El estudio concluye que el 7 de julio de 2020 se utilizó Pegasus para infectar un dispositivo conectado a la red del Número 10 de Downing Street. Fuentes británicas confirmaron el ataque, pero no el uso del software.
“Cuando nos encontramos con el caso del Número 10 se me cayó la mandíbula”, expresó uno de los investigadores, John Scott-Railton. “Creemos que hubo salida de información”, apuntó otro investigador, Bill Marczak.
Londres explicó que el Centro Nacional de Seguridad Informática realiza revisiones regulares de los dispositivos, incluido el de Johnson, pero “es difícil realizar una registro exhaustivo”, según indicó una fuente británica, reconociendo que no lograron localizar el dispositivo infectado ni saber qué información obtuvieron en el ataque.
Tras investigar los servidores a los que se transmitieron los datos, Citizen Lab sospecha que Emiratos Árabes Unidos está “probablemente” tras este ataque. “Pensé que Estados Unidos, Reino Unido y otras grandes potencias informáticas estaban moviéndose despacio con respecto al Pegasus porque no era una amenaza directa para su seguridad nacional”, sostuvo Scott-Railton.
“Me he dado cuenta de que estaba equivocado: incluso Reino Unido estaba subestimando la amenaza que supone Pegasus y se ha quemado de una forma espectacular”, expuso.
Emiratos no ha respondido a las múltiples solicitudes de declaraciones sobre este incidente y los trabajadores de la empresa NSO aseguran no estar al tanto de este ataque.
“Sabemos de cada una de las llamadas telefónicas que se está pirateando en todo el mundo. Tenemos la información de inmediato”, indicó la empresa a ‘The New Yorker’, una afirmación que se contradice con la política oficial, que sostiene que no conocen lo que hacen sus clientes -gobiernos- con sus programas.
“Estas afirmaciones son falsas y una vez más no pueden tener relación con los productos de NSO por razones tecnológicas y contractuales”, defendió la empresa israelí.
El análisis de Citizen Lab revela además cinco ataques contra el Ministerio de Exteriores británico entre julio de 2020 y junio de 2021, esta vez con origen en servidores de Emiratos Árabes Unidos, India y Chipre.
El consejero delegado de NSO, Shalev Hulio, explicó a ‘The New Yorker’ que “casi todos los gobiernos de Europa utilizan nuestras herramientas”. Los gobiernos de Alemania, Polonia y Hungría han reconocido que utilizan Pegasus y las fuerzas de seguridad belgas también lo usan, aunque no lo reconocen públicamente.
NSO asegura que Pegasus sólo se vende a gobiernos y únicamente después de recibir la aprobación del Ministerio de Defensa israelí. Su uso, aseguran, se limita a la persecución de criminales y terroristas y supuestamente cuenta con sistemas de salvaguardia para evitar abusos.
El software Pegasus habría sido utilizado por países como El Salvador o Marruecos para espiar a periodistas y activistas y en el caso marroquí se ha llegado incluso a acusar al espionaje marroquí de intentar espiar al presidente francés, Emmanuel Macron.
Además NSO ha sido demandada por la empresa estadounidense de mensajería instantánea WhatsApp, propiedad de Facebook, que asegura que se utilizó Pegasus contra 1.400 usuarios. La empresa israelí niega la acusación y asegura que son sus clientes estatales los que son responsables en última instancia por el uso de esta tecnología.
El software Pegasus permite espiar un teléfono sin necesidad de que el usuario pinche en ningún enlace en concreto, instalando una antena de telefonía falsa cerca del objetivo y permitiendo así interceptar y redirigir sus comunicaciones hasta sitios web que instalan programas maliciosos.