23 Informe Pegasus
23 Informe Pegasus
23 Informe Pegasus
DICTAMEN
Notas sobre el problema de Pegasus (y
otros) descubiertos por el Catalangate.
Septiembre 2022
Aspertic es una asociación profesional registrada como grupo de presión
(lobby) en el registro de transparencia de la UE con el número 880143435725-
46, donde es auditada semestralmente; y con el número 17482, en la
Generalitat y el conjunto de las administraciones públicas, en el apartado
jurídico y tecnológico.
Compliance
a) Pegasus
El software Pegasus y su historia, no es más que la constatación empírica
de la desconfianza que demuestran los actores estatales por implementar y
extender sus labores de inteligencia al dominio cibernético, incluso a riesgo de
compartir la información obtenida con actores privados patrocinados por
estados extranjeros cuyos objetivos políticos se desconocen. Pero también, y
esta es una de las conclusiones que podemos sacar, la desconfianza de élites
funcionariales y extractivas contra los propios políticos y contra sus propias
élites competidoras. Es enormemente tentador saber las intimidades de todo
aquel que tiene relación contigo, o que en un momento determinado puedes
tener un conflicto con el mismo.
En España se identifican claramente cuatro grupos de usuarios, que son en
este orden, el CNI, la Guardia Civil, la Policía Nacional y el lobby de los grandes
bancos y empresas. Y las víctimas, pocas son terroristas y autores de
delincuencia grave; las víctimas son activistas, periodistas, abogados,
funcionarios de todos los niveles y adversarios políticos, adversarios entre los
que se cuentan también los propios miembros del gobierno, compañeros de
partido y la oposición.
Pegasus es un malware/spyware creado por la compañía israelí NSO Group
Technologies, dedicada a la creación de software de intrusión y monitorización,
y que es vendido de forma “legal” a los estados como una herramienta
destinada a combatir el terrorismo y el crimen organizado. Sin embargo, tal y
como se ha demostrado a través de los distintos escándalos de espionaje
estatal que ha protagonizado –y que han trascendido al público–, las víctimas
potenciales de Pegasus no se limitan únicamente al mundo del hampa o de
terroristas acreditados; éstos son, como se ha dicho, precisamente, los menos.
La forma de infección mediante Pegasus es relativamente simple, una vez
seleccionada la víctima por parte del emisor, (con lo que el estado de Israel y la
mitad de las empresas de inteligencia del mundo saben que es un “sujeto de
interés”1), éste envía un mensaje con un enlace infeccioso camuflado en un
contenido aparentemente legítimo, el cual permite descargar de forma
inadvertida el software malicioso una vez que la víctima accede al mismo.
Desde este momento, el spyware permite al comprador y usuario de
Pegasus recopilar la información almacenada en el dispositivo y monitorizar de
forma constante la actividad del terminal, ya que, dado su carácter modular el
malware permite al atacante adquirir un control total del dispositivo,
1 Con el agravante que comporta de “ficha previa” como “sospechoso” para que “pique”,
recopilación y cesión incontrolada de datos de la que no tiene conocimiento.
3 Todo así, por informaciones recibidas, pero sin fehaciencia, estaríamos por la compra de tres
paquetes de Pegasus y tres paquetes de Candiru de cincuenta licencias cada paquete.
Mediante el pago de 50.000 €uros, NSO cambiaba el destinatario del ataque. No sería pues
descabellado afirmar que el número de infectados se situaría sobre los 1.000 atacados
directos por cada uno de dichos programas, a los que habría de sumarse los contactos de
los atacados y el Big Data que se aprovecha de los más de diez programas de intervención
de telecomunicaciones diferentes que se han adquirido.
Y sin embargo, “eppur si muove”, como nos diría Galileo. Si por algo se ha
caracterizado el “deep state” policial español, con sus policías patrióticas y sus
militares salvadores de la patria, es en considerar a los poderes democráticos
unos enemigos a eliminar. A resultas de esa realidad, desde siempre, unos
cuerpos y otros se han controlado entre sí, y todos ellos, a los políticos salidos
de las urnas.
Silc es también un analizador de tráfico para ver por donde está navegando
un sospechoso, como por ejemplo gente que busca pornografía con menores
en internet. Actualmente, también recoge SMS por la simple razón de que los
sms no salen por la red móvil, si no que los enrutan por la red de datos para
ahorrarle costes a la operadora.
Pero parece ser que para la Guardia Civil ni SITEL ni SILC son herramientas
suficientes y planean adquirir en exclusiva un sistema de monitorización de
redes móviles, y para ello va a dedicad más de un millón de euros, según se
puede leer en este artículo.
