NSO Group vendió el software de intrusión más sofisticado jamás creado a gobiernos de todo el mundo. Lo usaron para capturar a «El Chapo» Guzmán. También lo usaron, meses antes de un asesinato, contra la esposa de un periodista saudí al que luego desmembraron en un consulado.
Pegasus es el programa de espionaje más sofisticado jamás creado para teléfonos móviles, desarrollado por la empresa israelí NSO Group, fundada en 2010. No es un virus que roba contraseñas: es lo que los especialistas llaman «spyware de grado militar». Tan sofisticado que el propio gobierno de Israel lo clasifica como un arma, y cada venta a un gobierno extranjero necesita la aprobación de su Ministerio de Defensa. Una vez que infecta un teléfono, el atacante obtiene control total del dispositivo: mensajes, fotos, contactos, ubicación GPS en tiempo real, contraseñas guardadas, y la capacidad de activar remotamente el micrófono y la cámara sin dejar ningún rastro visible. Investigadores de seguridad lo describieron como «el ataque de teléfono inteligente más sofisticado de la historia».
Qué puede hacer exactamente
Pegasus accede a todas las aplicaciones de mensajería, incluidas las que usan cifrado de extremo a extremo —WhatsApp, Telegram, Signal, iMessage—. No rompe la encriptación: la esquiva. Captura la información antes de que se encripte, o después de que se desencripta, directamente en la pantalla del dispositivo infectado. Esa es la clave de por qué ninguna app de mensajería «segura» protege, por sí sola, contra este tipo de software: el problema no está en el canal de comunicación, está en el teléfono entero, convertido en un dispositivo de vigilancia que la víctima sigue llevando encima las 24 horas sin saberlo.
Zero-click: por qué no hace falta que la víctima haga nada
Las primeras versiones de Pegasus requerían que la víctima hiciera clic en un enlace malicioso. La evolución del producto llegó a los llamados ataques zero-click: cero clics necesarios. NSO Group busca de forma permanente vulnerabilidades de «día cero» (zero-day) en iOS y Android —fallas que ni Apple ni Google saben que existen, por lo que tienen literalmente cero días de ventaja para repararlas antes de que sean explotadas—.
FORCEDENTRY: la imagen que no era una imagen
Una de las vulnerabilidades más conocidas se llamó FORCEDENTRY, descubierta en 2021 por Citizen Lab al analizar el teléfono de un activista saudí. Explotaba una falla en cómo iMessage procesa imágenes: a la víctima le llegaba un archivo que parecía un GIF inofensivo, pero en realidad era un PDF manipulado que aprovechaba un error en la biblioteca de procesamiento de imágenes de Apple. El teléfono intentaba renderizar la imagen automáticamente y, sin que el usuario tocara nada, quedaba infectado. Google llegó a describir FORCEDENTRY como «uno de los exploits más técnicamente sofisticados que hemos visto jamás», y Apple tuvo que lanzar actualizaciones de emergencia.
La videollamada que nunca se atendió
En 2019 se descubrió otra técnica, esta vez a través de WhatsApp: bastaba con recibir una videollamada. El teléfono sonaba una vez; aunque la víctima ignorara o rechazara la llamada, ya quedaba comprometida. El spyware, además, borraba el registro de la llamada perdida para no dejar rastro.
Una vez dentro, Pegasus realiza un «jailbreak» silencioso del dispositivo: lo desbloquea a nivel administrativo, lo que le da acceso a absolutamente todo, mientras la víctima sigue usando su teléfono con total normalidad, sin ningún indicio de que algo cambió.
El negocio: precios que explican los incentivos
NSO Group sostiene que solo vende Pegasus a «gobiernos autorizados» para combatir terrorismo y crimen organizado. Los números filtrados muestran por qué esa frase funciona más como relaciones públicas que como control real.
- 2016 (New York Times): 500.000 dólares de instalación inicial, más 650.000 dólares adicionales para espiar 10 dispositivos.
- Licencias reveladas en documentos internos de NSO: 20,7 millones de euros anuales para monitorear 50 smartphones; 41,4 millones de euros anuales para 100 dispositivos. Más un fee de mantenimiento anual de entre el 17% y el 22% del costo total del sistema.
- Juicio WhatsApp vs. NSO (2024-25): precio «estándar» de 7 millones de dólares para clientes europeos, más 1 millón extra por «vectores encubiertos» —los exploits zero-click más avanzados.
- México: más de 80 millones de dólares pagados a NSO a lo largo de varios años.
