Ronen Bergman es redactor de plantilla de The New York Times Magazine, con sede en Tel Aviv.

Mark Mazzetti es corresponsal de investigación en Washington, un trabajo que asumió después de cubrir la seguridad nacional de la oficina de The Times en Washington durante 10 años.

En junio de 2019, tres ingenieros informáticos israelíes llegaron a un edificio de Nueva Jersey utilizado por el FBI (Buró Federal de Investigaciones). Desempacaron docenas de servidores informáticos y los colocaron en estantes altos en una habitación aislada. Mientras instalaban el equipo, los ingenieros llamaron a la sede de NSO Group, la empresa fabricante del spyware más notorio del mundo. Luego, los ingenieros comenzaron las pruebas.

El artículo narra que el FBI compró una versión de Pegasus, la principal herramienta de espionaje de la empresa NSO. Durante casi una década, esta empresa israelí vendió su software de vigilancia a las fuerzas del orden y a las agencias de inteligencia de todo el mundo.

El software descifra de manera constante y confiable las comunicaciones cifradas de cualquier teléfono inteligente iPhone o Android. Según el artículo, NSO introdujo Pegasus en el mercado global en 2011. Eso ayudó a las autoridades mexicanas a capturar a Joaquín Guzmán Loera, mejor conocido como el Chapo.

En Europa se ha utilizado Pegasus para frustrar planes terroristas, luchar contra el crimen organizado y, en un caso, se acabó con una red mundial de abuso infantil, identificando a docenas de sospechosos en más de 40 países. En esta lógica, los productos de NSO aparentemente resuelven problemáticas globales relacionadas con el crimen y el terrorismo, mediante su avanzada tecnología que descifra las comunicaciones de los sospechosos.

No obstante, los numerosos abusos de Pegasus también están documentados: en México se usó no solo contra los narcotraficantes, sino también contra periodistas y disidentes políticos. Por su parte, Emiratos Árabes Unidos lo utilizó para hackear el teléfono de un activista de derechos civiles a quien el gobierno encarceló. En Arabia Saudita, se le usó contra activistas que trabajan por los derechos de las mujeres y, según un disidente saudita, también se usó para espiar las comunicaciones de Jamal Khashoggi, periodista disidente de The Washington Post, asesinado por agentes saudíes en Estambul en 2018.

Ante esto, los detalles de la compra y prueba de Pegasus por parte del FBI nunca antes se habían hecho públicos. Asimismo, la Agencia Central de Inteligencia (CIA, por sus siglas en inglés), pagó para que el gobierno de Djibouti adquiriera Pegasus en 2018 y eso ayudara a combatir el terrorismo. Sin embargo, ese país tiene una largo historial de abusos contra los derechos humanos como la persecución de periodistas y el tortura de opositores al gobierno.

El artículo narra que el FBI compró nuevos teléfonos inteligentes en las tiendas locales configurados con cuentas ficticias, utilizando tarjetas SIM de otros países (lo anterior se debe a que Pegasus fue diseñado para no poder hackear números estadounidenses). Luego, los ingenieros de Pegasus abrieron su interfaz, ingresaron el número del teléfono y comenzaron un ataque. Esta versión de Pegasus era de "clic cero"; es decir, a diferencia del programa anterior, éste no requería que los usuarios hicieran clic en un archivo adjunto o liga, por lo que los estadounidenses que monitoreaban los teléfonos no detectaron evidencia de una violación en curso.

Tampoco detectaron que las computadoras Pegasus se conectaron a una red de servidores en todo el mundo, hackeando el teléfono y luego conectándose nuevamente al equipo en las instalaciones de Nueva Jersey. En esa prueba con el FBI, Pegasus tuvo acceso a cada correo electrónico, foto, texto y contacto personal. También fue posible ver la ubicación del teléfono e incluso tomar el control de su cámara y micrófono. Israel, cauteloso de no hacer enojar al FBI o al gobierno, pidió a NSO que programara Pegasus sin la capacidad de espiar números estadounidenses.

El nuevo software de NSO ofrecido al FBI se llama Phantom y es capaz de hackear cualquier número en Estados Unidos, en caso de que así lo decida el FBI. Israel otorgó una licencia especial a NSO, que permitía a Phantom atacar números estadounidenses. La licencia permitía solo un tipo de cliente: las agencias gubernamentales de Estados Unidos.

La presentación de Phantom desencadenó una discusión entre los abogados del gobierno en el Departamento de justicia y el FBI que duró dos años. Durante ese periodo, el FBI renovó el contrato con NSO y aumentó la tarifa a 5 millones de dólares. Las discusiones entre el Departamento de justicia y el FBI continuaron hasta el año 2021, cuando el FBI decidió no desplegar los programas de NSO. En ese momento, la organización Forbidden Stories presentó la relación entre las armas cibernéticas de NSO y su uso contra periodistas o disidentes políticos. Según el artículo, Pegasus permanece inactivo en las instalaciones de Nueva Jersey.