6 Pliego técnico de SILC donde se indica al final que está financiado por los presupuestos de
la UE, y por tanto queda sujeto a la Directiva 2019/1937 de protección a los denunciantes
del derecho de la Unión.
Resulta que Verint, por otra parte, también es conocida por colocar
“backdoors” (o puertas traseras, en la jerga informática) en su software (lisa y
llanamente espionaje) y también por crear virus. Tanto es así, que el virus
Stuxnet fue diseñado por esta empresa para ser usado por el Mossad contra el
proyecto de energía nuclear pacífico de Irán. Un acto de sabotaje terrorista
(otro más de Israel) que violaba claramente el derecho internacional, según
expertos jurídicos independientes.
Y hay quien va más lejos y señala a esta empresa israelí como las creadora
de las falsas llamadas que se realizaron el 11-s por “pasajeros” de los aviones
“secuestrados” a sus “familiares” y que luego fueron utilizadas por los
conspiradores para hacer más creíble el secuestro de los falsos terroristas. A
este respecto solo hay que leer qué tipo de tecnología ofrece Verint en su
página de Internet: “Verint Security Intelligence Solutions help
government and commercial organizations around the globe protect
people and property and neutralize terror and crime. Our solutions
generate Actionable Intelligence™ through the analysis of voice,
video, and unstructured text.”7
7 «Verint Security Intelligence Solutions ayuda a los gobiernos y empresas de todo el mundo
con el objetivo de proteger a personas o bienes y, de este modo, neutralizar el terrorismo y
la delincuencia. Nuestras soluciones generan a través de Actionable Intelligence ™ análisis
de voz, vídeo y texto no estructurado»
Solo estos cuatro videos frente a cientos o miles de las otras marcas,
incluso las más pequeñas, donde constan análisis, montaje y desarme,
comparativas o presentaciones en los centenares de ferias, concursos y
congresos, que por todo el mundo se celebran9.
A mayor abundamiento, las 6000 pistolas con sus fundas, se permite que
sean entregadas a futuro hasta el 2023 a razón de dos mil cada año. Por lo que
habrían de estar distribuidas, en este momento, al menos, dos mil. Esta
condición aceptada para un cuerpo de 75.000 agentes, que usan todos Beretta,
dice muy poco sobre la capacidad de fabricación y almacenaje del fabricante.
9 Tiene diez veces más videos en Youtube el artesano «SPS» que fabrica pistolas
customizadas en Ripollet (Barcelona)
10
En resumen unas características nada policiales para una marca que surgió
de la nada, sin historial y con una baja temeraria.
De ser este el pago indirecto a NSO a través de este concurso de seis mil
pistolas, no sólo nos encontraríamos delante de un concurso con baja
temeraria, sino delante de una falsedad en documento público, y una
adjudicación delictiva12.
Porque hay que renovarse, la Guardia Civil abrió en las semanas previas a
la finalización de este informe, un proceso para buscar una empresa que se
encargue de la actualización de un sistema de monitorización remota de
terminales móviles. El programa en cuestión tiene por nombre ‘Aqueos’. Y
curiosamente, la Guardia Civil está efectuando otra compra a Emptam, en este
caso, de una variante de fusiles automáticos M16, pero fabricados en Israel.
12 Emptam tiene «curiosamente» y pese a tener el aval NATO prohibida la venta de sus
productos en Francia y algún otro estado de la Unión, hecho absolutamente único.
El concurso de 2018
El concurso de 2021
Vemos que los dos contratos son contratos de la clase “negociados sin
publicidad” (adjudicaciones a dedo) donde se “invita” privadamente y se
adjudica, SIN MÁS, a la empresa DARS TELECOM, S.l. el software de la
plataforma SILC. Además, a diferencia del procedimiento de la Guardia Civil
que formalmente es escrupuloso, en ésta se ha omitido en el expediente,
cualquier otra cosa que no sea el acuerdo de adjudicación.
G) Adenda Europea
Según Reuters, la Unión Europea encontró pruebas de que los teléfonos
inteligentes utilizados por algunos de sus funcionarios fueron comprometidos
por el software de espionaje de una empresa israelí, al acceder ésta, a un
documento oficial de la Comisión.
En una carta enviada el 25 de julio a la legisladora europea Sophie in 't
Veld, el Comisario de Justicia de la UE, Didier Reynders, dijo que Apple le había
dicho en 2021 que sus teléfonos iPhone posiblemente habían sido vulnerados
utilizando Pegasus, una herramienta desarrollada y vendida a clientes
gubernamentales por la empresa de vigilancia israelí NSO Group14. ¿Fue alguno
de los propios estados miembros quien espió a los funcionarios europeos?.
