Pegasus infecta a su investigador europeo

Stelios Kouloglou debía estar al otro lado de la mesa, haciendo preguntas. Periodista griego y eurodiputado, formaba parte de PEGA, la comisión de investigación del Parlamento Europeo creada para examinar cómo algunos gobiernos de la UE estaban usando programas espía comerciales contra sus propios ciudadanos. La comisión podía citar a responsables públicos, reclamar documentos y redactar recomendaciones. Lo que no podía hacer era obligar a cooperar a los servicios nacionales de inteligencia. Ese vacío acabaría siendo el centro del caso.

En torno a octubre de 2022, según un nuevo informe de Citizen Lab, el iPhone de Kouloglou fue infectado de forma silenciosa por la misma herramienta que estaba investigando: Pegasus, de la empresa israelí NSO Group (The Guardian, Le Monde). La infección se repitió en marzo de 2023, durante la fase más intensa de redacción de la comisión. Al menos uno de los ataques fue de tipo zero-click: el programa aprovechó una vulnerabilidad oculta en el software de Apple que la compañía aún no había detectado ni corregido, y entró en el dispositivo sin que el propietario pulsara ningún enlace (The Straits Times).

Europa suele poder demostrar que un teléfono ha sido infectado. Lo que sigue costando demostrar es quién dio la orden. Ese vacío explica el alcance político de este caso.

Qué significa un móvil infectado para una comisión

La mensajería cifrada funciona como un sobre cerrado: aplicaciones como Signal protegen la carta mientras viaja. Pegasus no intenta interceptar el sobre durante el trayecto. Se instala en la habitación donde la carta se lee, una vez abierta (Indian Express). Cuando está activo, puede acceder a mensajes, contactos y datos de ubicación, además de encender el micrófono o la cámara (Al Jazeera).

Durante el periodo de infección, Kouloglou coordinaba el trabajo de la comisión entre Atenas y Bruselas, se comunicaba con colegas y fuentes, y manejaba borradores de informes (NDTV). Un teléfono comprometido deja expuestas las listas de contactos, y con ellas la red de denunciantes y testigos de la comisión. Si también quedaron al alcance los borradores, quien ordenó la vigilancia pudo leer las conclusiones antes de que se publicaran. Las informaciones disponibles no han demostrado qué se copió, si es que se copió algo, del dispositivo (The Guardian). Pero si el órgano encargado de investigar los programas espía no puede proteger los teléfonos de sus propios miembros, su independencia queda dañada desde la base.

Citizen Lab vinculó la operación con una campaña de Pegasus ya documentada contra periodistas y activistas rusoparlantes y bielorrusos exiliados en Europa, lo que saca el caso del marco estrictamente griego (The Times of Israel). Los investigadores no atribuyeron el ataque a ningún Gobierno concreto. Tampoco hay pruebas que apunten a Grecia como operador (Al Jazeera).

Ahí está el problema estructural. La infección puede acreditarse. La atribución exige pruebas que casi nunca aparecen por voluntad propia: contratos públicos, registros de servidores u órdenes judiciales que los servicios de inteligencia no están obligados a compartir con comisiones extranjeras.

España y Hungría muestran qué ocurre después del hallazgo

La Audiencia de Barcelona reabrió hace poco el caso Pegasus que afecta a políticos catalanes y ordenó nuevas peticiones de información al Centro Nacional de Inteligencia, después de que un juez tardara dos años en tramitar un recurso (elDiario.es). Infección confirmada, atribución discutida y tribunales lentos.

Hungría ofrece otra lección. Un diputado destacado de Fidesz reconoció públicamente que el Estado había adquirido Pegasus, y la autoridad de protección de datos abrió una investigación, pero concluyó que no había encontrado una actuación ilegal. Buena parte de su razonamiento sigue clasificado (Portfolio). Una revisión formal sin transparencia pública produce un cierre formal sin respuestas públicas.

Los dos casos apuntan a lo mismo que ahora deja al descubierto la infección de Kouloglou en el plano europeo: la investigación técnica funciona. La rendición de cuentas política, no.

Las herramientas que existen y la que falta

El Parlamento Europeo asegura que ofrece a los eurodiputados apoyo para detectar programas espía desde 2022 (European Parliament via upday). La UE ha aprobado el Reglamento de Ciberresiliencia, que fija estándares de seguridad para productos conectados y busca hacer más difíciles de vulnerar los programas y dispositivos (European Commission). Organizaciones de la sociedad civil han defendido que los proveedores de programas espía deben asumir obligaciones de responsabilidad empresarial cuando sus herramientas se utilizan contra periodistas y legisladores (Business & Human Rights Resource Centre).

Estas herramientas actúan en los bordes del problema. La detección es reactiva: encuentra infecciones cuando ya se han producido. Las normas de seguridad de producto dificultan los ataques, pero Pegasus no es un fallo accidental de ingeniería, sino un uso deliberado por parte de compradores autorizados. Los controles de exportación dependen de que el país exportador los haga cumplir. Nada de eso revela quién encargó la operación.

El abogado de Kouloglou ha anunciado acciones legales en Grecia y en el extranjero (in.gr). Eurodiputados de varios grupos políticos han reclamado medidas vinculantes de la UE contra el uso ilegal de programas espía (The Times of Israel).

Cerrar el vacío exigiría laboratorios forenses independientes con autoridad transfronteriza, reglas de transparencia que obliguen a los proveedores de programas espía a registrar qué Gobierno compró cada licencia y una cooperación judicial que avance en meses, no en años. Mientras no exista algo parecido, el patrón se repetirá. El investigador se convierte en objetivo. Y la investigación sigue adelante sin saber quién está leyendo al mismo tiempo.