Un espionaje obsesivo : cómo se utilizó Pegasus contra periodistas críticos en El Salvador

Un nuevo informe de Citizen Lab y Access Now, al que Forbidden Stories tuvo acceso, muestra cómo los periodistas de investigación de El Faro y GatoEncerrado, dos medios de comunicación independientes de El Salvador, atacados repetida y agresivamente con el programa espía Pegasus.

El Presidente Nayib Bukele en el bicentenario de la independencia de El Salvador. Foto: AFP PHOTO / EL SALVADOR'S PRESIDENCY PRESS OFFICE

Por Phineas Rueckert
Traducido por Paloma de Dinechin
Tiempo de lectura: 7 minutos

13 de enero de 2022

Carlos Martínez nunca pensó que una simple llamada telefónica con su hermano Óscar pudiera conllevar riesgos. A fin de cuentas, estaba usando Signal, una mensajería cifrada. Ese día de julio de 2020, el periodista de investigación, estaba trabajando en una exclusiva y llamó a su hermano, director del medio de comunicación independiente El Faro, para hablarle del nuevo material que había recibido.

Durante los últimos diez años, Carlos informó sobre las pandillas que operan en El Salvador y sus conexiones con los políticos corruptos. Investigando había descubierto recientemente pruebas de que la administración del recién electo presidente de El Salvador, Nayib Bukele, había negociada una tregua con la pandilla MS-13, una de las más violentas de la región, a cambio de favores políticos.

Pero un hecho casi detiene a Carlos en su camino: tres días antes de la publicación, uno de sus colegas recibió de una fuente gubernamental : una grabación de audio de la conversación privada entre Carlos y Óscar. Por primera vez, Carlos sospechó que su teléfono estaba intervenido.

«Era una conversación de la que solamente mi hermano y yo teníamos conocimiento», afirmó.

El Faro siguió adelante y publicó el artículo. Pero un año y medio después, las sospechas de Carlos se confirmaron: desde finales de junio de 2020, el teléfono del periodista había estado pinchado sin descanso.

Carlos Martínez, periodista de El Faro. Foto : El Faro / Víctor Peña

«Todos los elementos apuntan a que el gobierno de El Salvador es el responsable del hackeo agresivo hacia los principales periodistas de investigación del país”, según un nuevo informe publicado el miércoles por los grupos de defensa de los derechos digitales Citizen Lab y Access Now y compartido con Forbidden Stories. El informe se basa en análisis forenses de los teléfonos de periodistas que trabajan principalmente en El Faro y GatoEncerrado, medios de comunicación independientes que han sido objeto de una presión exponencial por parte del gobierno del presidente Nayib Bukele.

Citizen Lab y Access Now descubrieron que Pegasus fue instalado con éxito en 35 teléfonos entre julio de 2020 y noviembre de 2021. En un informe, El Laboratorio de Seguridad de Amnistía Internacional confirmó los resultados.

«Lo que hemos encontrado es una cantidad asombrosa de ataques a los medios de comunicación y a la sociedad civil en El Salvador», dijo John Scott-Railton, investigador en el Citizen Lab de Toronto y coautor del informe.

“El uso extensivo de Pegasus para espiar a periodistas y la sociedad civil en general es desproporcionado y casi se puede decir que no tiene precedentes», dijo Paolo Nigro, responsable de la Seguridad Digital de Access Now.

Según el informe, más de la mitad de la plantilla del periódico digital El Faro fueron infectados con Pegasus, algunos teléfonos de los periodistas han sido intervenidos durante largas extensiones de tiempo y otros en numerosas ocasiones. Los intentos de hackeo coincidieron a menudo con las investigaciones del medio sobre la corrupción del gobierno, las negociaciones con bandas criminales y la mala gestión de los fondos de ayuda del Covid-19, según el jefe de la redacción, Oscar Martínez, quien fue hackeado 42 veces, la mayor cantidad de ataques que se han contabilizado, a un solo periodista de la plantilla.

«Ha sido más de un año de un espionaje constante, obsesivo con la herramienta Pegasus», compartió Carlos con Forbidden Stories. «Todas las áreas del periódico han sido intervenidas, es decir, el área administrativa, los jefes editoriales, la dirección, el consejo de administración del periódico, su área comercial».

En total, 22 miembros de la plantilla de El Faro fueron infectados con Pegasus.

Aunque el informe no nombra explícitamente al gobierno salvadoreño como autor de los ataques, «todos los indicios apuntan a una de las conclusiones más obvias, lo más factible, es que el gobierno esté involucrado», añadió Carlos.

Contactados por Forbidden Stories, la oficina del presidente salvadoreño y la embajada salvadoreña en París no respondieron a las múltiples solicitudes de comentarios al momento de la publicación.

