Estados Unidos, Israel, Reino Unido, Alemania e Italia son los países con más compañías en este controvertido sector, de acuerdo a los datos que maneja Privacy International, que apenas han tenido acceso a material de Rusia o China (se da por hecho que también serán importantes en este negocio). “No hay una regulación internacional que afecte a este tipo de artilugios. Se usan de forma totalmente opaca. NSO, por ejemplo, dice que solo vende a gobiernos, pero no lo podemos confirmar”, explica Siatitsa. La organización en la que trabaja lleva tiempo haciendo campaña para que se prohíban estos artilugios. Ya en 2013 reveló que un software de la firma británica Gamma Group, capaz de infiltrarse en un ordenador y monitorizar sus comunicaciones, había sido usado por los Gobiernos de Etiopía o Baréin para localizar y atacar a opositores políticos.

La falta de escrúpulos de los productores de estos sistemas está contrastada. Se sabe que Azerbaiyán, Emiratos Árabes o Arabia Saudí son consumidores habituales. Y que usan estas herramientas para perseguir y asesinar a disidentes, como demuestra el caso del periodista saudí Jamal Khashoggi.

No toda la tecnología capaz de acceder a un móvil funciona de la misma forma. “Por un lado está el software de forénsica de móviles, el que usa la policía cuando tiene que entrar en un dispositivo y no le hace falta hacerlo de forma remota, y por otro están las empresas que producen tecnología de vigilancia”, subraya Javier Ruiz, investigador de Ada Lovelace Institute de Londres. En la segunda categoría entrarían, por ejemplo, los motores de búsqueda que se dedican a hacer saltar una alarma cada vez que un internauta teclea palabras sospechosas (pornografía infantil, terrorismo, etcétera). En un tercer peldaño se sitúan programas como Pegasus, que directamente se dedican a hackear móviles.

Para lograrlo, estos sistemas aprovechan vulnerabilidades detectadas por hackers en sistemas operativos. Son los llamados exploits. Se sabe, por ejemplo, que la francesa Vupen vende exploits a agencias de inteligencia como la NSA. Los hackers más talentosos son capaces de descubrir vulnerabilidades desconocidas hasta por el propio desarrollador (zero day exploits). Su valor en el mercado negro puede alcanzar centenares de miles de dólares. Stuxnet, el ataque informático organizado por EE UU e Israel contra las centrales nucleares iraníes, usó cuatro zero day exploits.

El tsunami Snowden

Que los Estados usan la tecnología más avanzada del momento para espiar no es una novedad. Durante la Guerra Fría, los pinchazos telefónicos formaban parte de la rutina de las fuerzas de seguridad en buena parte de Europa. La sofisticación de los métodos y sobre todo la digitalización de nuestras vidas hicieron cada vez más sencillo ese trabajo. Las filtraciones de Edward Snowden de 2013 supusieron una llamada de atención mundial acerca de la magnitud y sistematización de las escuchas. “No solo evidenciaron que la NSA tenía un amplio programa de espionaje con tecnología propia, sino que lo empleaba contra sus propios aliados, como Angela Merkel”, recuerda Andrés Ortega, investigador del Real Instituto Elcano.

Los sistemas usados entonces eran más sencillos y solo permitían escuchar las conversaciones, pero su utilidad era enorme para los servicios secretos. Tanto es así que, según este analista, a los servicios de inteligencia no les interesa demasiado que se hable de lo fácil que es entrar en móviles ajenos precisamente para poder seguir haciendo su trabajo. En este juego participan también las grandes empresas, principalmente para obtener información sobre negociaciones de contratos o para espionaje industrial. “Por unos 500 dólares puedes comprar sistemas para pinchar móviles con relativa facilidad”, asegura Ortega.

Las recientes filtraciones del uso de Pegasus revelan que ni siquiera el tsunami provocado por Snowden frenó las escuchas sistemáticas. “En algunos casos, las fuerzas del orden e inteligencia deben poder recurrir a estas herramientas para entrar en los móviles de los criminales. Pero deberíamos asegurarnos de que no se usen a la ligera”, opina Diego Naranjo, asesor político de EDRI, una ONG paneuropea que trabaja por la defensa de los derechos humanos en la era digital. “Hay que desarrollar normativas internacionales potentes, como por ejemplo prohibir que las compañías puedan guardarse y vender zero day exploits”.

En España, para pinchar un móvil hace falta un permiso judicial. En otros países, como EE UU o Reino Unido, también se exige eso, aunque solo si la escucha se realiza dentro de las propias fronteras. Fuera del propio país, los controles son más laxos.

¿Quién está a salvo?

¿Hace falta recurrir a programas tan sofisticados como Pegasus para entrar en un móvil ajeno? La respuesta es no. “A un usuario medio se le puede hacer muchas cosas cuando lleva un Android, ya sea explotando alguna vulnerabilidad o mediante ingeniería social”, explica Deepak Daswani, hacker y experto en ciberseguridad. El sistema operativo de Apple, iOS, ofrece más garantías porque tiene más medidas de control sobre las aplicaciones que uno descarga.

Hay teléfonos codificados, preparados por el CNI, que son más difíciles de hackear: están cifrados de punta a punta. En España los tienen los altos cargos del Gobierno. Pero muchos ministros los dejan de usar porque se oyen mal y son más lentos, según apunta una fuente familiarizada con estos procesos. Esa búsqueda de comodidad pudo haber sido la puerta de entrada de Pegasus en uno de los teléfonos del presidente Macron.

Deshacerse del smartphone no elimina el problema: entrar en un ordenador es igual de sencillo que acceder a un móvil. Solo nos queda confiar en que se haga un correcto uso de las herramientas de vigilancia. “Igual que hay tratados para prohibir el uso de armas nucleares o bombas de racimo, creo que debería haberlos para las ciberarmas: son demasiado peligrosas para la democracia. Una empresa como NSO no debería poder existir”, reflexiona Carissa Véliz, profesora de Filosofía en la Universidad de Oxford y experta en privacidad. Hasta entonces, Stalin podrá seguir soñando con una sonrisa de oreja a oreja.

Puedes seguir a EL PAÍS TECNOLOGÍA en Facebook y Twitter o apuntarte aquí para recibir nuestra newsletter semanal.