16 https://revistaespejo.com/2022/09/18/programas-espia-el-derecho-a-la-privacidad-mas-
amenazado-que-nunca/
17 https://drive.google.com/file/d/1thCxp_oVshBHLIPHTiMOraA6maDwAiP6/view
18 https://drive.google.com/file/d/1VZmhGE90T3cXvMa15SEWJE0UbroJ3Eh9/view
19 Artículo quinto.
Son principios básicos de actuación de los miembros de las Fuerzas y Cuerpos de Seguridad los
siguientes:
1. Adecuación al ordenamiento jurídico, especialmente:
a) Ejercer su función con absoluto respeto a la Constitución y al resto del ordenamiento
jurídico.
b) Actuar, en el cumplimiento de sus funciones, con absoluta neutralidad política e
imparcialidad y, en consecuencia, sin discriminación alguna por razón de raza, religión u
opinión.
c) Actuar con integridad y dignidad. En particular, deberán abstenerse de todo acto de
corrupción y oponerse a él resueltamente.
d) Sujetarse en su actuación profesional, a los principios de jerarquía y subordinación. En
ningún caso, la obediencia debida podrá amparar órdenes que entrañen la ejecución de
actos que manifiestamente constituyan delito o sean contrarios a la Constitución o a las
Leyes.
e) Colaborar con la Administración de Justicia y auxiliarla en los términos establecidos en la
Ley.
c) Darán cumplimiento y observarán con la debida diligencia los trámites, plazos y requisitos
exigidos por el ordenamiento jurídico, cuando se proceda a la detención de una persona.
4. Dedicación profesional.
Deberán llevar a cabo sus funciones con total dedicación, debiendo intervenir siempre, en
cualquier tiempo y lugar, se hallaren o no de servicio, en defensa de la Ley y de la
seguridad ciudadana.
5. Secreto profesional.
Deberán guardar riguroso secreto respecto a todas las informaciones que conozcan por razón
o con ocasión del desempeño de sus funciones. No estarán obligados a revelar las fuentes
de información salvo que el ejercicio de sus funciones o las disposiciones de la Ley les
impongan actuar de otra manera.
6. Responsabilidad.
Son responsables personal y directamente por los actos que en su actuación profesional
llevaren a cabo, infringiendo o vulnerando las normas legales, así como las reglamentarias
que rijan su profesión y los principios enunciados anteriormente, sin perjuicio de la
responsabilidad patrimonial que pueda corresponder a las Administraciones Públicas por las
mismas.
20 https://intellexa.com/
21 Ex militar y millonario israelí
Uno de los aspectos más importantes de este software espía es que puede
sobrevivir al reinicio de un iPhone, un proceso que puede borrar la mayor parte
de los software espía alojados en su memoria.
En sus investigaciones, la red social señaló que Cytrox usó una red de
dominios «para falsificar entidades de noticias legítimas en los países de su
interés e imitar servicios legítimos de redes sociales y acortamiento de URL».
Meta también bloqueó las cuentas de otras seis entidades de piratería
informática con sede en EE. UU., India, Israel y China.
22 Curiosamente, fue publicar que en España se había utilizado Predator, que la AEPD le
impuso a Google la mayor multa hasta el momento.
23 El modelo español es bien parecido a la Stassi alemana, nacida del cruce de la KGB y de la
Gestapo, La Gestapo, es preciso recordarlo también nació en una sociedad que se llamaba a
sí misma «plenamente democrática».
24 Universidad Politécnica de Madrid
J) El problema probatorio
De la experiencia que tenemos en el caso del periodista Ignacio Cembero,
se puede acreditar que te han espiado, pero muy difícilmente quién te ha
metido “el bicho” en el teléfono, y de eso se aprovecha el “deep state”. Estos
casos acaban, con gran satisfacción de los agresores, sin condena posible.
1) Una vez analizada la parte más mediática del tema, éste presenta
diversos temas probatorios de suma importancia.
Sin embargo, existen otros programas que se tiene la certeza de que han
sido utilizados además del sistema de escuchas SITEL, que sería el oficial, el
nombre de Sprinter ya salió a la luz en octubre de 2017 a raíz de una
denuncia que presentó el ex-jefe de Asuntos Internos de la Policía, Marcelino
Martín Blas, en el marco de la investigación por la grabación y difusión de un
encuentro entre agentes del CNI y de la mencionada unidad por la operación
contra el 'pequeño Nicolás'. La defensa de este comisario aportó entonces
aspertic@aspertic.org
https://aspertic.org