Un experto revela cómo el malvado software espía usado en el hackeo de WhatsApp permite a los gobiernos acceder en secreto a todo lo que hay en tu móvil

• Esta semana se ha encontrado un gran agujero de seguridad en WhatsApp, aplicación que pertenece a Facebook y que ya usan más de 1.500 millones de personas en todo el mundo, según el Financial Times.

• El software malicioso se instala en los teléfonos al recibir una llamada de WhatsApp, incluso si no se contesta a la misma. Y el registro de la llamada puede incluso borrarse de forma remota, según el mismo periódico.

• El método permite la instalación de un software del Grupo NSO, una misteriosa empresa israelí que se presenta a sí misma como líder en el mundo de la ciberguerra que está detrás de una herramienta de software muy invasiva llamada Pegasus.

• Pegasus permite a sus usuarios acceder de forma remota a todo lo que hay en los smartphone infectados, desde mensajes de texto hasta datos de localización, y es casi imposible saber si tu teléfono lo tiene o no.

• Visita la página principal de Business Insider para leer más historias.

Si no te dedicas a la ciberseguridad, es muy, muy difícil saber si tu teléfono ha sido infectado con spyware o software espía.

"Lo realmente sofisticado es que está diseñado para ser discreto y que no lo pueda apreciar el usuario", cuenta a Business Insider John Scott-Railton, investigador del Citizen Lab de la Munk School, adscrita a la Universidad de Toronto, Canadá.

El Citizen Lab es un grupo de investigación académica que ha sido reconocido como el primero en identificar una aplicación de espionaje especialmente maliciosa llamada Pegasus.

Pegasus ha sido creado por el Grupo NSO, una misteriosa empresa de software con sede en Israel que vende ese spyware a gobiernos de todo el mundo.

Si tu teléfono está infectado con Pegasus, es casi imposible saberlo, y por eso es tan peligroso que un fallo de seguridad generalizado en WhatsApp, propiedad de un Facebook, y que ha revelado esta semana el Financial Times, permitiera a los hackers instalar Pegasus en móviles solo llamándolos.

¿Qué ha pasado con WhatsApp?

El lunes, Whatsapp hizo pública una actualización de su software para sus más de 1.500 millones de usuarios.

La razón era muy sencilla: el objetivo de la actualización era reparar un fallo de seguridad generalizado por el que los hackers podían infectar los móviles que desearan solo realizando una llamada a esos números vía WhatsApp.

No hacía falta aceptar la llamada, y los registros de la llamada podrían incluso borrarse de forma remota tras hacerlo, como si un ladrón hubiera accedido de forma virtual a tu móvil, hubiera cogido lo que quisiera y luego no hubiera dejado rastro.

Leer más: Así debes proteger WhatsApp para evitar ciberataques en tu móvil Android o iPhone

"La forma de pensar en esto es como usar WhatsApp como un vector", apunta Scott-Railton a Business Insider. "Si en realidad se trata de la NSO, su trabajo consiste en encontrar nuevos vectores para poder ofrecer a sus clientes acceso a los móviles. Y WhatsApp es sólo otra de la lista".

En pocas palabras: el fallo de seguridad de WhatsApp es el nuevo método de los hackers para infectar móviles con software malicioso.

WhatsApp asegura que ha arreglado su agujero de seguridad, pero no antes de que al menos un objetivo se viera afectado: un abogado de derechos humanos que no ha sido identificado pero que se encuentra en Reino Unido.

¿Qué es Pegasus?

Lo que Pegasus hace en realidad es relativamente simple: una vez que un smartphone se infecta, la aplicación da acceso directo, de forma remota y discreta, a todo el móvil.

Sí, todo: desde mensajes de texto hasta la cámara y el micrófono. El spyware ha sido creado por una empresa israelí, Grupo NSO, y no es nada nuevo.

Pegasus fue descubierto por primera vez en 2016 cuando un hombre en Emiratos Árabes Unidos, Ahmed Mansoor, fue atacado con "mensajes de texto sospechosos", apunta Scott-Railton.

"Esos mensajes en realidad venían con algunos enlaces sospechosos", aporta. "Pensamos que parecían bastante peligrosos, así que mi compañero Bill [Marczak] cogió prestado el iPhone de un amigo, pinchó en los enlaces, y fue capaz de infectarlo con lo que entonces era una pieza misteriosa de spyware".

