Joe Devanny: “Los riesgos de Pegasus para los derechos humanos son claros y potencialmente muy graves”

De poco sirve tomar precauciones si uno está en la lista de objetivos de Pegasus, el software israelí utilizado para espiar a más de 60 políticos, abogados y periodistas catalanes durante los últimos años. El programa es tan potente que no se puede hacer nada para evitar ser espiado.

Esta es una de las principales conclusiones de Joe Devanny, director adjunto del Centro de Estudios de Defensa del King's College de Londres y profesor e investigador en ciberseguridad y seguridad nacional en esta universidad británica. En esta entrevista señala los riesgos que tiene la pujanza de la industria del ciberespionaje y su falta de regulación. También considera que los países que utilizaron este software podrían ser más que los que se conocieron.

De los programas conocidos hasta ahora, ¿es Pegasus el más potente y avanzado?

Pegasus es sin duda uno de los programas espía más avanzados que conocemos y que están disponibles en el mercado, pero no es en absoluto el único producto. Una característica especialmente llamativa de Pegasus, que la distingue de otras herramientas menos avanzadas, es que ofrece el llamado acceso de “clic cero”, lo que significa que la aplicación exitosa no requiere que sus víctimas hagan clic en los enlaces infectados por el malware.

¿Es posible protegerse de una infección con este malware?

Probablemente la gran mayoría de la gente no haya sido objeto de este tipo de ataques, pero para aquellos que están dentro del conjunto de objetivos, es cierto que se puede hacer muy poco para proteger tu dispositivo de este tipo de software. Principalmente, deben confiar en los esfuerzos de seguridad de sus proveedores de telefonía móvil y en los esfuerzos de los investigadores de entidades independientes para identificar y remediar dicha actividad. En términos más generales, los usuarios individuales deben estar atentos y tener criterio para no hacer clic en enlaces sospechosos y, por ejemplo, no conectarse a redes WiFi inseguras.

¿Cómo se puede saber si tu teléfono está infectado?

Con la advertencia de que es improbable que la mayoría de las personas hayan sido víctimas de la vigilancia que permite Pegasus, los ciudadanos que creyeran estar en peligro podrían buscar si sus dispositivos han sido comprometidos utilizando herramientas forenses como las desarrolladas por Amnistía Internacional.

Los programas de espionaje disponibles podrían permitir a un Estado represivo localizar, detener y perjudicar a personas inocentes

Algunos de los líderes catalanes espiados recibieron mensajes en los que les invitaban a acceder a un enlace. ¿Si no los hubieran abierto habrían logrado frenar el ataque o el software es capaz de entrar en el teléfono de todas maneras?

Los programas espía menos avanzados podrían no funcionar sin que el usuario objetivo haga clic en un enlace cargado de malware. Pero las herramientas más avanzadas, de “clic cero”, no se detendrían con una precaución del usuario de este tipo.

Pegasus es también muy costoso. ¿Cuánto dinero puede suponer espiar a más de 60 personas?

En 2016, el New York Times informó de que una operación de Pegasus de ese tamaño podría costar más de 1,5 millones de dólares.

El comercio de armas tiene cierta regulación (aunque insuficiente) pero la venta de este tipo de programas está completamente desregulada y va en aumento ¿Qué riesgos implica para los derechos humanos que un negocio como este no cuente con ninguna normativa internacional?

Los riesgos son claros y potencialmente muy graves si se abusa de estas capacidades –que tienen usos legítimos– para atacar a personas inocentes. Los programas de espionaje disponibles en el mercado pueden permitir la persecución de disidentes y, por ejemplo, al proporcionar información sobre la geolocalización y el patrón de vida, podrían permitir a un Estado represivo localizar, detener y perjudicar a personas inocentes. Pero la prohibición reglamentaria internacional de estas herramientas no resolvería este problema sin un cumplimiento, una aplicación y una verificación sólidos. No creo que esto ocurra pronto.

Hay evidencias de que Pegasus se ha usado hasta en 45 países. ¿Cree que podrían ser más?

Sin duda, podrían ser más. Está claro que muchos estados consideraban esta herramienta como algo muy deseable. Es probable que más de 45 estados tuvieran la motivación y los medios financieros para adquirirla.

¿Hasta qué punto cree que la compañía está vinculada con el Gobierno israelí? ¿El Ejecutivo de ese país utiliza las licencias para exportar este software como arma diplomática?

Se informó ampliamente de la relación de la empresa con el gobierno israelí, así como del papel del gobierno israelí en la concesión o denegación de licencias de exportación. No creo que Pegasus se utilizara como “arma diplomática”, pero probablemente fue instrumentalmente útil para la diplomacia israelí al poder facilitar el suministro de dicha tecnología a los gobiernos con los que deseaba consolidar o mejorar sus relaciones diplomáticas. Cualquier otro Estado en la posición de Israel también estaría dispuesto a explorar la gama de posibles usos instrumentales de las industrias nacionales innovadoras para ayudar a promover los objetivos estratégicos nacionales.

Muchos Estados se han fijado en cómo Israel ha incubado con éxito su industria de tecnología digital. A muchos países les gustaría emular ese éxito.

Son varias las compañías israelíes dedicadas al ciberespionaje. ¿Qué ha convertido al país en el epicentro de esta industria?

Creo que muchos Estados se fijaron en cómo Israel ha incubado con éxito su industria de tecnología digital. A muchos países les gustaría emular ese éxito. A menudo se destaca la calidad de la “escuela cibernética” de las Fuerzas de Defensa israelíes y su unidad operativa 8200 [un cuerpo de élite especializado en ciberseguridad e inteligencia].

Oficialmente Pegasus se vende para combatir el terrorismo y el crimen organizado. ¿Casos como el de los catalanes, El Salvador, el presidente Macron o Al Jazeera ponen de manifiesto que se usa más allá del terrorismo para espiar a rivales o disidentes políticos?

Esto es lo que parece desprenderse de los informes, y es un riesgo claro con los programas espía disponibles en el mercado. Para gestionar este riesgo sería necesario actuar con la debida diligencia a la hora de decidir la concesión de licencias de exportación, pero también un seguimiento posterior y continuo de la forma en que los clientes utilizan las herramientas, para garantizar que no se abusa de sus capacidades.