Los investigadores polacos concluyeron que la Oficina Central Anticorrupción (CBA) no controlaba por completo el software espía Pegasus que utilizaba. La infraestructura clave seguía bajo el control del fabricante, NSO Group, mientras que los datos de vigilancia salían de Polonia a través de servidores en el extranjero y de direcciones IP extranjeras, según las conclusiones de la Fiscalía Nacional informadas por The Record.
Los fiscales afirmaron que NSO tenía «acceso técnico» a la información recopilada durante la vigilancia operativa. Ese hallazgo establece que la empresa podía llegar al sistema, pero no que viera u obtuviera material de operaciones concretas. Los investigadores no pudieron determinar si NSO accedió a datos de alguna inspección operativa específica.
La CBA carecía de control sobre la infraestructura y las cuentas de administrador
Un análisis de la Agencia de Seguridad Interior de Polonia (ABW) concluyó que la CBA no tenía un control completo sobre su despliegue de Pegasus.
El módulo de servidor utilizado para infectar dispositivos móviles permanecía bajo control exclusivo del fabricante. Además, la CBA no disponía de las contraseñas de muchas cuentas con privilegios administrativos, lo que limitaba su capacidad para verificar cómo los distintos módulos gestionaban la transmisión y el almacenamiento de datos.
NSO proporcionaba actualizaciones y soporte técnico a través de conexiones remotas. Según los fiscales, la vigilancia operativa continuaba durante esos trabajos, mientras el fabricante tenía acceso total al sistema, incluida la posibilidad de modificar el software y la configuración.
Los datos recopilados se desviaban fuera de Polonia a través de una red de anonimización que dependía de servidores extranjeros. Los investigadores también detectaron transmisiones a través de direcciones IP extranjeras. Los hallazgos de la fiscalía, tal como se han informado, no establecen que esas rutas hayan entregado materiales de vigilancia concretos a NSO ni a las autoridades israelíes.
Se atacaron dispositivos de más de 500 personas
En febrero de 2024, el Gobierno del primer ministro Donald Tusk anunció que los investigadores habían confirmado el uso de Pegasus contra una lista «muy larga» de objetivos. Tusk dijo que su esposa y su hija habían sido espiadas. También afirmó que los dispositivos de más de 500 personas más habían sido atacados y, en algunos casos, infectados.
Por tanto, la cifra se refiere a más de 500 personas cuyos dispositivos fueron atacados. No es un recuento de infecciones confirmadas ni de casos en los que se obtuvo información.
El lunes, Tusk describió la operación llevada a cabo bajo el anterior partido en el gobierno como «uno de los mayores escándalos de la historia polaca desde la caída del comunismo». Acusó a NSO Group de colaborar con los servicios de inteligencia israelíes y afirmó que datos sobre ciudadanos polacos, líderes de la oposición y fiscales independientes habían sido transferidos a la parte israelí.
Estas acusaciones van más allá de la conclusión técnica de la fiscalía. Según se ha informado, los hallazgos oficiales muestran rutas de datos extranjeras, componentes controlados por el proveedor y la capacidad de NSO para acceder al sistema. Los investigadores no pudieron establecer que NSO obtuviera material de operaciones de vigilancia concretas.
Exfuncionarios se enfrentan a cargos por abusos con Pegasus
Varios antiguos responsables de los servicios de inteligencia y seguridad polacos se enfrentan a cargos por presuntamente facilitar abusos con el software espía. La fiscalía sostiene que la operación se financió mediante la malversación de un fondo público destinado a apoyar a víctimas de delitos.
NSO Group no respondió a la solicitud de comentarios de The Record.
El investigador de Citizen Lab John Scott-Railton declaró a la publicación que los hallazgos plantean problemas de seguridad operativa para los gobiernos que usan software espía comercial. Afirmó que el material revelado en la demanda de WhatsApp contra NSO, presentada en 2019, respalda las afirmaciones del Gobierno polaco y contradice las garantías de larga trayectoria de NSO de que no puede acceder a los datos recopilados por los clientes de Pegasus.
El acceso del proveedor genera riesgos para los gobiernos y los objetivos de la vigilancia
Los hallazgos exponen un problema de seguridad para las agencias que compran software espía extranjero: el cliente puede no ser capaz de verificar cómo funciona el sistema cuando el proveedor controla la infraestructura de infección, las credenciales de administrador, las actualizaciones de software o el soporte remoto.
Ese esquema puede poner tanto los datos de vigilancia como la información sobre objetivos concretos al alcance de un proveedor extranjero. También puede impedir que la agencia que lo opera audite de forma independiente las rutas de datos, los componentes de almacenamiento y los cambios de configuración.
En cuanto a las personas objetivo en Polonia, la investigación no demuestra que todos los intentos de compromiso hayan tenido éxito ni que NSO accediera a la información de cada una de ellas. Sí demuestra que la CBA no podía inspeccionar ni controlar por completo la plataforma de vigilancia que utilizó contra ellas.