En noviembre de 2021, Estados Unidos dio un giro inesperado: el Departamento de Comercio agregó a la firma israelí a su lista de entidades que realizan actividades “contrarias a la seguridad nacional o los intereses de la política exterior de Estados Unidos”. En consecuencia, NSO ya no podía comprar suministros críticos de empresas estadounidenses.

Lo anterior fue un golpe para la empresa más importante de la industria de defensa israelí: sin acceso a la tecnología estadounidense que necesitaba para ejecutar sus operaciones, incluidas las computadoras Dell y los servidores en la nube de Amazon, corría el riesgo de no poder funcionar.

Las autoridades de Israel reaccionaron como si la prohibición fuera un ataque a su Estado. NSO y sus ejecutivos estaban molestos con la hipocresía de Estados Unidos: la prohibición estadounidense se produjo después de años de probar en secreto los productos de NSO localmente y ponerlos en marcha en Djibouti.

NSO es un componente central de la estrategia de seguridad nacional israelí; ya que este país la usa para promover sus intereses en todo el mundo. Por ejemplo, una investigación del Times, muestra cómo la capacidad de Israel para aprobar o denegar el acceso a las armas cibernéticas de NSO se relaciona con su diplomacia.

Los casos de México y Panamá ilustran lo anterior, debido a que han cambiado sus posiciones hacia Israel en votaciones clave en la Organización de las Naciones Unidas después de haber obtenido acceso a Pegasus. Los reportes del Times también revelan cómo las ventas de Pegasus desempeñaron un papel fundamental para asegurar el apoyo de las naciones árabes en la campaña de Israel contra Irán; así como en los Acuerdos de Abraham (acuerdos diplomáticos de 2020 que normalizaron las relaciones entre Israel y algunos de sus adversarios árabes).

Todo lo anterior indica que la combinación de la búsqueda de influencia de Israel y la búsqueda de ganancias de NSO se combinan de manera ventajosa para ambos. Como consecuencia, la herramienta de espionaje de NSO ha terminado en manos de una nueva generación de líderes nacionalistas: Pegasus se vendió a Polonia, Hungría e India.

El artículo argumenta que las armas cibernéticas han cambiado las relaciones internacionales más profundamente que cualquier avance desde el advenimiento de la bomba atómica. Éstas son aún más profundamente desestabilizadoras debido a sus características: son baratas, se distribuyen fácilmente y se pueden implementar sin consecuencias para el atacante. Esta proliferación cambia radicalmente la naturaleza de las relaciones estatales. En el caso de Israel, el comercio de armas siempre ha sido fundamental para el interés nacional del país; además, ofertar armas avanzadas es clave para hacer conexiones diplomáticas y políticas relevantes para este país (ver Dato crucial 1).

Al igual que con los proveedores de armas convencionales, los fabricantes de armas cibernéticas deben obtener licencias de exportación del Ministerio de Defensa de Israel para vender sus herramientas en el extranjero, esto hace posible que el gobierno israelí influya en las empresas y, en algunos casos, en los países que les compran.

NSO es una de las empresas más exitosas en relación con el gobierno de Israel. Sus fundadores, Shalev Hulio y Omri Lavie, hicieron su servicio militar obligatorio en unidades de combate. Después de la crisis económica de 2008, crearon una empresa llamada CommuniTake, que ofrecía a los trabajadores de soporte técnico de teléfonos celulares la capacidad de tomar el control de los dispositivos de sus clientes, con permiso. Así, CommuniTake descubrió cómo controlar los dispositivos.

Fue así como nació NSO. Hulio y Lavie contrataron a un tercer socio, Niv Karmi, que había trabajado en el Mossad. Esa incorporación era fundamental para su plan de negocios.La compañía empleó a más de 700 personas en oficinas de todo el mundo y una sede central en expansión en Herzliya. Casi todos los miembros del equipo de investigación de NSO han trabajado en los servicios de inteligencia.

Esto proporcionó a NSO una ventaja competitiva: todos esos ingenieros trabajarían a diario para encontrar nuevas vulnerabilidades en el software del teléfono que podrían explotarse para instalar Pegasus. En 2011, los ingenieros de NSO terminaron de codificar la primera versión de Pegasus.