Ese spyware "misterioso" era en realidad Pegasus, y Mansoor estaba siendo atacado probablemente por su trabajo como defensor de los derechos humanos. Mansoor cumple actualmente una condena de 10 años de prisión en Emiratos Árabes Unidos por criticar públicamente al Gobierno.

¿Cómo sabes si tu teléfono está infectado con un programa espía como Pegasus? Si los hackers lo han hecho bien, es muy difícil averiguarlo

Si tu móvil está infectado con spyware como Pegasus, probablemente no se sobrecalentará de repente ni se quedará sin batería especialmente rápido. 

Si fuese así, "entonces la gente que lo hizo no ha hecho bien su trabajo", indica Scott-Railton.

De hecho, si no te dedicas a la ciberseguridad, es casi imposible saberlo.

"Es bastante complicado porque el software está diseñado para que sea difícil de encontrar", reflexiona Scott-Railton. 

A menos que estés monitorizando el tráfico de red que llega a tu smartphone, y que a la vez sepas qué tipo de tráfico de red podría indicar que estás ante un ataque informático, es muy improbable que sepas que un spyware como Pegasus está en tu dispositivo.

¿Quién crea Pegasus? ¿Y cómo lo utilizan?

Pegasus ha sido creado como un arma cibernética para que lo utilicen gobiernos de todo el mundo.

Una misteriosa compañía israelí, Grupo NSO, es responsable de este software, y se dice que el Ministerio de Defensa israelí regula las ventas fuera de Israel.

"Estamos vendiendo Pegasus para prevenir el crimen y el terror", aseguró Shalev Hulio, CEO del Grupo NSO, en una entrevista a principios de este año.

"Las agencias de inteligencia se han acertado a nosotros y nos han dicho: 'Tenemos un problema. Con los nuevos móviles no podemos conseguir información valiosa'".

Un funcionario de seguridad europeo ha confirmado a 60 Minutes que el software del Grupo NSO ha sido utilizado para frustrar ataques terroristas en Europa.

"No me sorprendería saber que algunas de las afirmaciones que se han lanzado sobre que NSO se ha utilizado contra criminales son ciertas", remarca Scott-Railton a Business Insider. "La cuestión es que el hecho de que se utilice legalmente no invalida todos estos casos de abuso".

¿Cómo han sido los casos en que Pegasus ha infectado móviles?

Pegasus se ha relacionado con la muerte del reportero del Washington Post Jamal Khashoggi, y fue utilizado para rastrear a un estudiante en Canadá que era crítico con el Gobierno de Arabia Saudí.

"Su nombre es Omar Abdulaziz", señala Scott-Railton. "Es un crítico saudí que va a la universidad en Montreal. Encontramos que su teléfono estuvo infectado".

Una historia similar tuvo lugar en México en 2017: "Tuvimos este caso loco que encontré en México en 2017, donde tres personas -un activista y nutricionista, un investigador de salud pública y un defensor del consumidor- fueron el objetivo de Pegasus en México".

"Lo único que tenían en común es que todos ellos abogaban por aumentar ligeramente el impuesto sobre las bebidas gaseosas. Así que la explicación más razonable es que alguien con intereses privados dirigió a alguien del Gobierno para atacar a estas personas porque estaban presionando contra el lobby de los refrescos con gas en México. Malware de nivel estatal", cuenta.

¿Qué puedes hacer tú?

Lo primero que debes hacer es actualizar WhatsApp para cerrar ese agujero de seguridad.

"Estamos razonablemente satisfechos de haber visto cómo WhatsApp ha bloqueado un intento de ataque", manifiesta Scott-Railton.

También anima a la gente a no perder la fe en aplicaciones de mensajería cifrada como WhatsApp solo por este fallo de seguridad.

"Los usuarios no deben perder la confianza en la mensajería cifrada en absoluto", aconseja. "La mensajería encriptada es importante".

Aparte de eso, no hay mucho más que puedas hacer aparte de dejar del todo de lado los smartphones.

Scott-Railton ofrece una última advertencia: "Los lectores deberían preocuparse de que haya compañías que encuentren, almacenen y vendan estas vulnerabilidades realmente poderosas que nos hacen a todos menos seguros".