NSO Group entró en crisis financiera y su controlante fue liquidada, pero Pegasus sigue infectando teléfonos de rectores universitarios y fiscales en Serbia. El patrón no es nuevo: cuando una marca se quema, el mercado se reorganiza bajo otro nombre, porque el verdadero origen de esta industria es estructural, no corporativo.
Un reporte publicado el 19 de octubre por Citizen Lab documentó que el software espía Pegasus, de la israelí NSO Group, fue usado contra al menos dos figuras clave del movimiento prodemocrático en Serbia: el rector de la Universidad de Belgrado y un ex fiscal que investigó un caso de corrupción. El hallazgo llega después de que trascendiera, en los últimos años, que NSO Group atravesaba una crisis financiera profunda que la puso al borde del cierre. La pregunta que se impone es simple y a la vez incómoda: si la empresa estuvo técnicamente al borde de desaparecer, ¿cómo sigue el software operando con total normalidad? La respuesta no es que la amenaza persiste a pesar de la crisis de la empresa. Es que la crisis de la empresa nunca fue la amenaza.
Lo que pasó en Serbia
Según el análisis forense de Citizen Lab, con un nivel de confianza alto, el teléfono de Vladan Đokić, rector de la Universidad de Belgrado y partidario del movimiento estudiantil que viene desafiando al gobierno serbio, fue infectado con Pegasus mediante un exploit de tipo zero-click: una técnica que no requiere ninguna acción de la víctima —ni abrir un link, ni descargar un archivo— para tomar control del dispositivo. Las autoridades serbias allanaron sus oficinas el 31 de marzo de este año.
El segundo caso es el de Rade Bajić, ex fiscal que había investigado el affaire de la fallida «Trump Tower» de Belgrado, un proyecto inmobiliario vinculado a la familia Trump que terminó envuelto en denuncias de corrupción. Bajić recibió una notificación de amenaza directamente de Apple —la compañía avisa a usuarios cuando detecta indicios de ataque con spyware de estado— el 13 de agosto, con un recordatorio el 27 de agosto. El análisis forense completo de su dispositivo todavía está en curso.
Citizen Lab eleva a al menos 16 los miembros de la sociedad civil serbia identificados públicamente como blanco o víctima confirmada de spyware mercenario. La organización SHARE Foundation ya había contado al menos 14 casos solo en 2026. Amnesty International, por su parte, documentó el uso repetido de spyware desarrollado directamente dentro de Serbia contra manifestantes y periodistas —es decir, un aparato de vigilancia que ya no depende en exclusiva de proveedores israelíes, sino que empieza a tener capacidad local propia.
La «muerte» de NSO Group que nunca fue total
En paralelo a estos ataques, NSO Group atravesaba —y sigue atravesando— un historial de crisis corporativa que alimentó la idea de que la amenaza estaba quedando atrás. Pero revisada de cerca, esa crisis fue siempre financiera y de reputación, nunca operativa sobre el producto en sí.
La clave está en entender qué fue exactamente lo que se liquidó: la estructura de propiedad y financiamiento de la empresa, no el software, ni los acuerdos de licencia con los estados que ya lo compraron. Un gobierno que adquirió Pegasus hace años y lo integró a su aparato de inteligencia no necesita que NSO Group siga siendo una empresa sana para seguir usándolo —el producto ya está instalado, actualizado por soporte técnico contractual, y operando. La «quiebra» de la marca es un problema de accionistas, no un interruptor de apagado del arma.
Graphite y Paragon: la prueba de que el mercado no se seca, se reorganiza
El caso que confirma el patrón —y que vos señalabas— es el de Paragon Solutions, otra empresa israelí, y su software de espionaje llamado Graphite. En 2025, Graphite apareció usado contra periodistas europeos y defensores de derechos humanos en Italia, en un escándalo que un informe parlamentario italiano terminó confirmando formalmente: hubo vigilancia real, con un producto israelí, sobre objetivos protegidos por la libertad de prensa dentro de un país miembro de la Unión Europea.
Paragon no es un competidor casual de NSO. Es, estructuralmente, el mismo fenómeno repetido: una empresa fundada por ex oficiales de inteligencia israelí, con el mismo tipo de producto (intrusión remota, muchas veces zero-click), vendido al mismo tipo de clientes (agencias estatales), con el mismo resultado final (usado contra prensa y sociedad civil en lugar de, exclusivamente, contra terrorismo o crimen organizado, que es como se vende oficialmente). Cuando una marca como NSO se quema por la exposición pública y la presión regulatoria estadounidense, el mercado no desaparece: la demanda de los gobiernos por esta clase de herramienta sigue intacta, y aparece otra empresa, con otro nombre, para cubrirla.