La compañía obtuvo rápidamente su primera oportunidad importante en México. En ese momento, la guerra contra el narco planteaba nuevas formas de hackear el servicio de mensajería cifrada de BlackBerry, utilizados por los miembros de los cárteles. Los ejecutivos de NSO organizaron una reunión con el presidente de México, Felipe Calderón, y éste se interesó por Pegasus.

Así, el Ministerio de Defensa de Israel informó a NSO que no había ningún problema con la venta de Pegasus a México y se cerró un trato. Con este software, fue posible identificar y acceder a la información del teléfono de una persona conectada con el cártel de Sinaloa.

La contratación del sistema de NSO devino en el cambio de la votación mexicana en las conferencias de las Naciones Unidas y su diplomacia concerniente a Israel. Por lo general, México votaba en contra de Israel; luego, el país cambió los votos de “no” por abstenciones. Luego, en 2016, Enrique Peña Nieto, fue a Israel. Con reciprocidad, Netanyahu visitó Ciudad de México en 2017, la primera visita de un primer ministro israelí al país. Después, México anunció que se abstendría de votar en varias resoluciones pro-palestinas que estaban siendo consideradas por la Naciones Unidas.

El ejemplo de México reveló usos inquietantesde Pegasus. Uno de ellos se dio cuando alguien en el gobierno utilizó Pegasus para espiar a los abogados que trabajaban para desentrañar la masacre de los 43 estudiantes en Iguala en 2014. Tomás Zerón de Lucio fue uno de los principales autores de la versión del gobierno federal sobre el hecho, que concluyó que los estudiantes fueron asesinados por criminales locales.

En 2016 Zerón se convirtió en objeto de una investigación, bajo la sospecha de que había encubierto la participación federal en los eventos allí. Esto indica que pudo haber usado Pegasus en ese esfuerzo. En marzo de 2019, los investigadores acusaron a Zerón de manipular pruebas en relación con la masacre de Iguala. Zerón huyó a Canadá y luego a Israel, donde ingresó al país como turista y donde permanece, a pesar de una solicitud de extradición de México.

En agosto de 2009, el nuevo presidente de Panamá, Ricardo Martinelli, recién salido de una campaña presidencial basada en promesas de “eliminar la corrupción política”, trató de persuadir a Estados Unidos para que le entregara equipo de vigilancia para espiar “amenazas a la seguridad así como a opositores políticos”. Pero Estados Unidos se negó.

Ante la negativa estadounidense Martinello pensó en otro enfoque. En 2009, Martinelli aterrizó en Tel Aviv en uno de sus primeros viajes fuera de América Latina. Panamá siempre estará con Israel, le dijo al presidente israelí, Shimon Peres, en agradecimiento por “su tutela de la capital del mundo: Jerusalén”. Martinelli aprovechó su viaje para reunirse con Netanyahu. En la reunión, Martinelli estaba particularmente interesado en hackear el servicio de texto BBM de BlackBerry, que era muy popular en Panamá en ese momento.

Después de la instalación de los sistemas NSO en Ciudad de Panamá en 2012, el gobierno de Martinelli votó a favor de Israel en numerosas ocasiones, incluso para oponerse a la decisión de las Naciones Unidas de mejorar el estatus de la delegación palestina: 138 países votaron a favor de la resolución, sólo Israel, Panamá y otros siete países se opusieron.

Según una declaración jurada posterior de Ismael Pitti, analista del Consejo de Seguridad Nacional de Panamá, el equipo de vigilancia cibernética se utilizó en una campaña generalizada que violó la privacidad de opositores políticos, magistrados, líderes sindicales, etc. Los fiscales panameños señalaron que Martinelli incluso ordenó al equipo que operaba Pegasus que hackeara el teléfono de su amante.

En 2014, Martinelli fue reemplazado por su vicepresidente, Juan Carlos Varela, quien afirma haber sido blanco del espionaje. Los subordinados de Martinelli desmantelaron el sistema de espionaje y el expresidente huyó del país.

Las crecientes ventas de NSO llamaron la atención de inversionistas: en 2014, Francisco Partners, una firma de inversión global con sede en Estados Unidos pagó 130 millones de dólares por 70 por ciento de las acciones de NSO y luego fusionó otra firma de armas cibernéticas israelí, llamada Circles.

En perspectiva geopolìtica, Pegasus ayudó a unir a una nueva generación de líderes de derecha en todo el mundo. El 21 de noviembre de 2016, Sara y Benjamin Netanyahu dieron la bienvenida a la Primera Ministra Beata Szydlo de Polonia y a su Ministro de Relaciones Exteriores, Witold Waszczykowski, para cenar en su casa. Poco después, Polonia firmó un acuerdo con NSO para comprar Pegasus para su Oficina Central Anticorrupción. Citizen Lab informó en diciembre de 2021 que los teléfonos de al menos tres miembros de la oposición polaca fueron atacados por Pegasus.

