La fuerte condena a Pegasus, software utilizado por gobiernos latinoamericanos para espiar

NSO Group, la empresa israelí detrás del software espía Pegasus, fue condenada a pagar 167 millones de dólares a Meta, propietaria de WhatsApp, tras haber intervenido los teléfonos de 1.400 usuarios durante una semana de 2019. Entre los afectados había activistas, periodistas y diplomáticos, siendo México el país más golpeado: 456 números mexicanos fueron atacados, según documentos judiciales del litigio en California.

"Es un precedente muy importante, porque es la primera vez en el mundo que una empresa de software espía fue considerada responsable y tiene que pagar una indemnización", comentó a CR Hoy la asesora jurídica-tecnológica de la organización Access Now, Natalia Krapiva. 

El jurado también otorgó a Meta una indemnización compensatoria de más de 440.000 dólares, luego de un solo día de deliberación. Así concluye un litigio que se extendió por más de cinco años.

Pegasus es un software que permite acceder de forma encubierta a la información de un teléfono móvil, incluyendo mensajes, llamadas, ubicación, archivos, cámara y micrófono. NSO Group ha asegurado que solo vende el programa a gobiernos con aprobación del Ministerio de Defensa de Israel.

En América Latina hay evidencia documentada de su uso en México, El Salvador y Colombia.

En un comunicado tras conocerse el fallo, Meta celebró la decisión y anunció que buscará una orden judicial para impedir nuevos ataques dirigidos a su plataforma:

"Este juicio también reveló que WhatsApp no ​​era el único objetivo de NSO. Si bien detuvimos el vector de ataque que explotó nuestro sistema de llamadas en 2019, Pegasus ha utilizado muchos otros métodos de instalación de spyware para explotar las tecnologías de otras empresas y manipular los dispositivos de los usuarios para que descarguen código malicioso y comprometan sus teléfonos", indicó Meta en un comunicado. 

Por su parte, Gil Lainer, vicepresidente de comunicación global de NSO mencionó lo siguiente:

 "Examinaremos cuidadosamente los detalles del veredicto y buscaremos las soluciones legales pertinentes, incluyendo nuevos procedimientos y una apelación".

Otras grandes tecnológicas también han intentado frenar el accionar de NSO Group. Apple presentó su propia demanda por el uso de Pegasus en contra de usuarios de sus dispositivos, pero la retiró más tarde, argumentando riesgos para la confidencialidad de los datos de sus clientes.

"A veces los ciudadanos no pueden presentar acciones legales porque es muy caro o no tienen acceso a las pruebas, pero las empresas y los gobiernos sí pueden. Deben demandar a las empresas o a quienes atacan, buscar justicia y rendición de cuentas, para que no haya impunidad", agregó Krapiva. 

Pegasus en América Latina

En México el software fue utilizado desde el gobierno de Felipe Calderón y se expandió durante la administración de Enrique Peña Nieto para espiar a periodistas, activistas y opositores, según investigaciones y filtraciones. Aunque el presidente López Obrador criticó su uso, su gobierno reconoció en 2023 que la Secretaría de la Defensa Nacional (Sedena) seguía operándolo con fines de "inteligencia".

El 4 de diciembre de 2023 comenzó el primer juicio en el país por espionaje con Pegasus, en contra de Juan Carlos "N", operador técnico del malware, acusado de intervenir ilegalmente las comunicaciones de la periodista Carmen Aristegui. Aunque fue absuelto, el juez confirmó que Aristegui fue efectivamente espiada y ordenó nuevas investigaciones.

"Aunque los tribunales en América Latina no necesariamente sigan directamente este precedente—porque es otro país—sí es algo que los tribunales pueden observar, ya que se trata de un asunto internacional, y es una empresa que aparece en muchos países del mundo. Así que definitivamente esperamos que sea algo que los tribunales consideren como una decisión y un veredicto orientador", mencionó Krapiva. 

En El Salvador, al menos 35 periodistas y activistas fueron espiados con el software Pegasus entre 2020 y 2021, según una investigación de Citizen Lab, Access Now y confirmada por Amnistía Internacional. Uno de los casos más conocidos fue el del medio El Faro: 22 de sus integrantes fueron intervenidos durante períodos que iban desde un día hasta un año completo de vigilancia constante. 

En total, fueron 17 meses de espionaje sostenido con acceso total a los teléfonos de más de la mitad del equipo, en fechas que coincidieron con investigaciones sensibles y ataques por parte del gobierno de Nayib Bukele. En 2023, 15 de sus periodistas presentaron una demanda contra NSO Group ante una corte federal en Estados Unidos, marcando la primera vez que víctimas de Pegasus recurren a la justicia estadounidense en busca de reparación.

"Esto abriría una nueva vía para obtener justicia y reparación, especialmente porque sabemos que en México y en otros países como El Salvador es el propio gobierno el que está hackeando, así que las víctimas podrían no obtener justicia", explicó Krapiva. 

En Colombia, el presidente Gustavo Petro acusó a la administración de Iván Duque de haber pagado 11 millones de dólares en efectivo para adquirir el software espía Pegasus. Aunque no se ha confirmado a quiénes se espió, funcionarios estadounidenses reconocieron que la compra fue parte de la cooperación antidrogas entre ambos países, según reveló el diario El Tiempo. Hasta ahora, se desconoce quiénes fueron los posibles blancos, quién definía los objetivos y qué mecanismos de control estaban en funcionamiento.

Aunque Costa Rica no ha registrado ataques confirmados con Pegasus, Krapiva advierte que el riesgo no debe minimizarse. 

"Los países son vulnerables, tanto en términos de que su gobierno lo use, y espero que en Costa Rica no llegue a usarse, pero al menos su infraestructura podría ser vulnerable. Esto demuestra que tanto los gobiernos como las empresas públicas de telecomunicaciones deben tomárselo en serio", agregó.