Pegasus: un juez de EE. UU. desestima la demanda de El Faro
Un juez federal de California ha desestimado la demanda presentada por periodistas del medio salvadoreño El Faro, cuyos teléfonos fueron infectados con el programa espía Pegasus de NSO Group.
La resolución se dictó el miércoles. Según el auto del juez, los demandantes no demostraron que el caso correspondiera a un tribunal de California. El Knight First Amendment Institute, que presentó la demanda en nombre de los periodistas, ha anunciado que tiene previsto recurrir.
El caso despertó interés porque era la primera demanda contra NSO Group, la empresa que desarrolla Pegasus, presentada ante un tribunal estadounidense.
226 infecciones en 17 meses
El Faro es un medio independiente con sede en El Salvador. El demandante principal es Carlos Dada, y el resto de los demandantes son compañeros suyos de El Faro.
Según el Knight Institute, Pegasus se utilizó contra Dada y sus compañeros al menos 226 veces entre junio de 2020 y noviembre de 2021. El instituto presentó la demanda en noviembre de 2022.
Pegasus es un programa espía de tipo "zero-click", es decir, puede comprometer un dispositivo sin que la víctima abra ningún enlace ni archivo adjunto. El Knight Institute explicó que se accedió a los teléfonos de los periodistas de forma remota y en secreto. También señaló que los ataques se intensificaban en los días previos a la publicación de grandes investigaciones de El Faro.
Los demandantes pedían dos cosas al tribunal. En primer lugar, que se ordenara a NSO borrar los datos recopilados de sus dispositivos. En segundo lugar, que se obligara a la empresa a revelar qué cliente había encargado la vigilancia.
La cuestión de la competencia
El litigio giraba en torno a si un tribunal estadounidense en California era siquiera el lugar adecuado para juzgar el caso.
Dada y sus compañeros defendían que sí, porque los ataques se apoyaron en infraestructura comprometida situada en California. El juez no se dejó convencer.
No es la primera vez que se archiva el caso. En marzo de 2024, otro juez ya lo desestimó, al calificar el asunto de "totalmente extranjero" y concluir que no había fundamento para juzgarlo en California.
Esta nueva desestimación supone un revés importante para los periodistas. Aun así, no pone necesariamente fin al caso, que todavía podría reactivarse más adelante. El recurso que prepara el Knight Institute es el siguiente paso.
NSO no respondió de inmediato a una solicitud de comentarios.
Lo que sigue sin saberse
La decisión no resuelve las cuestiones de fondo de la demanda. El tribunal no ha ordenado a NSO borrar ningún dato recopilado, y este caso no ha servido para identificar al cliente que estaba detrás de la vigilancia.
Esos eran los dos objetivos principales de la demanda. Sin un tribunal dispuesto a examinarla, los demandantes no tienen, por ahora, forma de conseguir ninguno de los dos en EE. UU.
Nuestro análisis
La resolución pone de manifiesto un punto débil a la hora de recurrir a los tribunales estadounidenses para exigir responsabilidades a los fabricantes de programas espía. Las víctimas eran periodistas salvadoreños, el proveedor es NSO Group y el vínculo con California procedía de la infraestructura por la que pasaron los ataques. Ya son dos los jueces que han considerado ese vínculo demasiado débil. Esto apunta a que las víctimas extranjeras de programas espía comerciales pueden tenerlo difícil para que un tribunal estadounidense las escuche, incluso cuando sistemas ubicados en EE. UU. intervinieron en el ataque.
Para periodistas, activistas y otros usuarios de alto riesgo, el caso demuestra que las vías legales tras una infección son lentas e inciertas. La prevención y la detección siguen siendo lo más importante. Funciones como los registros forenses de programas espía de Android 17 muestran que los fabricantes de plataformas prestan cada vez más atención a esta amenaza.
El mercado de los programas espía comerciales tampoco está menguando. La salida a bolsa de Paragon en el Nasdaq demuestra que estas herramientas siguen atrayendo a los inversores.
Conviene seguir de cerca si el recurso del Knight Institute cambia la forma en que los tribunales valoran el papel de la infraestructura estadounidense en los ataques transfronterizos con programas espía. Una interpretación distinta en apelación podría abrir la puerta a reclamaciones similares. Otra derrota haría esa vía mucho más difícil.