Pegasus Project: el espionaje de los regímenes autoritarios al desnudo

Por lo menos 10 gobiernos en el planeta han utilizado la plataforma Pegasus, el malware desarrollado por la empresa israelí NSO Group, en intentos de intervenir los teléfonos de más de 180 periodistas críticos y de sus círculos más cercanos. Cuando lo lograron, accedieron a profundidad a su vida privada, a sus fuentes de información y a sus temas de investigación pero también a su geolocalización en tiempo real, a sus llamadas telefónicas y a sus mensajes, independientemente del servicio de mensajería.

Por lo menos 10 gobiernos en el planeta han utilizado la plataforma Pegasus, el malware desarrollado por la empresa israelí NSO Group, en intentos de intervenir los teléfonos de más de 180 periodistas críticos y de sus círculos más cercanos. Cuando lo lograron, accedieron a profundidad a su vida privada, a sus fuentes de información y a sus temas de investigación pero también a su geolocalización en tiempo real, a sus llamadas telefónicas y a sus mensajes, independientemente del servicio de mensajería.

Algunos de los periodistas de investigación más importantes de México, Azerbaiyán, Hungría, la India o Marruecos, así como cinco personajes cercanos del periodista saudita Jamal Kashoggi, figuran entre los más de 50 mil datos telefónicos seleccionados por clientes de NSO Group en su plataforma Pegasus desde 2016, los cuales fueron analizados por más de 80 periodistas de 17 medios en 10 países –incluyendo Proceso-- en el marco de Pegasus Project, una investigación periodística internacional coordinada por Forbidden Stories, con el apoyo técnico del Security Lab de Amnistía Internacional.'

En varios casos, el espionaje por Pegasus –o por lo menos los intentos-- solo representaba una parte de campañas de hostigamiento más amplias y más graves, las cuales incluyeron estrategias de difamación, encarcelamientos, golpizas o incluso acciones definitivas, como el sonado asesinato de Kashoggi en el consulado de Arabia Saudita en Estambul, el 2 de octubre de 2018.

Durante meses, los periodistas que participaron en el Pegasus Project analizaron los datos telefónicos, a los que tuvieron acceso inédito Forbidden Stories y Amnistía Internacional, y realizaron más de 52 análisis forenses de los aparatos para detectar las tentativas de hackeo con Pegasus realizadas por agencias gubernamentales.

En México, agencias del gobierno de Enrique Peña Nieto seleccionaron, valiéndose de Pegasus, los números de teléfono de por lo menos 25 periodistas entre 2016 y 2017. Seis de ellos laboraban en Proceso en ese momento; otros formaban parte del equipo de Carmen Aristegui –también participante en el Pegasus Project-- y destacaban por su trayectoria, como Marcela Turati, Alexandra Xanic, Ignacio Rodríguez Reyna, Ricardo Raphael, Luis Hernández Navarro o Yuriria Sierra. Otros, por su parte, estaban más identificados por su cercanía con el gobierno de Peña Nieto. Hoy, Proceso dedicó un reportaje aparte a los periodistas mexicanos. 

En una respuesta a un cuestionarios enviado por Forbidden Stories en nombre de todos los medios participantes, NSO Group niega prácticamente todos los hallazgos de esta investigación. Tras denunciar una “narrativa falsa, preconcebida y altamente dañina para NOS Group” pone en duda la fuente, la base de datos y la metodología, y amenaza con demandar a los medios por difamación.

En su primer informe de rendición de cuentas, publicado en junio pasado, la empresa israelí indicó que tiene 60 clientes (es decir, agencias gubernamentales) en 40 países, es decir, un número de países más de tres veces mayor a los analizados en Pegasus Project. En dicho informe, NSO Group aseveró que Pegasus es usado contra personas “presuntamente involucradas en delitos graves y terrorismo”.