 

Tras la investigación del Proyecto Pegasus, Apple hace un contraataque al Grupo NSO

​​Los periodistas de El Faro se enteraron de que sus teléfonos podrían haber sido comprometidos a finales de noviembre de 2021.

Gabriela Cáceres estaba trabajando desde su casa cuando recibió un mensaje del equipo de notificación de amenazas de Apple alrededor de las 3 de la tarde del 23 de noviembre.

La alerta le advierte del riesgo de estar siendo espiada por «atacantes patrocinados por El Estado que están tratando de comprometer de forma remota el iPhone asociado a su ID de Apple», añadiendo: «Es probable que seas blanco de los atacantes por ser quien eres o por lo que haces».

Después de Gabriela, quien fue la primera en recibir el mensaje, otros miembros del personal comenzaron a ver la notificación en sus dispositivos: Oscar Martínez, Nelson Rauda Zablah, Valeria Guzmán, etc. En total, 12 periodistas de El Faro recibieron la notificación, según un informe publicado ese mismo día por la redacción del periódico.

«Fue como darse cuenta que lo que sospechábamos era cierto, es cierto», dijo Gabriela.

Los periodistas de El Faro Gabriela Cáceres, María Luz Nochez y Jimmy Alvarado en la redacción de El Faro. Foto: El Diario de Hoy / Jéssica Orellana

Al menos 28 periodistas de todo el mundo -incluyendo Bahréin, Ghana, Líbano, Sudáfrica y Uganda- recibieron un mensaje del equipo de notificación de amenazas de Apple a finales de noviembre, según las publicaciones en las redes sociales y los testimonios compartidos con Forbidden Stories.

Los mensajes se enviaron apenas unas horas después de que Apple anunciara que había demandado a la empresa del software espía con sede en Israel NSO Group -que vende su herramienta de hackeo telefónico remoto Pegasus a más de 40 gobiernos de todo el mundo- ante un tribunal de California.

«Aunque estas amenazas a la ciberseguridad sólo afectan a un número muy reducido de nuestros clientes, nos tomamos muy en serio cualquier ataque a nuestros usuarios», dijo el vicepresidente de Ingeniería del Software de Apple, Craig Federighi, en un comunicado.

La demanda y las notificaciones de Apple tuvieron lugar meses después de que Forbidden Stories y 16 medios de comunicación publicaran el Proyecto Pegasus, en el que se detalla el abuso generalizado de Pegasus por parte de más de 10 clientes gubernamentales, entre ellos en India, Hungría, México y Arabia Saudí. En su comunicado, Apple citó el descubrimiento por parte de Citizen Lab de un nuevo exploit, denominado FORCEDENTRY, que fue utilizado por clientes de Pegasus para infectar de forma remota dispositivos móviles.

 

Sobre el Proyecto Pegasus


 

«Estas notificaciones de Apple a los periodistas de El Salvador demuestran una vez más que las revelaciones del Proyecto Pegasus eran la punta del iceberg», afirmó Danna Ingleton, directora adjunta de Amnistía Tech. «Con la aparición de más objetivos y países clientes necesitamos, más que nunca, que se rindan cuentas por estas violaciones de derechos humanos y que se establezca una moratoria sobre el software espía hasta que se creen normas que protejan los derechos humanos.»

Contactado por Forbidden Stories, un portavoz de NSO Group escribió en un correo electrónico: «La firme postura de NSO sobre estas cuestiones es que el uso de herramientas cibernéticas para vigilar a disidentes, activistas y periodistas es un grave abuso de cualquier tecnología y va en contra del uso deseado de estas herramientas. La comunidad internacional debe tener una política de tolerancia cero hacia estos actos, por lo que es necesaria una regulación global».

Fuentes conocedoras de la empresa dijeron a Forbidden Stories que «no hay ningún sistema vigente en El Salvador», y añadieron: «Cuando la compañía reciba los números relacionados con las denuncias, realizará una investigación para determinar si se produjo un mal uso de su sistema en el pasado en el país.»

El periodista de El Faro Nelson Rauda Zablah y el director de la APES César Fagoaga en una rueda de prensa el 23 de noviembre de 2022. Foto: APES

 

Una herramienta más en manos de regímenes autoritarios

Los periodistas que hablaron con Forbidden Stories para este artículo afirman que ya sospechaban, que sus teléfonos podían estar intervenidos por el gobierno.

El espionaje de los periodistas de El Faro, dice Oscar Martínez, a menudo alcanzó su punto máximo durante momentos políticos claves, como el 1 de mayo de 2021, cuando Bukele destituyó al Fiscal General del país y a los jueces del Tribunal Supremo, ejerciendo un control sin precedentes sobre los tres poderes del Estado.

