Spyware comercial: casos documentados en el mundo

El espionaje con software comercial deja, a diferencia de casi cualquier otro abuso de poder, una huella técnica. Un teléfono infectado conserva rastros que laboratorios como Citizen Lab, de la Universidad de Toronto, o el Laboratorio de Seguridad de Amnistía Internacional pueden analizar y peer-revisar. Este rastreo reúne solo casos con esa clase de verificación —forense o judicial—, no meras sospechas: veintidós casos documentados en doce países de cuatro continentes, de México a Tailandia, de Polonia a los Emiratos Árabes Unidos.

El patrón que emerge es de una uniformidad casi monótona. El software es, en su abrumadora mayoría, israelí: Pegasus, de NSO Group, aparece en la gran mayoría de los casos, complementado puntualmente por Candiru, el Predator del consorcio Intellexa y el Graphite de Paragon. Y las víctimas, casi siempre, son las mismas categorías: periodistas, activistas, abogados, opositores políticos y defensores de derechos humanos. La herramienta se vende para perseguir 'terrorismo y delincuencia grave'; los teléfonos infectados pertenecen, una y otra vez, a quienes incomodan al poder.

Panamá: la compra que la justicia documentó

El caso panameño es singular porque no depende de un análisis forense de un teléfono, sino de algo aún más sólido: un expediente judicial. El gobierno de Ricardo Martinelli adquirió Pegasus en 2012, por unos ocho millones de dólares, y lo operó desde el edificio Oceanía a través del Consejo de Seguridad Nacional para vigilar al menos a 150 personas entre 2012 y 2014. Todo ello quedó documentado en el juicio por el caso 'pinchazos', donde la Fiscalía detalló la negociación con NSO —instalación y entrenamiento incluidos—. Convierte a Panamá en uno de los primeros Estados del mundo en usar Pegasus, años antes de que el escándalo global estallara en 2021.

Ese precedente importa porque ilumina el resto del rastreo. La mayoría de los casos se conocen por el lado de la víctima —un teléfono que un laboratorio analiza tras una alerta de Apple—, pero rara vez se prueba quién compró y operó el software. Panamá es la excepción que muestra la cadena completa: un Estado, un contrato, un edificio, una lista de objetivos. Y, pese a todo, el expresidente fue absuelto en 2019 en uno de los procesos, un recordatorio de lo difícil que resulta traducir la evidencia técnica en consecuencia judicial.

Quién aprieta el gatillo

La atribución es el punto débil de casi todo el rastreo, y por eso una de las gráficas mide precisamente el nivel de confianza con que cada caso se vincula a un operador. La huella técnica prueba que un teléfono fue infectado; rara vez prueba, por sí sola, quién ordenó la infección. NSO insiste en que solo vende a Estados, lo que estrecha el círculo de sospechosos, pero los gobiernos suelen negar ser clientes —como hizo El Salvador pese a la vigilancia de 22 miembros de El Faro, o como ocurre con el control actual del Pegasus comprado en Colombia, cuyo paradero sigue sin esclarecerse—.

España ilustra la otra cara: allí el espionaje cortó en dos direcciones. Por un lado, el llamado 'CatalanGate' documentado por Citizen Lab, con decenas de independentistas catalanes vigilados; por otro, los propios teléfonos del presidente del Gobierno y de varios ministros, infectados en lo que el Ejecutivo calificó de ataque 'externo e ilícito'. Que tanto los vigilados como los vigilantes acaben en la misma lista de víctimas dice mucho sobre lo descontrolado de este mercado.

Una huella que no respeta fronteras

Si la primera versión de este rastreo se centró en Iberoamérica, su ampliación al resto del mundo confirma que el fenómeno no conoce geografía. En Polonia, el senador opositor Krzysztof Brejza fue infectado 33 veces durante la campaña de 2019, y una comisión del Senado concluyó después que aquellas elecciones fueron injustas: spyware usado no en una autocracia, sino dentro de la Unión Europea. En Tailandia, la operación GeckoSpy infectó al menos a 30 activistas prodemocracia. En los Emiratos Árabes Unidos, el activista Ahmed Mansoor fue uno de los primeros objetivos documentados del mundo, en 2016.

El caso más sombrío es el de Arabia Saudí: Citizen Lab halló Pegasus en el entorno del periodista Jamal Khashoggi —en el teléfono de su confidente Omar Abdulaziz y, después, en el de su esposa— en los meses previos a su asesinato en el consulado saudí de Estambul. Es la prueba más cruda de que la vigilancia mercenaria no es un asunto abstracto de privacidad: puede ser el preludio de la violencia. Y la confirmación de infecciones a exiliados rusos y bielorrusos dentro de la UE demuestra que ni siquiera el refugio en una democracia protege del alcance de estas herramientas.