- Arabia Saudita: unos 55 millones de dólares, según estimaciones.
El juicio de WhatsApp contra NSO también derribó la principal defensa legal de la empresa: que ellos solo vendían la herramienta y que los clientes la operaban de forma independiente. Los documentos judiciales demostraron lo contrario —NSO es la entidad que «instala y extrae» los datos del dispositivo objetivo. El cliente aporta el número de teléfono de la víctima, aprieta un botón, y es NSO quien ejecuta todo el trabajo técnico de la intrusión.
El caso Khashoggi: el software llegó antes que el cuchillo
El 2 de octubre de 2018, el periodista saudí Jamal Khashoggi entró al consulado de Arabia Saudita en Estambul para tramitar unos documentos de su boda. Nunca salió. Fue emboscado por un escuadrón de 15 agentes saudíes que lo asesinaron y desmembraron dentro del consulado; Turquía había instalado micrófonos ocultos que capturaron audio de sus últimos momentos.
Investigaciones posteriores de Citizen Lab y el Washington Post revelaron que el teléfono de Hanan Elatr, esposa de Khashoggi, fue infectado con Pegasus meses antes del asesinato —mientras estaba detenida e interrogada por agentes de Emiratos Árabes Unidos en el aeropuerto de Dubai, en abril de 2018—. Los investigadores hallaron evidencia de que alguien abrió manualmente el navegador Chrome de su teléfono, tecleó una URL de infección de Pegasus —cometiendo dos errores de tipeo en el proceso— y ejecutó el ataque, todo mientras el dispositivo estaba en custodia oficial.
«Jamal era muy educado en público, pero en privado hablaba más libremente — era muy, muy crítico del príncipe heredero.»Omar Abdulaziz, disidente saudí, sobre sus conversaciones interceptadas con Khashoggi
La inteligencia estadounidense concluyó que el príncipe heredero Mohammed bin Salman ordenó el asesinato. La evidencia disponible sugiere con fuerza que Pegasus fue la primera arma usada contra Khashoggi, antes que el cuchillo y la sierra.
Presidentes, periodistas y activistas: el Proyecto Pegasus
En julio de 2021, el Proyecto Pegasus —una investigación de más de 80 periodistas de 17 organizaciones de medios, coordinada por Forbidden Stories con apoyo técnico de Amnistía Internacional— reveló la magnitud real del fenómeno. El equipo accedió a una lista filtrada de más de 50.000 números de teléfono seleccionados como potenciales objetivos de clientes de Pegasus entre 2016 y 2021.
Entre los nombres: 14 jefes de estado, incluido el presidente francés Emmanuel Macron, además de Imran Khan (Pakistán), Cyril Ramaphosa (Sudáfrica) y el rey Mohammed VI de Marruecos. En total, más de 600 políticos y funcionarios de gobierno de 34 países. Macron cambió de teléfono y de número de inmediato, y ordenó una revisión completa de los protocolos de seguridad del gobierno francés —el presidente de una potencia nuclear europea, potencialmente espiado por Marruecos—. La lista incluía también a 189 periodistas de medios como The Guardian, The Washington Post, Le Monde, El País y Al Jazeera, además de activistas, abogados y disidentes, entre ellos la princesa Haya de Dubai, que huyó del jeque Mohammed bin Rashid Al Maktoum tras descubrir cómo él había secuestrado a dos de sus propias hijas.
México: primer cliente y mayor escala de abuso documentado
México fue el primer cliente de NSO Group, desde la administración de Felipe Calderón. Pegasus se usó para capturar a «El Chapo» Guzmán, un caso que la propia NSO exhibe en su material de marketing. Pero también se usó contra periodistas que investigaban corrupción gubernamental, abogados que trabajaban en el caso de los 43 estudiantes desaparecidos de Ayotzinapa, y activistas que documentaban abusos militares en Tamaulipas.
Más de 15.000 números mexicanos aparecieron en la lista filtrada, incluido el entonces candidato presidencial Andrés Manuel López Obrador y 50 personas de su entorno cercano. Tras ganar las elecciones, López Obrador prometió que su gobierno nunca usaría Pegasus. Investigaciones de Citizen Lab y la organización mexicana R3D demostraron, sin embargo, que los ataques continuaron durante su gobierno hasta 2021, con los exploits zero-click más sofisticados disponibles en ese momento. Un caso extremo: la viuda de un periodista asesinado en Sinaloa fue atacada con Pegasus una semana después del asesinato de su esposo.
