Lighthouse Reports expuso a First Wap usando datos de rastreo filtrados y una operación encubierta con un comprador falso

First Wap, una empresa de rastreo telefónico con sede en Yakarta dirigida por ejecutivos europeos, lleva dos décadas vendiendo software de vigilancia. Su herramienta Altamides explota SS7, un protocolo de telecomunicaciones con décadas de antigüedad, para localizar cualquier número de teléfono del mundo en cuestión de segundos —sin dejar rastro en el dispositivo— y también puede interceptar mensajes y vulnerar aplicaciones cifradas. Los clientes llegaban a ella a través de intermediarios opacos, y la versión oficial del sector de la vigilancia era que tales herramientas solo se entregaban a gobiernos que combatían delitos graves, con un uso indebido como excepción rara.

Lighthouse Reports no tenía una forma sencilla de poner a prueba esa afirmación. Altamides no deja rastro forense en el teléfono de la víctima, las víctimas rara vez saben que fueron rastreadas, y el proveedor podía simplemente negar el abuso. Los manuales habituales para destapar spyware, como la informática forense de dispositivos, no se aplicaban a una empresa que operaba a nivel de red y que había pasado veinte años fuera del foco público.

En la primavera de 2024, un periodista de Lighthouse encontró en la deep web un archivo filtrado: 1,5 millones de filas de operaciones de rastreo, más de 14.000 números de teléfono y objetivos en más de 160 países. Más de diez periodistas procesaron los datos con herramientas OSINT, aceptando una identificación solo cuando coincidían varios puntos de datos independientes, y nombraron a más de 1.500 objetivos de alta confianza. Al agrupar objetivos conectados en tiempo y espacio quedó al descubierto un abuso coordinado: opositores ruandeses rastreados con minutos de diferencia, funcionarios electorales nigerianos seguidos antes de una votación en 2011, un periodista que cubría la corrupción en el Vaticano consultado cada hora.

Después, los periodistas crearon identidades falsas —una «consultoría de investigación» sudafricana en las Islas Vírgenes Británicas— y se reunieron con el director de ventas de First Wap en ISS World en Praga en junio de 2025, presentando lo que la empresa descartaba públicamente: vigilar a opositores en el extranjero, descifrar WhatsApp, vigilar a manifestantes ecologistas para un magnate minero sancionado. Ante una cámara oculta, el vendedor dijo que el acuerdo se cerraría a través de Yakarta con una empresa pantalla que ocultara el rastro documental: «podemos encontrar la manera». Publicados en octubre de 2025 por más de 70 periodistas de 14 medios, los hallazgos permitieron a cada socio localizar el archivo.

Hacerse pasar por compradores en una feria de tecnología de espionaje para que el propio vendedor del proveedor admitiera ante cámara la evasión de sanciones

El archivo era un sistema de registro: 1,5 millones de filas de operaciones de los propios sistemas del proveedor, de modo que los hallazgos no dependían de la palabra de ningún informante.

Exigir varios puntos de datos independientes por identificación convirtió 14.000 números anónimos en más de 1.500 objetivos nombrados, y la agrupación en tiempo y espacio dejó al descubierto un abuso coordinado.

La compra encubierta entró en el propio terreno de ventas del proveedor, donde su personal explicó voluntariamente cómo eludiría las sanciones, contradiciendo directamente la afirmación pública de la empresa de que verifica a cada cliente.

La copublicación en 14 medios convirtió un archivo en decenas de historias locales, cada una con una redacción local para seguir las pistas en su propio país.

Cuando las afirmaciones de un proveedor resisten la verificación externa, hazte pasar por comprador, graba las admisiones de su personal y construye la historia sobre los propios registros del acusado.

La investigación se publicó el 14 de octubre de 2025, copublicada por 14 medios, entre ellos Der Spiegel, Le Monde y NRK. First Wap negó cualquier actividad ilegal o violación de derechos humanos, calificó las declaraciones de Praga de «malentendidos» sobre la viabilidad técnica y repitió que sus herramientas sirven a las fuerzas del orden. Telecom Liechtenstein dijo que suspendió su relación comercial con First Wap. Los socios siguieron reportando hilos locales —ejecutivos de Red Bull en Austria, un exejecutivo de Telenor en Noruega— mientras el archivo se erige como el registro público más completo de las operaciones de una empresa de rastreo telefónico a nivel de red.