En julio de 2017, Narendra Modi se convirtió en el primer primer ministro indio en visitar Israel. Durante décadas, India había mantenido una política de lo que llamaba “compromiso con la causa palestina”, y las relaciones con Israel eran frías. India e Israel acordaron la venta de un paquete de armas sofisticadas y equipos de inteligencia por un valor aproximado de 2 mil millones de dólares. En la venta, estaba incluido Pegasus y un sistema de misiles como piezas centrales. En junio de 2019, India votó a favor de Israel en el Consejo Económico y Social de la ONU para negar el estatus de observador a una organización palestina de derechos humanos.

El Ministerio de Defensa israelí también autorizó la venta de Pegasus a Hungría, a pesar de la campaña de persecución del primer ministro Viktor Orban contra sus opositores políticos. En 2020, Hungría fue uno de los pocos países que no se pronunció públicamente en contra del plan israelí de anexar unilateralmente franjas de Cisjordania.

Por otro lado, Israel autorizó por primera vez la venta de Pegasus a Emiratos Árabes Unidos (EAU). En 2013, Israel le ofreció la oportunidad de comprar Pegasus a EAU. El país no dudó en desplegar Pegasus contra sus enemigos domésticos. El caso de Ahmed Mansoor, un crítico abierto del gobierno, se hizo público después de que Citizen Lab determinara que se había utilizado Pegasus para hackear su teléfono.

Asimismo, el príncipe heredero de Arabia Saudita, Mohammed bin Salman, adquirió Pegasus en 2017. El contrato inicial fue de 55 millones de dólares. Ante el asesinado del periodista Khashoggi en 2018, se cuestionó si Pegasus tuvo algo qué ver. NSO lo negó rotundamente, pero cerró el sistema en Arabia Saudita. Sin embargo, NSO acordó volver a encender Pegasus en Arabia Saudita en 2019.

En diciembre de 2021, solo unas semanas después de que NSO apareciera en la lista negra estadounidense, el asesor de seguridad nacional de la Casa Blanca, Jake Sullivan, llegó a Israel para reunirse con funcionarios israelíes sobre una de las principales prioridades de política exterior de la administración Biden: lograr un nuevo pacto nuclear con Irán tres años después de que el presidente Trump echara por tierra el acuerdo original.

La visita tuvo un peso histórico. En 2012, Sullivan fue uno de los primeros funcionarios estadounidenses en hablar con funcionarios iraníes sobre un posible acuerdo nuclear.

Pero los funcionarios israelíes también querían discutir con Sullivan el futuro de NSO. Los funcionarios israelíes señalaron que si NSO quebraba, Rusia y China podrían llenar el vacío que dejaría Israel. En este sentido, Unna, el exjefe de la Dirección nacional de cibernética de Israel, cree que la medida contra las empresas israelíes es parte de un plan para neutralizar la ventaja de Israel en armas cibernéticas.

Bajo la prohibición, el futuro de NSO está en duda, no solo por su dependencia de la tecnología estadounidense, sino también porque su presencia en una lista negra estadounidense probablemente ahuyentará a los posibles clientes y empleados. Los funcionarios israelíes ahora temen una adquisición estratégica de NSO, en la que alguna otra compañía, o país, tomaría el mando sobre cómo y dónde se usa el arma.

Pero los días del monopolio de Israel pronto terminarán: en enero de 2021, una empresa de armas cibernéticas llamada Boldend hizo una propuesta a Raytheon, el gigante de la industria de la defensa. Boldend desarrolló para varias agencias gubernamentales estadounidenses su propio arsenal de armas para atacar teléfonos celulares y otros dispositivos. Boldend afirma que había encontrado una manera de hackear WhatsApp, pero perdió esa capacidad después de una actualización de WhatsApp.

En octubre de 2019, Facebook/WhatsApp demandó a NSO, argumentando que las herramientas de NSO habían aprovechado una vulnerabilidad en su servicio para atacar aproximadamente 1 400 teléfonos en todo el mundo. En su demanda, el gigante de la tecnología argumenta que NSO participó activamente en algunos de los ataques, y señala evidencia de que alquiló algunos de los servidores informáticos utilizados para atacar las cuentas de WhatsApp.

En documentos judiciales, Facebook afirmó que tenía pruebas de que al menos un número con un código de área de Washington había sido atacado. Claramente, alguien estaba usando el software espía NSO para monitorear un número de teléfono estadounidense. Pero, lo que Facebook no parecía saber era que el ataque a un número de teléfono estadounidense, lejos de ser un asalto de una potencia extranjera, era parte de las pruebas de Phantom ante el FBI.