Sin embargo, los datos analizados muestran que clientes de NSO Group seleccionaron los números de por los menos 48 periodistas de de Azerbaiyán, 4 de Baréin, 5 de Hungría, 41 de la India, 25 de México, 3 de Kazajistán, 39 de Marruecos –tanto periodistas de Marruecos como de Francia o de otros países que han trabajado sobre temas del Reino--, 4 de Ruanda, 2 de Arabia Saudita, 3 de Togo y 12 de los Emiratos Árabes Unidos.

Para los aparatos de inteligencia de los regímenes autoritarios, ya sea monárquicos o democráticos –al menos en el papel--, Pegasus se convirtió en una herramienta más de acoso contra los periodistas. De hecho, pocos periodistas estuvieron realmente sorprendidos de saberse espiados; muchos tenían ya la sospecha y usan cuidadosamente sus dispositivos para proteger sus fuentes.

Acoso contra Kashoggi

Como parte de Pegasus Project, el Washington Post despliega hoy amplio un reportaje sobre los intentos de infección lanzados desde una agencia de inteligencia de un país del Golfo Arábigo contra cinco personas íntimas de Jamal Kashoggi –quien era columnista en el diario estadunidense-- y, después de su asesinato, contra tres altos funcionarios turcos a cargo de la investigación.

De acuerdo con las autoridades turcas, Kashoggi entró en el consulado para entregar documentos relativos a su boda, cuando un grupo de 15 sicarios lo inmovilizaron, lo estrangularon, y posteriormente desmembraron su cuerpo y tiraron los restos en otra provincia; los agentes turcos determinaron que los asesinos tenían vínculos con Mohamed Bin Salmán, el príncipe heredero del trono de Arabia Saudita.

En febrero pasado, la Oficina del Director Nacional de Inteligencia estadunidense publicó la versión pública de un informe, en el cual concluyó que el príncipe Bin Salmán aprobó la operación para “capturar o asesinar” a Kashoggi en Estambul, como parte de su apoyo al “uso de medidas violentas para silenciar disidentes en el extranjero, incluyendo Kashoggi”.

Si bien no existe evidencia que el teléfono de Kashoggi era hackeado, pues el aparato está resguardado por las autoridades de Turquía y NSO niega con vehemencia que el periodista fue víctima de Pegasus, los hallazgos de la investigación internacional muestran que, meses antes de su asesinato una agencia de inteligencia atacó el teléfono de Hanan Elatr, una mujer egipcia con quien el periodista estaba comprometido, y casado por la vía religiosa.

Hatice Cengiz, otra novia turca del periodista, también fue víctima de un hackeo, escasos días después del asesinato. Ella había acompañado al periodista hasta las puertas del consulado, y lo estaba esperando mientras los sicarios desmembraban su cuerpo.

Elatr dice, en una entrevista concedida en el marco de esta investigación internacional, que “Jamal me había advertido antes de que esto sucedería”, y agrega: “me hace pensar que estuvieron atentos a todo lo que le sucedía a través de mí”.

Después del asesinato, que desató un escándalo internacional y arrojó un fuerte descrédito sobre la imagen reformista –y hasta cierto punto progresista-- de Bin Salmán, las autoridades de Turquía tomaron el caso, y publicaron audios del interior del consulado, en los cuales se oían los gritos del periodista.

Por estas fechas, los números de teléfono de varios altos funcionarios fueron ingresados en el plataforma Pegasus: Irfan Fidan, entonces fiscal; Ibrahim Halin, el vocero presiencial, Yasin Aktay, asesor del presidente Recep Tayyip Erdogan, y líder del partido en el poder.

En el reportaje del Washington Post, Aktay indica que, poco tiempo después del asesinato, las autoridades de inteligencia de Turquía le avisaron que su iPhone había sido hackeado y que lo vigilaban, por lo que tiró su dispositivo.

Reino en el alambre

En los datos del Pegasus Project, el Reino de Marruecos es, detrás del gobierno de Enrique Peña Nieto, el segundo mayor usuario del software espía. Al igual que las instituciones mexicanas, las agencias de inteligencia del rey Mohamed VI seleccionaron de manera masiva los nombres de activistas, periodistas y opositores políticos en sus plataforma Pegasus.

