La evidencia sobre la vigilancia de la que habrían sido objeto activistas, defensores de derechos humanos, investigadores y periodistas mexicanos apunta a un malware, cuyo servicio se presume fue adquirido por al menos tres dependencias del gobierno mexicano.

La Procuraduría General de la República (PGR), el Centro de Investigación y Seguridad Nacional (Cisen) y la Secretaría de la Defensa Nacional (Sedena), son las dependencias señaladas como usuarias del malware en el marco de la lucha contra el crimen organizado.

El gobierno mexicano no ha presumido los alcances de este tipo de softwares en su lucha contra los “cárteles” de la droga y por el contrario ha mantenido ocultos los contratos que ha firmado con los proveedores de estos programas, como es el caso del suscrito por la PGR con la empresa israelí NSO Group, un contrato clasificado como secreto hasta el año 2021.

A inicios de semana se dio a conocer el presunto mal uso que se habría dado a uno de estos spywares, el conocido como Pegasus que fabrica la empresa NSO Group, fundada hace apenas 7 años por veteranos de los cuerpos de inteligencia de las fuerzas armadas de Israel. No obstante, han sido diversos los indicios sobre la adquisición de servicios a esta firma de tecnología de inteligencia y espionaje.

Las primeras evidencias de la presencia de Pegasus en territorio mexicano provinieron de los correos filtrados por Wikileaks en 2015 de la empresa italiana Hacking Team, competidora de NSO Group. Con esa filtración también se dio a conocer que la actual administración había comprado a la firma italiana otro programa espía llamado Galileo. La información reveló que las dependencias que lo adquirieron eran la Sedena y la Secretaría de Gobernación. La liberación de los documentos también permitió conocer que al menos 16 estados hicieron compras ilegales del software.

Una primer filtración de Wikileaks daba cuenta de un mensaje enviado por Sergio Rodríguez-Solís, ingeniero de la firma italiana, quien reportó que en una visita hecha al CISEN el 15 de enero de 2014, “ellos explicaron que habían probado por sí mismos un sistema de infección ‘manos libres’ para teléfonos móviles que funcionaba en hasta 80% de los dispositivos que probaron, incluyendo Android, BB [BlackBerry], iOS y Symbian. Se quejaron de por qué nosotros no tenemos vectores de infección que no requieren de la interacción del usuario como NSO tiene.”

En otro correo filtrado por Wikileaks se menciona la supuesta adquisición de la Sedena del malware Pegasus. La conversación data del 29 de enero de 2014, cuando Alex Velasco, vendedor de Hacking Team, menciona en un correo a su equipo que el Ejército mexicano buscaba un contrato con 600 agentes. “Ellos también compraron NSO hace dos años [2012] y actualmente no está funcionando. Fueron engañados por el revendedor de NSO y quieren estar seguros que nosotros no somos solo otra mentira”.

Con respecto a la adquisición que hizo la PGR de este programa otro cable de Wikileaks -el cual es retomado por la organización canadiense Citizen Lab en un informe presentado esta semana junto a organizaciones mexicanas- da cuenta de un mensaje enviado el 28 de noviembre de 2014, por Armando Pérez, integrante de la firma Grupo Tech Bull S.A. de C.V., a la dirección [email protected].

En el correo, Pérez explica que Grupo Tech Bull es “una compañía que vende inteligencia y seguridad al gobierno mexicano” y enlista a la Marina, la PGR, el CISEN, la Policía Federal y “un montón” de procuradurías, incluyendo la del Estado de México entre sus clientes.

“Nosotros [Grupo Tech Bull] apenas vendimos a la PGR (con contrato ya firmado y ellos ya enviaron el dinero) el sistema NSO Pegasus. Teníamos un acuerdo con ellos con respecto al precio por 500 infecciones. Cuando ellos [NSO Group] se percataron que habíamos firmado el contrato, se volvieron locos e incrementaron el precio en 50%, por lo que decidimos cancelar el trato con ellos… El problema aquí es que Tomás Zerón, quien está a cargo de esta nueva área en la PGR [Agencia de Investigación Criminal], solía trabajar en la PGJ del Estado de México (él les compró el sistema a ustedes) y sigue diciéndole a todos que el sistema que instalaron en Toluca no funciona y que él no lo quiere en la PGR. Nuestro trabajo es convencerlo de que su sistema trabaja de forma similar. Sabemos en definitiva que NSO es mejor porque algunas de sus infecciones son invisibles, tiene mejores capacidades y ha trabajado realmente bien y con resultados probados en México (SEDENA y CISEN)”, se lee en el correo filtrado de 2014.

En septiembre del 2016, The New York Times encontró en correos internos de NSO Group que el gobierno mexicano pagó más de 15 millones de dólares por el programa Pegasus, en tres proyectos durante tres años. Sin embargo, el medio no dio detalles de a qué dependencias pertenecieron los contratos.

Una semana más tarde, el diario Reforma informó que autoridades de la administración federal señalaron que la Procuraduría General de la República, mientras Jesús Murillo Karam estaba al frente, hizo dos compras del software: una en 2014 y otra en 2015. Murillo Karam fue quien dirigió la investigación de los 43 estudiantes de Ayotzinapa desaparecidos en Iguala, Guerrero.

Pegasus no llegó a la PGR por medio de los israelíes, sino por Balam Soluciones de Seguridad, una empresa intermediaria mexicana de la cual son socios Asaf Israel Zanzuri y Rodrigo Ruiz Treviño de Teresa.

También en agosto de 2016, el Citizen Lab de la Universidad de Toronto publicó un reporte en el que se documentó el uso del malware Pegasus en contra del activista Ahmed Mansoor en los Emiratos Árabes Unidos y contra el periodista mexicano Rafael Cabrera, uno de los periodistas autores de la investigación sobre la “casa blanca” del presidente Enrique Peña Nieto.

Pegasus es un spyware de “intercepción legal” para gobiernos y se infiltra en teléfonos inteligentes y otros aparatos para monitorear cualquier detalle de la vida de una persona. Tiene acceso a llamadas, mensajes de texto, correos electrónicos, contraseñas, contactos y calendarios.

Puede incluso utilizar el micrófono y la cámara de los teléfonos para realizar vigilancia; convirtiendo el teléfono de la persona vigilada en un micrófono oculto. La compañía lo vende exclusivamente a los gobiernos con la condición de que solo sea utilizado para combatir a terroristas o grupos criminales y cárteles de drogas. Sin embargo, no guarda registros del uso.