El Estado mexicano se atraganta con el caso Pegasus

Herencia de los años de Enrique Peña Nieto en el poder en México, el caso Pegasus sigue en el limbo de asuntos pendientes de la actual Administración. En más de año y medio, los avances de la fiscalía son escasos. El presidente, Andrés Manuel López Obrador, ha insistido varias veces en que su Gobierno no ha usado el Pegasus ni ningún otro software espía. “No estamos metidos en eso, aquí se decidió que no se iba a perseguir a nadie”, dijo el mandatario en noviembre. El Ejecutivo busca así distanciarse de uno de los mayores escándalos del sexenio pasado, pero no existe ningún documento oficial emitido por Presidencia que ordene el cese del uso del software adquirido durante el sexenio anterior. La lentitud de los investigadores que llevan el caso inquieta a activistas y afectados.

La lejanía con el malware que dibuja el Gobierno de López Obrador es ficticia. Bien entrada su Administración, a mediados del año pasado, ciudadanos mexicanos fueron infectados con el Pegasus, un programa de espionaje propiedad de la compañía israelí NSO Group. No fueron solo mexicanos, fueron cientos en todo el mundo, que sufrieron una brecha de seguridad en WhatsApp, aprovechada por el programa espía. La empresa siempre ha defendido que solo vende Pegasus a Gobiernos. El ataque del año pasado añade preguntas a cómo se ha usado el malware en México.

Varias dependencias adquirieron el programa durante los años de Peña Nieto, entre ellas la fiscalía y los servicios de inteligencia. A la vez, activistas, periodistas y abogados, apoyados por peritos tecnológicos del prestigioso Citizen Lab de la Universidad de Toronto, denunciaron intentos de pirateo en sus celulares. Eran mensajes de texto, de contenido personal, siempre acompañados de un enlace web. Los peritos certificaron que los enlaces eran en realidad la llave que usaría Pegasus para apoderarse del teléfono. Con el programa en el celular de la víctima, los clientes de NSO Group tenían acceso a todo su contenido.

“No ha habido noticia alguna y esto es muy grave. Debería ser del interés, como algunos otros casos”, critica Alejandro Calvillo, de la organización El Poder del Consumidor, que durante años ha cabildeado a favor de imponer un impuesto a los refrescos. En 2016, en plena discusión sobre este impuesto en México, Calvillo recibió dos mensajes extraños de números desconocidos. Un texto sugerente y un enlace. El primero no lo abrió. El segundo mencionaba una nota en una revista que tenía que ver con él y lo abrió. Su teléfono se infectó. Su caso fue uno de los primeros que salieron a la luz pública en el país. En pocos meses salieron más, entre ellos el de periodistas críticos con el Gobierno como Carmen Aristegui o abogados del equipo legal de las familias de los 43 estudiantes desaparecidos de Ayotzinapa. Con el escándalo, la fiscalía abrió una investigación. Tres años y un Gobierno después aún no hay resultados.

Las sospechas siempre apuntaron a la propia fiscalía, agencia investigadora del Estado, entonces dependiente del Gobierno. El motivo es que investigaciones periodísticas airearon los contratos de la dependencia con los intermediarios de NSO Group en México. Además, la prensa divulgó algunos detalles sobre la indagatoria cuando recién empezaron las pesquisas, en 2017.

A principios del año pasado, el Instituto Nacional de Acceso a la Información concluyó su investigación sobre la relación entre la fiscalía y el software. El instituto detectó diferentes irregularidades. Quizá la más llamativa fue que la agencia investigadora, que había gastado al menos 32 millones de dólares en el programa, aseguraba que no lo había usado. Cuestionada por el instituto, la fiscalía informó además de que había desinstalado el programa. Para Luis Fernando García, director de la Red de Defensa de los Derechos Digitales, estos dos aspectos resultan claves en la investigación. “Hubo varias declaraciones escandalosas. Una fue que no lo habían usado, lo cual no tiene sentido, pues se gastaron millones de dólares. Y la desinstalación es problemática, porque no está claro qué información se pudo haber perdido, sobre todo cuando hay una investigación en curso”.

De los servicios de inteligencia no se ha sabido demasiado. De hecho, siempre negaron haber adquirido el sistema de espionaje, hasta que en mayo de este año, la Secretaría de Seguridad Pública lo reconoció, de pasada, en un comunicado. “El programa Pegasus es una plataforma de origen israelí adquirida en la administración del expresidente Enrique Peña Nieto en 2014 por el CISEN, hoy CNI, -nombre pasado y presente de los servicios de inteligencia. Su licencia venció en 2017, sin que se renovara posteriormente”, leía el texto del comunicado.

El ataque del año pasado, con afectación a ciudadanos mexicanos, actualiza las sospechas sobre el uso que las dependencias han hecho del malware. Si los servicios de inteligencia no renovaron la licencia y la fiscalía lo desinstaló, ¿quién estuvo detrás de los ataques de abril y mayo de 2019 en México?

López Obrador ha asegurado que su Gobierno no usa el Pegasus o cualquier otro programa espía. No existe, sin embargo, un rastro burocrático de que la administración pública haya dejado de usar el software. EL PAÍS realizó una serie de solicitudes de información para saber si Presidencia emitió en algún momento un memorándum que obligase a las dependencias públicas a desinstalar el programa de vigilancia de sus equipos. Excepto la Fiscalía General de la República -que evadió la pregunta-, el resto de las dependencias dicen que nunca recibieron una orden oficial para borrarlo de sus computadoras.

El CNI, por ejemplo, dice que “no cuenta con registros” de haber recibido esa disposición. Sedena admite no tener “evidencia documental” de tal solicitud. “No existe ninguna orden”, responde Secretaría de Gobernación. La Secretaría de Seguridad, pese al comunicado emitido en mayo, reconoce no haber encontrado registro tras “una búsqueda exhaustiva”. Señala, además, que es la Consultoría Jurídica del Ejecutivo quien emite este tipo de disposiciones. Consultada por este periódico, la Consejería Jurídica confirmó el pasado 29 de julio lo mismo: el Gobierno no envió ninguna orden oficial a sus dependencias para cancelar o suspender el uso de Pegasus desde su llegada al poder en 2018.