Así, el Reino seleccionó más de 20 veces en tres meses –de febrero a abril de este año-- el número de teléfono de Hicham Mansouri, un periodista asilado en Francia desde 2016, después de sufrir pesadas acciones de acoso legal y físico, y de pasar 10 meses en una zona especial de la cárcel de Casablanca llamada “La Basura”. A pesar de llevar ya cinco años fuera de su país, el hombre sigue siendo blanco de espionaje por parte del gobierno que lo mandó a la cárcel.

“Cualquier régimen autoritario ve el peligro de todos lados. Nosotros no nos vemos como peligrosos, porque hacemos cosas que, en nuestra opinión, son legítimas, y sabemos que es nuestro derecho, pero para ellos son peligrosas”, dice el periodista a Forbidden Stories, en un amplio reportaje publicado hoy por Phineas Rueckert.

Los datos de Pegasus Project muestran que por lo menos 35 periodistas basados en cuatro países fueron atacados por el gobierno Marroquí a través de Pegasus. En paralelo, muchos de los periodistas marroquíes han sido detenidos –dos víctimas de Pegasus, Taoufik Bouchrine y Soulaimane Raissoun, están actualmente en la cárcel--, pero también difamados o atacados de otra manera por los servicios de inteligencia del Rey, que recientemente han adoptado la estrategia de imputarles por delitos sexenuales o espionaje.

“Había espacio para la libertad de expresión en Marruecos hace 15 años, pero ya no lo hay. Se acabó. Todos los medios independientes están muertos”, lamenta Ahmed Benchemsi, el vocero de Human Rights Watch en el Medio Oriente.

Pero los periodistas marroquíes no fueron los únicos blancos del espionaje gubernamental: varios famosos periodistas franceses han sido atacados por Pegasus desde Marruecos, entre ellos Edwy Plenel, el exdirector del diario Le Monde y fundador del periódico digital de investigación Mediapart, cuyo celular fue intervenido mientras participaba en un congreso cultura en ese país, desde el cual criticó la represión contra manifestaciones en la región del Rif.

“Conozco a muchos de los periodistas que luchan por una prensa libre en Marruecos”, dice Plenel a Forbidden Stories, y abunda: “Entonces cuando supe del espionaje, me hizo sentido (…) fue un caballo de Troya para espiar a nuestros colegas marroquíes”.

Aparte de Plenel, el gobierno de Marruecos trató –y muchas veces logró-- de intervenir los teléfonos de periodistas que trabajan en medios franceses destacados, como Le Monde, France Télévisions –la televisora pública de Francia--, Le Canard Enchaîné, Le Figaro o la agencia AFP; varios de los colegas habían investigado sobre los servicios de inteligencia de Marruecos, o escrito sobre derechos sexuales o sobre movimientos de oposición.

“En otros casos, la lógica de los servicios de inteligencia marroquíes parece extraña: la periodista de Le Monde cuyo teléfono fue atacado e infectado no trabaja sobre ninguna historia vinculada de cerca o de lejos a Marruecos, así como otros periodistas cuyos números fueron seleccionados por el cliente marroquí de NSO Group; es posible que fueron atacados principalmente para acceder a sus directorios, y obtener así los números de otros objetivos”, señaló Le Monde, que también participó en Pegasus Project.

Autoritarismos europeos

En Azerbaiyán, la periodista de investigación Khadija Ismayilova ha sufrido en su propia casa el autoritarismo del presidente Ilham Alíyev, sobre cuya familia ha escrito mucho. En los últimos años, agentes del gobierno pidieron a sus amigos y familiares que la espiaran; instalaron en su casa una red de cámaras que la grabaron mientras tenía relaciones sexuales; el gobierno la detuvo en varias ocasiones y la condenó a una pena de cárcel bajo la acusación de evasión fiscal.

