Una escletxa judicial pot portar fins a Espanya en l’escàndol Pegasus

La companyia israeliana NSO, responsable del programari Pegasus amb què es va espiar el president del parlament, Roger Torrent, i més dirigents polítics independentistes, es pot veure forçada a revelar els noms de tots els clients, que són estats, i fins i tot dels objectius de l’espionatge. Aquesta setmana passada una jutgessa de Califòrnia ha acceptat de continuar la investigació de NSO arran d’una denúncia presentada l’hivern passat per Facebook i WhatsApp a causa de la intromissió en els telèfons mòbils de centenars d’activistes, dissidents polítics, periodistes i responsables polítics, entre els quals s’ha sabut que també hi ha independentistes catalans. Si aquest programari només el poden comprar governs estatals, perquè el programari de NSO és considerat una arma pel govern israelià, que n’ha d’autoritzar la venda, qui va espiar Jordi Domingo, Anna Gabriel, Ernest Margall, Sergi Miquel i Roger Torrent entre més? El Ministeri de l’Interior espanyol nega d’haver-ho fet. El CNI, que depèn de Defensa, també ho nega, tot i que amb la boca més petita. Però si NSO és forçada a revelar els seus clients, les conseqüències polítiques, judicials i diplomàtiques poden ser incalculables.

I també les empresarials. Facebook, propietari de WhatsApp, es va afanyar a denunciar l’espionatge detectat entre l’abril i el maig de l’any passat de 1.400 usuaris de l’aplicació de missatgeria aprofitant-ne un forat de seguretat per l’impacte negatiu que pot tenir en la imatge i la reputació de la companya, ja molt tocada per diversos escàndols. Va contactar amb els investigadors de Citizen Lab, de la Universitat de Toronto, al Canadà, que són els qui han descobert, de moment, que entre els 1.400 usuaris espiats en aquella finestra de dos mesos hi ha més d’un centenar d’activistes pels drets humans i dissidents polítics. I poden ser molts més, perquè el Pegasus ja fa ben bé quatre anys que funciona, i la llista de personalitats polítiques i socials espiades, també dins l’independentisme, pot ser molt més llarga. A més, Citizen Lab encara no ha acabat la investigació.

El procediment judicial contra NSO pot ser determinant per a confirmar la responsabilitat que hi té el govern espanyol d’una manera indirecta i, si es confirmés amb documentació i proves, podria disparar els procediments judicials d’àmbit internacional i en diverses jurisdiccions pels afectats. La jutgessa californiana Phyllis Hamilton, en la interlocutòria d’admissió de la causa, deia que no la convencien els arguments de l’empresa israeliana segons els quals no té cap responsabilitat en l’espionatge, perquè ells creen l’eina però els objectius els seleccionen els governs dels estats, que són els clients. La jutgessa no ho veu així; pensa que NSO hi pot tenir algun paper, ‘fins i tot sota la direcció dels clients’. Això vol dir que el procediment passarà ara a la fase de la presentació de proves, en la qual totes les parts podran demanar documents, registres i proves de tota mena.

I és en aquest punt on NSO es pot veure forçada a revelar la informació que fins ara ha volgut mantenir en secret: qui en són els clients? Les investigacions de Citizen Lab han demostrat que el programari maliciós ha estat utilitzat pels governs d’Aràbia Saudita, Mèxic i els Emirats Àrabs Units, sempre, segons NSO, amb el pretext d’utilitzar-lo contra suposats criminals que representaven una amenaça per al país, com ara terroristes i narcotraficants. Però la investigació de Citizen Lab demostra que l’han utilitzat contra polítics paquistanesos, activistes pro-drets humans, intel·lectuals i periodistes indis, contra dissidents de Ruanda, alguns dels quals exiliats, contra un periodista marroquí, contra independentistes catalans… Arran de la publicació del cas d’espionatge contra Roger Torrent, un ex-treballador de NSO, mantenint-se en l’anonimat, va dir a la revista Vice que Espanya era, efectivament, un dels clients de l’empresa. ‘El primer client europeu’, va comentar.