El personal que no forma parte de la redacción fue objeto de numerosos ataques después de que el gobierno abriera una auditoría de El Faro por posible blanqueo de dinero, añadió.

En El Salvador, los ataques de espionaje constituyen solo una forma de acoso a la prensa independiente.

Los periodistas salvadoreños y los defensores de la libertad de prensa que hablaron con Forbidden Stories describieron ataques cada vez más certeros bajo la administración del presidente Nayib Bukele, quien asumió el poder en 2019, incluyendo la vigilancia física de los periodistas con drones y un intento de atentado con coche bomba contra la oficina de El Faro.

«Parece que los poderes fácticos en El Salvador solo están buscando diferentes maneras de tratar de intimidar a los periodistas allí y ver cuál de estas estrategias parece ser más efectiva», dijo Natalie Southwick, coordinadora del programa de América Latina y el Caribe en el Comité para la Protección de los Periodistas. Los periodistas salvadoreños, añadió, «tienen motivos para preocuparse por los dos tipos de vigilancia, formas más tradicionales de vigilancia como el seguimiento físico y también por algunas de estas nuevas herramientas”.

Después de publicar una investigación sobre cómo los fondos de ayuda para el Covid fueron redirigidos a la campaña de Bukele, Gabriela Cáceres recibió numerosas amenazas de violación y de muerte en línea, confirmó a Forbidden Stories. Otros periodistas de El Faro han denunciado haber sido vigilados por drones y cámaras de vigilancia.

En febrero de 2021, la Comisión Interamericana de Derechos Humanos puso en marcha medidas de protección para 34 periodistas de El Faro debido a «pruebas suficientes de que los derechos del personal estaban en riesgo».

La oficina de El Faro. Los periodistas han trabajado mayoritariamente desde casa durante los dos últimos años a causa de la pandemia. Foto: El Faro / Víctor Peña

Según César Fagoaga, presidente de la organización de defensa de la libertad de prensa APES y periodista de investigación desde hace 20 años, El Faro era un objetivo obvio para el gobierno de Bukele por el tipo de investigaciones que realizan.

«Creo que El Faro es probablemente el medio de investigación más importante del país», dijo. «El Faro reveló cómo los millones de pesos dedicados a la ayuda por la pandemia se están desperdiciando en otras cosas y quizás lo más importante es que mostraron hace unos meses cómo este gobierno está negociando con las pandillas».

El objetivo de poner bajo vigilancia a los periodistas de El Faro, según Nelson Rauda Zablah, reportero de investigación de El Faro y miembro del equipo directivo del medio, es simple.

«Ellos quieren saber con quién hablo, de dónde y cómo obtengo la información que consigo. Y eso es bastante explícito.”, dijo.

 

Una amplia red de vigilancia

Según el informe publicado hoy por Citizen Lab y Access Now, Pegasus podría haber sido operado en El Salvador desde noviembre de 2019. Informes anteriores de Citizen Lab y otros descubrieron que El Salvador también es «probablemente» un cliente de Circles, una filial de NSO con sede en Bulgaria.

«Claramente, El Salvador es una fuerza de vigilancia bastante técnica y tecnológicamente habilitada en este punto», dijo Scott-Railton.

Sin embargo, aún se desconoce exactamente cuántas personas fueron blancas de Pegasus en todo el país, dijo Nigro de Access Now, señalando: «Se trata claramente de un uso político dirigido a la sociedad civil».

Según fuentes que hablaron con El Diario de Hoy bajo condición de anonimato, la lista de objetivos potenciales puede haber superado las 500 personas, incluyendo periodistas, políticos de la oposición e incluso un miembro del personal de la Embajada de Estados Unidos. (Forbidden Stories no pudo confirmar de forma independiente si el personal de la Embajada de EE.UU. fue blanco de espionaje con Pegasus).

A pesar de las intervenciones generalizadas en sus teléfonos, los periodistas de El Faro reiteraron que seguirán informando sobre temas críticos.

«Esto confirma un hecho contundente. Hay un enorme interés por saber qué investigaciones está haciendo este periódico», dijo Óscar Martínez. «Y eso es sólo por una razón: que el periodismo que está haciendo este periódico es muy incómodo para un gran, un enorme grupo de corruptos en este país».

El mensaje fue reforzado por su hermano Carlos. «Creemos que en estos tiempos, más que nunca, el periodismo es indispensable para ir hacia adelante y salvar lo que queda de democracia», dijo. «No nos dejamos intimidar, vamos a seguir haciendo nuestro trabajo», concluye.