año se descubrió la primera intromisión del Pegasus en sus sistemas.

Pero, ¿cómo funciona exactamente este sistema y por qué genera tanto pavor entre las compañías? Todo se basa en un sofisticado y carísimo programa. No se sabe cuánto pagaron los diferentes estados por los servicios de esta empresa, nacida en 2010 en Herzliya, una ciudad de 93.000 habitantes situada cerca de Tel Aviv.

Pero sí es conocido que la firma liderada por Shalev Hulio, un exagente de inteligencia israelí, firmó en 2012 un contrato con el gobierno de México de 20 millones de dólares para luchar contra el narcotráfico, llegando a ayudar en la detención del Chapo Guzmán.

La popularidad de NSO subió tanto que en 2014 el fondo Francisco Partners decidió comprarla por 130 millones de dólares, y apenas un año después, con cerca de 500 empleados, la puso en venta por 1.000 millones de dólares, casi 10 veces lo que había pagado por ella en 2014. La oferta no tuvo mucho éxito, pero en 2019 Hulio y Lavie consiguieron recomprar su propia empresa gracias a la ayuda del fondo londinense Novalpina Capital.

¿Qué es Pegasus y cómo funciona?

En octubre de 2012, el estado de Israel catalogó a Pegasus como un arma, con lo que se arrogó la autoridad para decidir a quién podía vendérsela NSO y en qué condiciones. Autorizó su venta, pero solo a los gobiernos que Israel le autorizase, en ningún caso a empresas privadas. Pegasus puede llegar al teléfono móvil de sus víctimas mediante dos vías:

• Videollamada de WhatsApp. A raíz del fallo de seguridad detectado en 2019, el software puede instalarse en el móvil a través de una videollamada. Lo más alarmante es que ni siquiera hace falta que la víctima la responda: una videollamada perdida es suficiente para contagiar el teléfono.
• SMS con enlace malicioso. El software también puede llegar a través de un SMS iMessage y otras aplicaciones similares. La víctima recibirá un mensaje de texto incitándole a pinchar en un enlace. Si lo hace, automáticamente Pegasus se instalará en su teléfono.

Una vez instalado, el poder de Pegasus es muy amplio. Según un informe de Citizen Lab al que accedió el diario español El País, este software puede escuchar las llamadas de teléfono, acceder a su historial de navegación, activar la cámara y el micrófono o acceder a todo el contenido de conversaciones en aplicaciones como Gmail, Facebook, WhatsApp, Telegram y Skype.

También, según Financial Times, puede acceder a los datos de la nube del usuario e incluso suplantar su identidad a la hora de acceder al correo electrónico. Se trata, en definitiva, de un control total sobre el dispositivo, que quedará a merced de los ciberespías sin que la víctima llegue siquiera a percatarse de lo que está pasando.

En cuanto a la forma de operar de la empresa, la nueva investigación no ha podido averiguar el proceso exacto, pero gracias a la lista de los 50.000 números supuestamente asociados a personalidades señaladas, y los 37 dispositivos móviles que han podido analizar en detalle, han podido averiguar, que muchos muestran una estrecha correlación entre las marcas de tiempo asociadas con un número en la lista y el inicio de los intentos de vigilancia. En algunos casos tan breves como unos pocos segundos.