La gran revelació de Shalev Hulio

Però en aquesta causa NSO es pot veure forçat a revelar no tan sols el nom dels clients, sinó també el dels objectius. I per això és important de destacar les declaracions que va fer el CEO de la companyia, Shalev Hulio, el mes passat al diari alemany Die Zeit, poques setmanes abans que la jutgessa decidís de continuar investigant la denúncia contra la companyia. Explicava Hulio quelcom que fins ara no se sabia, és a dir, que NSO enregistra cada pas que es fa en la contractació d’un servei amb un client, i que la companyia té accés a aquests registres. Així ho explicava el diari Die Zeit després d’haver parlat amb ell: ‘NSO’, diu Hulio, ‘només ven el programari a governs i agències oficials, i cada exportació és autoritzada pel govern d’Israel.’ Però en l’entrevista, també admet per primera vegada una circumstància força notable: ‘NSO és, de fet, capaç de descobrir a qui espien els clients amb l’ajuda del Pegasus.’

Aquesta informació va fer que l’empresa volgués fer un aclariment al diari, amb data del 30 de juny, que deia: ‘L’empresa NSO va demanar de fer un aclariment per indicar que només pot veure l’objectiu d’una operació de vigilància si es posa en marxa una investigació interna sobre aquesta operació. Si no és així, no és possible de veure a qui apunten els compradors estatals del programa Pegasus.’ Segons NSO, aquesta investigació interna la duen a terme quan hi ha hagut possibles usos indeguts de la tecnologia que ells venen.

Si efectivament tenen enregistrada aquesta informació i els demandants en la causa del tribunal de Califòrnia, Facebook i WhatsApp, la demanen, es poden veure forçats a revelar-la. És ben probable que NSO ho vulgui evitar, perquè depenent de com es resolgui aquesta causa pot deixar tocada de mort la companyia, i per això presentarà probablement un recurs d’apel·lació contra la decisió de la jutgessa de continuar investigant. Si li tomben el recurs, poden sortir a la llum els noms de governs sospitosos d’haver-ne contractat els serveis i que fins ara han negat d’haver-ho fet.

La punta de l’iceberg

El forat de seguretat de WhatsApp que aprofitava Pegasus i que Facebook va detectar el maig de l’any passat permetia que el programari maliciós s’instal·lés al telèfon mòbil de la víctima de l’espionatge sense que aquesta se n’adonés ni ho sospités. Ho feia, per exemple, amb una videotrucada perduda de WhatApp, sense necessitat que la persona espiada la contestés. Així ho van fer amb Anna Gabriel, Ernest Maragall, Sergi Miquel i Roger Torrent. Però, i si l’objectiu de l’espionatge no té WhatsApp? I si l’han volgut espiar un cop detectada i resolta aquesta vulnerabilitat de WhatsApp? Doncs el Pegasus també funciona amb un enllaç enviat per SMS, amb un correu electrònic i amb mecanismes similars que aprofiten programes de missatgeria. I encara hi ha l’opció d’entrar al telèfon mòbil de persones de l’entorn de l’objectiu, de manera que se’n pugui aconseguir informació a través dels contactes, ja sigui per l’intercanvi de missatges i de trucades, o bé escoltant què es diuen entre ells quan conversen. Perquè una de les possibilitats de Pegasus és l’activació del micròfon del telèfon en què s’ha instal·lat mentre el dispositiu és en repòs, i enregistrar-ho tot mitjançant el control remot que en fa el client, és a dir, el govern de l’estat que l’utilitza.

No se sap quant temps s’ha utilitzat aquesta aplicació contra representants de l’independentisme, però és probable que sigui molt més que no els dos mesos en què es va detectar el forat a WhatsApp. Això, i el fet que s’hagin pogut utilitzar mètodes ben diversos per espiar mitjançant els mòbils fa pensar que els noms que han sortit fins ara són només la punta de l’iceberg. L’evolució de la causa a Califòrnia pot ser determinant per a saber-ne la profunditat.