Durante tres meses, de setiembre a diciembre de 2021, los teléfonos Iphone de todos los miembros de El Faro fueron examinados en diferentes etapas, en un proceso liderado por Citizen Lab, laboratorio de la Universidad de Toronto especializado en ciberseguridad, en el que participó Access Now, organización que vela por la protección de los derechos digitales. La conclusión técnica, validada por Amnistía Internacional, fue contundente: los aparatos telefónicos de 22 miembros del periódico fueron intervenidos con Pegasus, el software de espionaje de la empresa israelí NSO Group. El equipo –los jefes editoriales, los periodistas, los miembros de la junta directiva y el personal administrativo– permaneció bajo constante vigilancia entre, por lo menos, el 29 de junio de 2020 y el 23 de noviembre de 2021. En total, se hicieron 226 intervenciones, y hay evidencia de que un operador ejecutó Pegasus desde el territorio salvadoreño.
Las intervenciones duraron desde un día hasta un año, en un ataque constante. En otras palabras: se trata de 17 meses de espionaje continuo y con total acceso a los aparatos telefónicos de más de la mitad del personal que trabaja para este periódico, en fechas específicas, que coinciden con diferentes procesos de investigación de El Faro, acontecimientos relevantes de la vida política salvadoreña y ataques gubernamentales contra el periódico. En 11 de los casos de empleados de este medio, el peritaje concluyó que hubo hackeo, es decir, intromisión en el aparato. En otros 11 casos, el peritaje concluyó que, además, se extrajo información. La pericia no logró determinar qué tipo de información fue secuestrada, pero Pegasus permite extraer lo que sea que haya en el teléfono: fotos, conversaciones, audios, contactos. El peritaje no descarta que se haya robado información en los demás teléfonos, pero concluyó, sin matices, que en 11 casos sí.
En diciembre de 2020Citizen Lab publicó un informe sobre 25 países. En él concluía que el Estado salvadoreño había adquirido un sistema de vigilancia de la compañía Circles, afiliada a NSO Group. También concluía que ese sistema había sido utilizado en el país desde 2017 (cuando gobernaba el Frente Farabundo Martí para la Liberación Nacional) hasta la fecha de la publicación del informe. Según John Scott-Railton, investigador sénior de Citizen Lab, los hallazgos en los teléfonos de El Faro son diferentes a los de aquel informe. Lo que se detectó en los teléfonos de este medio fue Pegasus y no otros softwares de espionaje. Pegasus, según Citizen Lab, supera al programa de Circles. «Pegasus instala un programa en el teléfono; Circles no lo hace. Con Circles, hay solo monitoreo e intercepción; con Pegasus, los teléfonos se ven hackeados», aseguró Scott-Railton.
«Lo que nos ha sorprendido no es sabernos intervenidos, sino la cantidad, la frecuencia y la duración de estas intervenciones. Casi todo El Faro ha sido intervenido. Todo apunta, según los peritajes que hemos analizado, a que el responsable de estas intervenciones es el gobierno salvadoreño, que está utilizando el software para espiar y obtener ilegalmente información alojada en los teléfonos de los periodistas. Es completamente inaceptable. Después de las revelaciones del Pegasus Project, esperábamos que los dueños del software cumplieran su palabra y verificaran que no estaba siendo utilizado para perseguir periodistas. Evidentemente no lo hicieron», dijo el fundador y director de El Faro, Carlos Dada. Citizen Lab, la misma organización que analizó los teléfonos del periódico salvadoreño, ya había descubierto una masiva intervención de Pegasus en dispositivos de periodistas y activistas de derechos humanos en México, Marruecos, Arabia Saudita, Hungría, India y Azerbaiyán. La revelación fue publicada en medios internacionales como The Washington Post, The Guardian y Le Monde (véase «El espía», Brecha, 23-VII-21).