Después de 18 meses en la cárcel, la mujer salió, pero durante los siguientes cinco años tenía prohibido salir del país. Cuando terminó ese plazo, la periodistas agarró sus maletas y viajó a Ankara, Turquía, donde reside actualmente. Al abandonar su país, pensaba dejar todo detrás de ella, pero llevaba en su celular una muestra de su gobierno: el spyware Pegasus, el cual ha sido activado regularmente durante los últimos tres años.

“Me siento culpable por los mensajes que he enviado. Me siento culpable por las fuentes que me han enviado información, pensando que una mensajería encriptada sería segura y sin saber que mi teléfono estaba infectado”, dice la mujer a Forbidden Stories.

Desde su exilio en Turquía, la mujer ha obtenido ya tres fallos del Tribunal Europeo de Derechos Humanos, que condenaron las acciones represivas del gobierno de Azerbaiyán en su contra; según los datos de Pegasus Project, otros 47 periodistas han sido seleccionados en el plataorma Pegasus operador desde Baku, la capital azeríe, entre ellos reporteors de Azadliq.info y Medhdar TV, dos de los pocos medios independientes del país.

Según Human Rights Watch, bajo la presidencia de Alíyev --presidente ininterrumpido desde 2003, año en que sucedió a 30 años de presidencia de su padre Heydar Alíyev-- los espacios para voces críticas se encuentran “virtualmente extintos”.

“Yo siempre digo a mis amigos que nos pueden escuchar”, dice la reportera Sevinc Vaqifqiz a Forbidden Stories. “Me preocupo por las fuentes que confían en nosotros y nos escriben por Whatsapp; si enfrentan problemas, nos afecta también a nosotros”, añade la mujer, quien fue víctima de Pegasus durante dos años, y en febrero de 2020 fue brutalmente golpeada mientras cubría una manifestación.

Dentro de la Unión Europea (UE), el gobierno húngaro de Víktor Orban también está adoptando una actitud más autoritaria, promulgando leyes contra los homosexuales, las personas migrantes, las minorías étnicas, las mujeres y los periodistas.

Szabolcs Panyi es periodista de investigación en el medio Directk36, en Budapest, y mientras se encontraba como becario en una universidad de Estados Unidos, en 2019, fue víctima de varios hackeos mediante Pegasus. Forbidden Stories reporta hoy que las infecciones con Pegasus coincidían a menudo con momentos en que solicitaba una versión oficial sobre un tema, o cuando se reunía con fuentes, especialmente en el periodo previo a publicar una investigación sobre las operaciones del banco ruso International Investment Bank para ingresar a Hungría.

“Predisposición general”

En la India, la “democracia más grande del mundo”, periodistas también fueron espiados con Pegasus. En ese gigante de más de 1.3 mil millones de habitantes, dirigido por el presidente Narendra Modi, ya se había documentado en 2019 el uso de Pegasus contra 121 personas, entre ellas cuatro periodistas.

Sin embargo, los datos del Pegasus Project muestran la magnitud mucho mayor del espionaje: al menos 2 mil números de la India y Pakistán fueron ingresados a la plataforma, entre ellos 35 periodistas, integrantes de prácticamente todos los medios más influyentes del país, así como algunos periodistas locales.

Entre ellos figuran dos de los tres fundadores del medio independiente The Wire, que también participó en el Pegasus Project. Siddahart Varadarajan y MK Venu fueron infectados por Pegasus de manera reiterada; para el segundo, el ataque más reciente se registró apenas en junio pasado. Aparte de los fundadores del medio, otros colaboradores de The Wire fueron blancos de espionaje en fechas recientes.

“Nos alarmó ver los nombres de tantas personas vinculadas con The Wire, pero después vimos que había muchas más personas sin vinculo con el medio, lo que nos hace pensar que existe una predisposición general del gobierno para someter los periodistas a un alto grado de vigilancia”, dice Varadarajan.