La condena: WhatsApp contra NSO Group
En octubre de 2019, WhatsApp demandó a NSO Group en un tribunal federal de California, alegando que la empresa había usado sus propios servidores para distribuir Pegasus a aproximadamente 1.400 dispositivos entre abril y mayo de ese año. NSO intentó varias líneas de defensa —falta de jurisdicción, que sus clientes eran gobiernos soberanos actuando legalmente, que ellos solo vendían la herramienta sin operarla—; ninguna prosperó.
«NSO gana muchos millones de dólares ayudando a dictadores a hackear gente. Después de años de cada truco y táctica dilatoria, al jurado solo le tomó un día de deliberación ver directamente al corazón del asunto.»John Scott-Railton, investigador senior de Citizen Lab
Durante el juicio, el propio CEO de NSO, Yaron Shohat, declaró: «Nos esforzamos por mantener la cabeza fuera del agua». Documentos revelaron que la empresa perdió 12 millones de dólares en 2024 y tenía solo 5,1 millones en el banco. Ese cuadro de fragilidad financiera es el mismo que, un par de años después, terminaría en la liquidación de su firma controlante —pero, como muestra la compra del consorcio estadounidense en octubre de 2025, el negocio encontró nuevos dueños antes de apagarse del todo.
Cómo protegerse, en la medida de lo posible
Si un gobierno con recursos prácticamente ilimitados decide hackear específicamente un teléfono con Pegasus, es muy difícil prevenirlo del todo: los exploits zero-click son extremadamente sofisticados. Pero hay medidas concretas que dificultan el ataque y mejoran la protección.
- Mantener el dispositivo actualizado. Muchos exploits de Pegasus apuntan a vulnerabilidades ya conocidas y parcheadas; no actualizar deja al usuario expuesto innecesariamente.
- Activar el Modo de Bloqueo (Lockdown Mode) en iPhone. Apple lo introdujo en iOS 16 específicamente para amenazas de este tipo, pensado para periodistas, activistas y funcionarios de gobierno. Bloquea la mayoría de adjuntos en Mensajes, deshabilita tecnologías web complejas, bloquea llamadas FaceTime de desconocidos y previene conexiones por cable cuando el teléfono está bloqueado. Citizen Lab confirmó que esta función bloqueó efectivamente un ataque de Pegasus contra activistas mexicanos —la primera evidencia documentada de que funciona en el mundo real.
- Reiniciar el teléfono con regularidad. Pegasus frecuentemente no sobrevive a un reinicio del dispositivo; reiniciar a diario puede interrumpir una infección activa y forzar al atacante a intentarlo de nuevo.
- Prestar atención a las alertas de Apple y Google. Desde 2021, Apple notifica a usuarios que pueden haber sido objetivo de ataques patrocinados por estados. Citizen Lab describió estas alertas como «un cambio de juego para la investigación de responsabilidad del spyware».
- Buscar análisis forense si hay sospecha de infección. Organizaciones como Access Now o Citizen Lab pueden analizar un dispositivo. También existe el Mobile Verification Toolkit (MVT) de Amnistía Internacional, aunque requiere conocimiento técnico para usarlo.
La pregunta de fondo
NSO Group sostiene siempre que su tecnología «juega un rol crítico en la prevención de crimen serio y terrorismo», y en algunos casos documentados —como la captura de «El Chapo»— eso es verdad. Pero cuando la misma herramienta se usa para vigilar periodistas, rastrear disidentes y, según la evidencia disponible, facilitar un asesinato, la línea entre seguridad nacional legítima y represión se vuelve casi imposible de trazar desde afuera.
El problema no se agota en NSO Group. Existe un mercado global de «spyware mercenario» que crece año a año, con decenas de empresas menos conocidas vendiendo herramientas similares a gobiernos de todo el mundo, muchas veces con menos escrutinio público y menos restricciones legales que las que terminaron golpeando a NSO. La victoria judicial de WhatsApp sentó un precedente importante —que estas empresas pueden ser responsabilizadas en una corte—, pero es apenas el primer paso de un camino largo: mientras el modelo de negocio siga siendo rentable y el régimen de licencias de exportación siga dependiendo de decisiones estatales caso por caso, el reemplazo de una marca caída por otra —como ya ocurrió después con Paragon Solutions y su software Graphite— es la regla, no la excepción.
Cada vez que alguien agarra su teléfono, sostiene una ventana. Y como toda ventana, funciona en las dos direcciones.
También en Bastión
Bastión se sostiene con trabajo, no con publicidad. Si esto te aportó algo, invitame un café.
☕ Invitame un café