NSO Group ha declarado que solo vende el Software de espionaje Pegasus a gobiernos, con la autorización del Ministerio de Defensa de Israel. En el peritaje de los teléfonos de El Faro, hecho por las organizaciones internacionales que han liderado procesos similares con periodistas, activistas y la oposición política de varios países, todo apuntó a que fue el gobierno el que estuvo detrás de las intervenciones. Scott-Railton dijo: «Si encuentras Pegasus, sabes que esa persona ha sido intervenida por un gobierno».
DOSCIENTAS VEINTISÉIS INTERVENCIONES
El 23 de noviembre de 2021, la empresa estadounidense Apple envió correos a algunos periodistas, políticos y activistas salvadoreños, incluyendo a 14 miembros de El Faro. En el correo, Apple advertía de un posible espionaje «bajo el patrocinio del Estado». La alerta coincidió con el inicio de una demanda presentada ese mismo día por Apple en contra de NSO Group en una corte federal de California, Estados Unidos, por infectar dispositivos de actores específicos a través de Pegasus. Cuando los periodistas de El Faro recibieron el correo de Apple, el proceso independiente de análisis de los teléfonos con las organizaciones Access Now y Citizen Lab ya llevaba dos meses. Los miembros de este medio ya habían sido notificados de que sus dispositivos estaban siendo vigilados con Pegasus.
Producto de esas pericias, se determinó que desde el 29 de junio de 2020 se hicieron al menos 226 intervenciones a las 22 personas de El Faro que fueron víctimas de espionaje, de acuerdo con el informe técnico brindado por Citizen Lab y Access Now. Las organizaciones no descartan que haya más víctimas de espionaje cibernético dentro del periódico. Sin embargo, el peritaje no pudo hacerse en teléfonos con el sistema operativo Android ni en dispositivos en que se hayan hecho ciertas actualizaciones recientes.
«Este es uno de los casos de espionaje más impactantes y obsesivos que hemos investigado», expresó Scott-Railton.
UNA «INVERSIÓN PÚBLICA» MILLONARIA
Debido a las políticas de privacidad de NSO Group, no es posible determinar a cabalidad cuánto se invirtió en una operación de espionaje como la que ha sufrido El Faro. «Pegasus cuesta millones de dólares», respondió el investigador de Citizen Lab al consultársele si podía calcular una cifra. «Cuando un gobierno adquiere Pegasus, adquiere un número concreto de licencias por infección. Si la licencia A te infecta un lunes, no pueden usar esa misma licencia para infectar a otras tres personas», agregó.
Según Citizen Lab, basándose en contratos que la empresa israelí ha hecho públicos, es posible hacerse una idea. «Se gastaron millones de dólares en esta herramienta de espionaje. Pero, en lugar de ser usadas para combatir el crimen, las licencias fueron usadas cientos de veces para vigilar periodistas», aseguró Scott-Railton. Para hacer las cuentas, agregó el investigador, es necesario cuantificar la tarifa por instalarlo, el equipo tecnológico necesario y la capacitación para el personal que debe correr Pegasus.
¿Qué posibilidades da una intervención de este tipo? Todas: la extracción de mensajes, imágenes y cualquier archivo; la activación de la cámara y el micrófono; el acceso a los adjuntos de los mensajes de texto y las aplicaciones de mensajería y de correo electrónico, y la posibilidad de acceder a las bitácoras de geolocalización, los registros de llamadas y la actividad de navegación en sitios de Internet. Según Citizen Lab, además, se ha detectado una novedad entre las posibilidades de Pegasus: el robo de credenciales, o tokens, que se guardan en el dispositivo, lo que permite al atacante acceder a las cuentas aun cuando el dispositivo ya no está infectado, gracias a la información que extrajo.
Durante el tiempo del espionaje, los periodistas de El Faro investigaban las negociaciones secretas entre el gobierno de Nayib Bukele y las maras, el robo de alimentos destinados a cubrir el déficit causado por la pandemia por parte del director de los centros penales y su madre, las negociaciones secretas de los hermanos de Bukele para implementar el bitcoin, el patrimonio de los funcionarios del actual gobierno, el manejo de la pandemia y un perfil del presidente.
(Publicado originalmente en El Faro. Brecha reproduce fragmentos. Titulación propia.)
