Pegasus en Polonia: NSO tenía acceso a los datos espiados

La Fiscalía polaca afirma que NSO Group mantuvo el control sobre partes clave del sistema del programa espía Pegasus que utilizó el anterior Gobierno de Polonia, y que los datos recopilados por la herramienta se enviaban al extranjero a través de servidores situados fuera del país.

Las conclusiones proceden de un análisis de la Agencia de Seguridad Interna (ABW), el servicio de contrainteligencia del país, y las ha hecho públicas la Fiscalía Nacional. El lunes, el primer ministro Donald Tusk, que ordenó la investigación, calificó la operación de espionaje llevada a cabo bajo el anterior partido gobernante como "uno de los mayores escándalos de la historia de Polonia desde la caída del comunismo". También acusó a la empresa israelí fabricante del programa espía de colaborar con los servicios de inteligencia de Israel.

El operador no tenía el control total

Pegasus lo manejaba la Oficina Central Anticorrupción (CBA), un cuerpo policial polaco que investiga casos de corrupción. Según la Fiscalía, la CBA "no tenía el control total del sistema Pegasus".

La carencia más importante afectaba a la parte del sistema que realmente compromete los teléfonos. "El módulo de servidor encargado de infectar los dispositivos móviles permanecía bajo el control exclusivo del fabricante", señaló la Fiscalía en su nota de prensa.

La CBA tampoco disponía de las contraseñas de muchas cuentas con privilegios de administrador. Según los fiscales, esto "impedía verificar plenamente el correcto funcionamiento de los distintos módulos del sistema, incluidos los responsables de la transmisión y el almacenamiento de datos".

Datos desviados a través de servidores extranjeros

Los investigadores descubrieron que los datos recogidos por el programa espía salían de Polonia a través de una red de anonimización basada en servidores en el extranjero. La investigación polaca rastreó las transferencias hasta direcciones IP extranjeras.

A partir de ahí, la Fiscalía concluyó que NSO tenía "acceso técnico" a la información recopilada durante los controles operativos, el término que usan las autoridades polacas para referirse a las operaciones de vigilancia encubierta.

La empresa también proporcionaba actualizaciones y soporte técnico a los funcionarios polacos mediante una conexión remota. La vigilancia no se detenía mientras tanto. "Durante estos trabajos, los controles operativos no se interrumpían y el fabricante tenía pleno acceso al sistema, incluida la posibilidad de modificar su software y su configuración", indicaba la nota de prensa.

Los fiscales fueron prudentes en un punto. No pueden afirmar si NSO "llegó a obtener realmente acceso a materiales de un control operativo concreto". La investigación demuestra que el acceso era técnicamente posible, no que se utilizara en un caso determinado.

NSO Group no respondió a la solicitud de comentarios de The Record.

Un escándalo que se venía gestando desde hace años

Las nuevas conclusiones se suman a un caso que lleva tiempo cobrando forma. En febrero de 2024, el Gobierno de Tusk anunció que los investigadores habían confirmado que Pegasus se había utilizado contra una lista "muy larga" de víctimas. Tusk dijo que su propia mujer y su hija habían sido espiadas, y que los dispositivos de más de 500 personas más habían sido objetivo del programa, y algunos de ellos, infectados.

Varios antiguos responsables de inteligencia y seguridad se enfrentan ahora a cargos por haber facilitado los abusos. Presuntamente, el programa espía se pagó con dinero sacado de un fondo público destinado a las víctimas de delitos.

Según la prensa, Tusk afirmó que los antiguos responsables "pagaron por un sistema que, de facto, transfería todos los datos posibles sobre ciudadanos polacos, líderes de la oposición polaca y fiscales independientes polacos... a la parte israelí".

"Esto ya no es [solo] un escándalo... Estamos hablando de un delito contra el Estado", añadió.

Los investigadores ven un riesgo más amplio para los compradores

John Scott-Railton, investigador de Citizen Lab, declaró a Recorded Future News que las conclusiones demuestran que los países que usan programas espía tienen que preocuparse por su propia seguridad operativa.

NSO lleva mucho tiempo asegurando a sus clientes gubernamentales que no puede acceder a los datos recopilados por Pegasus. Scott-Railton explicó que la documentación aportada en la fase de exhibición de pruebas y hecha pública en la demanda que WhatsApp presentó contra la empresa en 2019 respalda las afirmaciones del Gobierno polaco.

Los gobiernos que despliegan este tipo de herramientas, dijo, deben preguntarse si su "información sensible, incluida la información sobre a quién pueden estar vigilando, y también la información de sus ciudadanos, queda expuesta a entidades extranjeras".

"Esto va directo al núcleo no solo de lo que se supone que aporta comprar un programa espía extranjero, sino también de los riesgos para el gobierno que lo utiliza", afirmó Scott-Railton.

Nuestro análisis

Buena parte del debate sobre Pegasus se ha centrado en las personas vigiladas: periodistas, figuras de la oposición, activistas y sus familias. Las conclusiones polacas desplazan parte de la atención hacia el cliente. Si el proveedor mantenía el control exclusivo de los servidores de infección, tenía un acceso de administrador que el comprador no podía usar e instalaba actualizaciones en remoto durante operaciones en curso, entonces el gobierno no era el único que tenía una ventana a la vigilancia.

Esto apunta a que los programas espía comerciales generan un problema de cadena de suministro, además de uno de privacidad. Un Estado que compra una herramienta así puede estar dando también a una empresa extranjera, y posiblemente a un Estado extranjero, una ventana a sus objetivos y sus métodos. Es un riesgo que los equipos de seguridad ya conocen por otro software de terceros con un acceso remoto profundo.

Aun así, los límites de las pruebas importan. La Fiscalía dice que el acceso existía, no que NSO lo utilizara en casos concretos. Habrá que estar atentos a si la investigación polaca aporta algo más concreto, a cómo responde NSO y a si otros países que compraron Pegasus empiezan a hacerse las mismas preguntas sobre quién más podía ver sus datos.