NSO Group vendió a gobiernos un spyware de cero clics que hackeaba teléfonos cifrados

A finales de la década de 2010, las aplicaciones de mensajería de consumo cifraban los mensajes de extremo a extremo, y las policías y agencias de inteligencia se quejaban de que los criminales y terroristas podían 'desaparecer'. NSO Group, una empresa israelí fundada en 2010, creó Pegasus: un spyware diseñado por exciberespías con habilidades perfeccionadas en el ámbito gubernamental para tomar el control de iPhones y teléfonos Android de forma silenciosa. México se convirtió en su primer cliente extranjero en 2011, menos de un año después de la fundación de la empresa.

Pegasus funciona atacando el dispositivo en lugar del cable. Los ataques pueden llegar como un enlace malicioso en un SMS o iMessage; las versiones recientes de 'cero clics' entregan el spyware mediante el envío de un mensaje que no produce ninguna notificación, por lo que el objetivo ni siquiera necesita tocar el teléfono. El software entonces lee todo lo que el usuario puede leer —mensajes, fotos, grabaciones, contraseñas, registros de llamadas, ubicación— y puede encender cámaras y micrófonos para vigilancia en tiempo real. Las contraseñas fuertes y el cifrado ofrecen poca ayuda, y las técnicas publicadas en un informe de 2016 se modificaron en cuestión de horas.

NSO licenció Pegasus únicamente a gobiernos: alrededor de 60 agencias de inteligencia, militares y de aplicación de la ley en 40 países, con exportaciones aprobadas por el Ministerio de Defensa de Israel. La empresa afirmó que verificaba los antecedentes en materia de derechos humanos de sus clientes y que no operaba el software por sí misma, una estructura que mantenía distancia entre el proveedor y lo que fuera que los clientes hicieran con la herramienta. NSO presentó el producto como la respuesta al terrorismo y al crimen organizado que se esconden detrás del cifrado.

En julio de 2021, el Proyecto Pegasus —The Washington Post, Forbidden Stories y 16 socios mediáticos— informó sobre una lista de más de 50.000 números de teléfono. El análisis forense del Laboratorio de Seguridad de Amnistía Internacional encontró hackeos intentados o exitosos de 37 teléfonos pertenecientes a periodistas, activistas de derechos humanos, ejecutivos de empresas y dos mujeres cercanas al periodista saudí asesinado Jamal Khashoggi; los reporteros identificaron a más de 1.000 personas en la lista en 50 países. NSO calificó los hallazgos de infundados, pero reconoció haber rescindido dos contratos de clientes por acusaciones de abuso en el año anterior.

Atacar el teléfono mismo, no el cable: la intrusión silenciosa de cero clics no necesita ningún clic, contraseña ni descifrado

El cifrado protege el cable, no el dispositivo; al comprometer el teléfono mismo, Pegasus eludió las protecciones de consumo más fuertes sin necesidad de una contraseña, un clic ni una clave de descifrado.

La entrega de cero clics eliminó el requisito del error humano, de modo que incluso objetivos cautelosos y técnicamente sofisticados, como periodistas y activistas, podían ser infectados sin hacer absolutamente nada.

La productización de una ingeniería de exploits de primer nivel y su licenciamiento a decenas de gobiernos permitió a NSO amortizar la costosa I+D, convirtiendo el hackeo de teléfonos a nivel estatal en un servicio adquirible.

Los clientes operaban el software ellos mismos, de modo que NSO podía negar su participación, disputar la evidencia forense y seguir vendiendo mientras los abusos se acumulaban.

Cuando el cifrado cierra el canal de la escucha telefónica, los adversarios capaces se trasladan al endpoint: protege el dispositivo mismo, porque asegurar los datos en tránsito no es suficiente.

El Proyecto Pegasus se convirtió en el registro definitorio del abuso del spyware comercial. NSO calificó los hallazgos de exagerados e infundados, pero reconoció haber rescindido dos contratos de clientes en el año anterior (cinco en total), y afirmó que la verificación le había costado 100 millones de dólares. La metodología forense de Amnistía fue revisada por pares por Citizen Lab y considerada sólida; varios periodistas del consorcio descubrieron que ellos o sus familiares habían sido infectados. Apple, cuyos iPhones eran el objetivo principal, dijo que añadía protecciones constantemente, y el juego del gato y el ratón entre los fabricantes de spyware y los proveedores de teléfonos continuó.