21.04.2022 - 21:30
El 17 de maig de 2021 el doctor Elías Campo Güerri, catedràtic de patologia de la Universitat de Barcelona, rebia de mans del rei espanyol Felipe VI el Premio Nacional d’investigació en la categoria de medicina per les seves contribucions pioneres en l’estudi de les neoplàsies limfoides, i per l’impacte i repercussió de les seves investigacions per a diagnosticar i tractar aquestes malalties. És un referent mundial. Quan Campo rebia aquest guardó no sabia que un any i mig enrere el seu telèfon mòbil havia estat intervingut per un programari espia anomenat Pegasus. No sabia que l’estat que en aquell moment el guardonava també l’havia espiat anteriorment. I que l’havia espiat en el dispositiu mòbil corporatiu que té de l’Hospital Clínic.
D’aquesta intromissió no en va pas ser víctima ell i prou, sinó també la seva muller, Maria Cinta Cid Xutglà, doctora de l’Hospital Clínic de Barcelona, professora de la Universitat de Barcelona i experta reconeguda en malalties autoimmunitàries. Tots dos foren objecte d’una intrusió de Pegasus als mòbils perquè l’objectiu de l’espionatge era el seu fill, Elies Campo Cid, un jove emprenedor, ex-treballador de WhatsApp i de Telegram, i ara col·laborador del grup d’investigació Citizen Lab, associat a la Universitat de Toronto. Citizen Lab és el grup que ha destapat el Catalangate, el cas d’espionatge en massa contra l’independentisme català. I en bona part ha estat gràcies a l’impuls d’Elies Campo Cid, que també és independentista, i que ha estat alhora investigador d’aquest cas i víctima de l’espionatge per l’estat espanyol.
A Elies Campo el van espiar el desembre del 2019. Ell havia assessorat la plataforma de vot digital Vocdoni, que Òmnium Cultural havia utilitzat en les seves eleccions internes, segons que explica Citizen Lab. El seu cas és singular perquè, com que treballa als Estats Units, té un mòbil nord-americà, i la companyia NSO Group, propietària de Pegasus, té prohibit d’infectar dispositius dels EUA. Per això els espies van decidir, d’entrada, de provar una alternativa: la infecció amb el programari maliciós anomenat Devil’s Tongue, desenvolupat per Candiru, una altra empresa israeliana fundada per ex-treballadors de NSO i que no té aquesta limitació.
I, efectivament: Elies Campo, dels EUA estant, va rebre el 5 de desembre del 2019 un correu electrònic que duia el remitent del Registre Mercantil de Barcelona i que tenia informació objectiva sobre una empresa que ell administrava. En el correu, l’advertien que hi havia una altra empresa, de nom semblant, que s’havia registrat al Panamà. Però el correu, que revelava un alt grau de coneixement previ de l’activitat de Campo, era fals, era un parany per a poder-li introduir a l’ordinador el Devil’s Tongue. No van reeixir, perquè Campo no va clicar l’enllaç. Però no van desistir, i van pensar un pla alternatiu, amb el punt de mira en els seus pares, Elías Campo Güerri i Maria Cinta Cid Xutglà.
“Nosaltres tractem amb dades confidencials dels nostres pacients”
Poques setmanes després d’haver rebut aquell correu, Elies Campo Cid va viatjar dels Estats Units a Catalunya per passar les festes de Nadal amb els pares. I fou aleshores quan van utilitzar Pegasus per infectar els mòbils dels pares. Perquè un dels mètodes d’espionatge que Citizen Lab ha documentat en molts casos és el de la infecció dels dispositius de familiars, amics i gent de l’entorn de la persona que és objectiu de l’espionatge. Els usuaris de Pegasus no solament poden accedir al contingut i a les aplicacions del mòbil i rastrejar-ne els moviments quan el dispositiu és infectat, sinó que poden activar-ne la càmera i el micròfon en qualsevol moment, fins i tot quan el mòbil és en repòs, i enregistrar les converses de tothom qui hi ha a prop.
