El Gobierno rechaza ser usuario de un programa de espionaje informático que Microsoft detectó operando en Cataluña

El Gobierno asegura que las Fuerzas y Cuerpos de Seguridad del Estado "observan estrictamente la legalidad" y "no realizan intervenciones de comunicaciones no autorizadas". "Por lo tanto", continúa, "no espían a personas ni entidades".

Esta es la respuesta que el Ejecutivo ha dado a un diputado del PDeCAT, Ferran Bel Accensi, que en julio presentó hasta tres preguntas escritas después de que Microsoft anunciase este mismo verano el hallazgo de un programa espía que se aprovechaba de varias vulnerabilidades no conocidas (de día cero) en el sistema operativo Windows.

Dicho programa espía fue bautizado entonces como SOURGUM y la multinacional de Seattle atribuyó su autoría y distribución a una firma israelí llamada Candiru. Microsoft colaboró con el Citizen Lab, un equipo de investigación de la Munk School de la Universidad de Toronto, para corroborar estos hallazgos, y pudieron concluir que esta herramienta se había empleado en España.

Más en concreto, SOURGUM se había utilizado en Cataluña. Los principales objetivos contra los que habría actuado esta herramienta de ciberespionaje estaban localizadas fundamentalmente en Israel, Irán, Líbano, Yemen, Cataluña, Reino Unido, Turquía, Armenia y Singapur.

Sin embargo, el gigante tecnológico se apresuró entonces a recordar que "la identificación de víctimas de estas herramientas en un país no quiere decir que las agencias gubernamentales del mismo sean usuarias de SOURGUM". "Los objetivos internacionales son habituales".

La UE es "especialmente vulnerable" al ciberespionaje y debe articular ya una política común contra las injerencias externas, según esta experta

A pesar de ello, el diputado catalán registró ante el Congreso de los Diputados varias preguntas: "¿Le consta al Gobierno que las Fuerzas y Cuerpos de Seguridad del Estado hayan utilizado el programa de la empresa israelí Candiru para realizar espionaje a ciudadanos?". "En caso afirmativo, ¿puede confirmar que el uso de este programa se haya realizado con la oportuna autorización judicial?".

En preguntas posteriormente presentadas, Bel también inquirió al Ejecutivo por si este espionaje se habría realizado sobre "ciudadanos catalanes", y también preguntó en concretamente "a qué ciudadanos catalanes se ha espiado mediante este programa y con qué finalidad". "¿Confirma el Gobierno que compró un programa de espionaje a la empresa israelí Candiru?".

Negativa del Gobierno, que no lo aclara todo

La respuesta del Gobierno zanja las cuestiones. "Se señala que cualquier tipo de intervención de comunicaciones requiere que sean aprobadas por la Autoridad Judicial competente, que emite el correspondiente mandamiento habilitante". Las Fuerzas y Cuerpos de Seguridad del Estado "no realizan intervenciones de comunicaciones no autorizadas" ni "espían a personas o entidades".

Sin embargo, y "en relación" con los medios técnicos empleados "para la intervención de comunicaciones", esa información se clasifica como "secreto" por ser una técnica operativa utilizada "en la lucha antiterrorista", en virtud de un acuerdo del Consejo de Ministros de 1996 que fue amplaido en 2014 para incluir la lucha "contra la delincuencia organizada".

En su respuesta, el Gobierno también reivindica que todas las contrataciones se pueden consultar en la Plataforma de Contratación del Sector Público y recuerda que la propia Microsoft reconoció que la identificación del programa espía en un país "no significa necesariamente que sea cliente de SOURGUM".

Microsoft, Cisco y Google apoyan a Facebook en su pleito contra la firma que hackeó WhatsApp para instalar programas espías de gobiernos en cientos de móviles

La existencia de este paquete de herramientas dedicadas al espionaje informático trascendió a mediados del pasado mes de julio. Candiru es una compañía conocida, aunque muy hermética, que estaba aprovechando vulnerabilidades de día cero (ni conocidas ni por lo tanto reparadas) en Windows para espiar a sus víctimas.

No es la primera herramienta de esta índole que se utiliza en suelo español. Ya en verano del año pasado una exclusiva de The Guardian y El País revelaba que Pegasus, otro paquete de herramientas de ciberespionaje, este suministrado por otra firma israelí llamada NSO Group, había tenido por objetivos a políticos independentistas catalanes.

Un extrabajador de NSO Group denunció entonces de forma anónima que España había sido cliente de los servicios de esta compañía, según publicó Motherboard. NSO Group se las ve con Facebook en los juzgados después de aprovechar un hackeo masivo a WhatsApp para inocular su malware en miles de dispositivos.

La pesadilla para los desarrolladores de este tipo de programas espías se llama Citizen Lab, un laboratorio de investigación de la Munk School de la Universidad de Toronto. Su fundador, el experto Ronald Deibert, se explayaba a finales de la semana pasada en El Confidencialen los mismos términos: acusando al Estado español de ser cliente de NSO Group.

Este verano Citizen Lab, de la mano de varios colectivos de activistas y organizaciones como Amnistía Internacional, liberó una lista con la relación de más de 50.000 números de teléfonos de posibles objetivos de Pegasus. Entre ellos figuraban mandatarios como el presidente francés Emmanuel Macron, así como periodistas de países europeos y latinoamericanos.