El llibre "Pegasus. The Story of the World's Most Dangerous Spyware" (2023), de Laurent Richard i Sandrine Rigaud, narra la investigació periodística internacional més gran de la història sobre la ciberguerra i la vigilància massiva. L'obra detalla com el programari espia Pegasus, creat per l'empresa israeliana NSO Group, s'ha utilitzat sistemàticament per atacar periodistes, activistes de drets humans i líders polítics a tot el món.
A continuació es presenta un resum exhaustiu estructurat per eixos temàtics i cronològics:
1. L'origen: La filtració i el "Projecte Pegasus"
La investigació neix quan Forbidden Stories i el Security Lab d'Amnistia Internacional obtenen accés a una llista filtrada de 50.000 números de telèfon seleccionats com a possibles objectius pels clients de NSO.
- La col·laboració: Per processar aquesta magnitud de dades, es va crear un consorci de més de 80 periodistes de 17 mitjans (com The Guardian, Le Monde, The Washington Post i Haaretz) que van treballar durant mesos en secret absolut.
- La premissa: Forbidden Stories té la missió de continuar la feina de periodistes amenaçats o assassinats, com la mexicana Regina Martínez, la mort de la qual és un dels fils conductors inicials que porten l'equip a investigar la ciberservigilància a Mèxic.
2. La tecnologia: L'arma perfecta
Pegasus es descriu com una eina d'intrusió de grau militar capaç de prendre el control total d'un telèfon mòbil sense que l'usuari se n'adoni.
- Capacitats: Pot llegir missatges (fins i tot els xifrats com Signal o WhatsApp), activar el micròfon i la càmera a distància, rastrejar la geolocalització i extreure fotos, correus i contactes.
- Evolució dels atacs: El programari va passar d'explotacions que requerien un clic en un enllaç maliciós (enginyeria social) a atacs de "clic zero" (zero-click), que infecten el dispositiu mitjançant vulnerabilitats en aplicacions com iMessage, Apple Music o Fotos, sense cap interacció de la víctima.
- El paper d'Apple: Tot i que l'iPhone es considerava el dispositiu més segur, NSO va dedicar milions a trobar "vulnerabilitats de dia zero" (zero-day) per saltar-se les seves proteccions.
3. La investigació forense (Amnistia Internacional)
Els experts Claudio Guarnieri i Donncha Ó Cearbhaill van ser els cervells tècnics que van desenvolupar les eines per trobar rastres de Pegasus als telèfons.
- Proves irrefutables: Van descobrir que Pegasus deixava "empremtes digitals" en els registres de diagnòstic de l'iPhone (com el fitxer CrashReporter o processos amb noms camuflats com bh o otpgrefd).
- Resultats: La taxa d'èxit forense va ser sorprenent: en el 85% dels iPhones seleccionats que es van analitzar, es van trobar indicis d'infecció o intent d'atac.
- Revisió per parells: El Citizen Lab de la Universitat de Toronto va validar de manera independent la metodologia i els hallandatges del Security Lab.
4. Casos clau i països clients
El llibre detalla com diversos governs van utilitzar Pegasus per a fins repressius:
- Mèxic: El client més actiu (15.000 números). Es va utilitzar contra periodistes (incloent-hi Cecilio Pineda, assassinat poc després de ser seleccionat), advocats de les famílies dels 43 estudiants desapareguts d'Ayotzinapa i el cercle íntim del llavors opositor (ara president) AMLO.
- Aràbia Saudita: Pegasus va ser utilitzat per espiar l'entorn de Jamal Khashoggi abans i després del seu assassinat a Istanbul, incloent-hi la seva dona Hanan Elatr i la seva promesa Hatice Cengiz.
- Marroc: Va ser un dels usuaris més prolífics. Va atacar periodistes com Omar Radi (empresonat sota càrrecs de violació i espionatge) i Edwy Plenel de Mediapart. També va seleccionar com a objectius el president francès Emmanuel Macron i la majoria del seu gabinet.
- Hongria: El govern de Viktor Orbán el va fer servir contra periodistes d'investigació de Direkt36 com Szabolcs Panyi.
- Azerbaidjan: La periodista Khadija Ismayilova va ser objecte d'una vigilància implacable i sistemàtica durant anys a través de Pegasus.
- Índia: Es van trobar rastres d'infecció en els telèfons del líder opositor Rahul Gandhi i de l'estratega Prashant Kishor.
- Ruanda: El govern va atacar Carine Kanimba, filla de Paul Rusesabagina (heroi de l'Hotel Ruanda).
5. NSO Group i l'ecosistema israelià
El llibre analitza l'ascens de NSO dins de la creixent indústria de la ciberseguretat a Israel.
- Unitat 8200: La majoria dels enginyers de NSO provenen de la unitat d'elit d'intel·ligència de l'exèrcit israelià, on reben una formació inigualable en ciberguerra.
- Diplomàcia de l'spyware: S'argumenta que el govern de Benjamin Netanyahu va utilitzar la concessió de llicències de Pegasus com una eina diplomàtica per millorar relacions amb països com l'Aràbia Saudita, els Emirats Àrabes Units o el Marroc, sovint amb l'objectiu compartit de frenar la influència de l'Iran.
- Defensa de NSO: Shalev Hulio, CEO de l'empresa, sempre va mantenir que la seva eina servia per "salvar vides" i que només la venien a estats verificats per lluitar contra el crim i el terrorisme, negant qualsevol mal ús sistemàtic.
6. Conseqüències i futur
La publicació del projecte el juliol de 2021 va provocar un terratrèmol polític i legal.
- Accions dels EUA: El govern nord-americà va incloure NSO Group en la seva llista negra (Entity List), prohibint-li l'accés a tecnologia dels EUA.
- Litigis: Apple va presentar una demanda contra NSO per abusar dels seus productes i clients.
- Crisi financera: NSO va patir una caiguda dràstica de les vendes i es va veure incapaç de pagar els seus deutes, perdent el seu accionista majoritari Novalpina.
- Llegat amarg: Malgrat la decadència de NSO, el llibre conclou que la indústria de la "Intrusió com a Servei" continua creixent sense regulació internacional real, amb noves empreses com DarkMatter que prenen el relleu en un mercat on els interessos geopolítics sovint passen per sobre dels drets humans.