El semillero real: la Unidad 8200
Lo que explica por qué este patrón se repite específicamente con empresas israelíes, una y otra vez, no es casualidad de mercado: es un semillero estructural y estatal. La Unidad 8200 es la unidad de inteligencia de señales de las Fuerzas de Defensa de Israel, el equivalente funcional a la NSA estadounidense pero operando dentro de un sistema de reclutamiento muy distinto.
Cómo funciona el semillero
Israel tiene servicio militar obligatorio, y dentro de ese sistema identifica de forma temprana a adolescentes con aptitudes técnicas excepcionales para asignarlos a la Unidad 8200. Ahí, durante años, esos jóvenes desarrollan y operan capacidades reales de intrusión informática, interceptación de comunicaciones y explotación de vulnerabilidades de día cero contra objetivos de inteligencia de países considerados hostiles. No es una currícula académica: es entrenamiento operativo con presupuesto estatal y objetivos geopolíticos reales.
De soldados a fundadores
Cuando ese personal termina su período de servicio, una proporción enorme funda empresas de ciberseguridad —muchas legítimas y defensivas, pero también una cantidad significativa de spyware ofensivo—. NSO Group, Candiru, Paragon Solutions y Cellebrite, entre otras, fueron fundadas por ex integrantes de la 8200. El talento no se pierde cuando una empresa cae: migra, en bloque, a la siguiente.
- El Ministerio de Defensa de Israel debe aprobar, caso por caso, cada licencia de exportación de software como Pegasus a un país comprador. Ninguna venta a un gobierno extranjero ocurre sin ese sello estatal.
- Esto convierte cada escándalo de uso contra periodistas o disidentes (México, Arabia Saudita, Hungría, y ahora el entorno serbio) en una decisión que, en algún punto de la cadena, pasó por la aprobación de un funcionario israelí.
- Para el estado israelí, estas ventas no son solo negocio privado: funcionaron históricamente como moneda de cambio diplomática, una forma de acercar relaciones con gobiernos que de otro modo serían fríos o directamente hostiles con Israel, a cambio de acceso a esta tecnología.
El patrón de fondo: la marca se quema, la demanda no
Lo que conecta el caso serbio, la caída financiera de NSO, el escándalo italiano de Paragon y el origen compartido en la Unidad 8200 es una lógica de mercado muy parecida a la de cualquier industria con alta demanda estatal y baja regulación efectiva: cuando un producto se vuelve tóxico por exposición pública —sanciones, listas negras, escándalos periodísticos—, lo que colapsa es la marca, no la necesidad que la generó. Los gobiernos que quieren vigilar periodistas, fiscales incómodos, rectores universitarios o movimientos de disidencia no dejan de querer esa capacidad porque una empresa puntual entre en crisis. Simplemente cambian de proveedor, o esperan a que surja uno nuevo con el mismo linaje técnico.
Y ese linaje técnico, en el caso israelí, no es un accidente de mercado libre: es el resultado directo de una política de estado que entrena a una elite técnica dentro de las fuerzas armadas, la libera al sector privado al término del servicio, y luego regula —aprobando o no cada exportación— quién puede comprar el producto final. El ecosistema completo, desde el entrenamiento hasta la licencia de venta, pasa en algún momento por decisiones del propio estado israelí. Por eso cuando se habla de «la industria del spyware israelí», el sujeto correcto no es una empresa aislada que de vez en cuando comete abusos: es un sistema con el estado como arquitecto de fondo, del que las empresas —NSO ayer, Paragon hoy, la que venga después— son apenas la cara comercial visible.
La lección que deja el caso serbio es que cualquier anuncio de «cierre» o «crisis» de una empresa de spyware debería leerse con escepticismo estructural: mientras el semillero que las produce siga intacto —la Unidad 8200, el régimen de licencias estatales, la demanda global de vigilancia— el nombre de la empresa es lo único reemplazable. El software, de una forma o de otra, sigue.
Bastión se sostiene con trabajo, no con publicidad. Si esto te aportó algo, invitame un café.
☕ Invitame un café