El cas és greu per diverses raons, per la intrusió i la intervenció de les comunicacions privades sense ordre judicial i perquè els espies van tenir accés il·limitat a informació confidencial i sensible dels seus pacients. Elías Campo Güerri va ser infectat en el dispositiu oficial del seu hospital, segons Citizen Lab. I això no ho va saber fins fa poc més d’una setmana. Perquè el seu fill, que era l’objectiu real de l’espionatge, i que feia gairebé dos anys que treballava en la vasta investigació sobre el Catalangate amb Citizen Lab, que havia vist que havien intentat espiar-lo, va pensar que potser sí que ho havien aconseguit, que potser havien infectat els mòbils dels seus pares.
I fou així que la setmana passada va decidir de revisar els seus telèfons. Va descobrir que havien estat infectats durant aquelles festes de Nadal del 2019 que van passar plegats. John Scott-Railton, l’investigador principal de Citizen Lab, va dir a Campo: “No t’ho creuràs, però la teva mare és el pacient zero d’un exploit no descobert anteriorment.” Maria Cinta Cid explica a VilaWeb com va reaccionar quan se’n va assabentar: “Vaig pensar que era molt greu, que ningú no ha d’intervenir la meva privacitat. En el nostre cas, com en el cas dels advocats, és especialment greu. Tots els casos ho són, però nosaltres tractem amb dades confidencials dels nostres pacients.”
I detalla així la gravetat de la intromissió: “En el meu telèfon particular tinc xats amb els meus companys on discutim casos de pacients. I des del meu dispositiu tinc accés al correu corporatiu. Com que el servidor on tenim el correu corporatiu ens garanteix la confidencialitat discutim sobre casos de pacients amb el seu nom, i no tan sols amb el número de la seva història clínica. A més, en el telèfon també hi tinc fotografies, moltes de meves. Jo he passat per un tractament oncològic, i m’he fet fotografies, com fa molta gent, quan no tenia cabells, quan els cabells sortien, del pit abans de l’operació, del pit després de l’operació. Són fotografies de la meva intimitat. Per això penso que és molt greu.”
El telèfon de Maria Cinta Cid havia estat assaltat vuit vegades: el 17, 19, 23, 28 i 30 de desembre de 2019, i el 3, el 5 i el 9 de gener de 2020. Havien cercat moments molt concrets per a la infecció, probablement els més adequats per a poder captar converses entre el fill i els pares. Però els investigadors de Citizen Lab no solament van constatar això; van detectar per primera vegada, en el cas de Cid, un sistema d’infecció de Pegasus de clic zero, és a dir, que no cal que la víctima cliqui cap enllaç perquè se li introdueixi el programari maligne. En aquesta ocasió, Pegasus va atacar l’aplicació iMessage i el motor de navegació web del sistema iOS.
“És una agressió a la vida privada, i a la privacitat de moltes persones de les quals sóc garant. És una intromissió intolerable. El cas del meu marit encara és més greu. Perquè el seu mòbil és un mòbil corporatiu de l’Hospital Clínic. Perquè ell té un càrrec de direcció”, afegeix Cid. El mòbil d’Elías Campo Güerri va ser infectat cap al 18 de desembre d’aquell any, segons l’anàlisi de Citizen Lab.
Cid diu que no tenen pensat d’emprendre accions legals a títol individual, per la dedicació i el temps que els demanaria i que no tenen. Però sí que donaria suport a qualsevol iniciativa de la Universitat de Barcelona, del Col·legi de Metges o de l’Hospital Clínic. “Perquè és una cosa que ultrapassa la nostra situació personal, és un cas corporatiu. Si fos així, hi donaríem suport.” Ara per ara, cap d’aquestes tres institucions no s’ha pronunciat.
Elies Campo Cid, objectiu d’espionatge el desembre del 2019, valorava d’aquesta manera a la revista New Yorker la descoberta ben recent que els seus pares havien estat víctimes de la intrusió de Pegasus. “Des d’aleshores la idea que amb Pegasus qualsevol pot estar en risc ja no era un concepte: eren els meus pares asseguts davant meu.”
