Pegasus: qué hace el ‘software’ espía que han utilizado gobiernos de América y por qué se menciona ahora en Costa Rica
Un teléfono celular puede convertirse en un micrófono, una cámara y un archivo de información para un tercero sin que su propietario lo sepa. Esa es, en términos sencillos, la capacidad de Pegasus, el software de espionaje desarrollado por la empresa israelí NSO Group.
Su utilización, al margen de la legalidad, ha provocado investigaciones judiciales y denuncias internacionales por su utilización contra personas que no eran sospechosas de delitos. De Colombia a México, pasando por Panamá y El Salvador, denuncias de su uso por parte de los gobiernos han provocado indagatorias sobre la capacidad de los Estados para infiltrarse en los dispositivos de ciudadanos sin que estos se percaten.
El 12 de agosto, el asunto salió a colación en la Asamblea Legislativa en medio de cuestionamientos por la declaratoria de secreto de Estado para la mayoría de funciones y procesos relacionados con seguridad en el gobierno de Laura Fernández. Ante planteamientos de la diputada Sigrid Segura, del Frente Amplio (FA), la legisladora oficialista Kattia Calvo mencionó y defendió lo que denominó “operación Pegasus” al referirse a la declaratoria de secreto.
Luego, negó que esta operación tenga relación alguna con el software israelí. “Hay una conspiranoia (sic) un poco complicada y ahora resulta que nosotros estamos usando Pegasus”, alegó.
En tanto, la opositora Sigrid Segura sostuvo que personas que trabajan y que han trabajado en la Dirección de Inteligencia y Seguridad (DIS) “tienen preocupación de la utilización de esa tecnología”.
En otros países, este programa ha sido utilizado para espionaje de ciudadanos particulares, como una pareja del expresidente panameño Ricardo Martinelli. Además, se ha empleado para seguir a periodistas (como los de El Faro, en El Salvador, al igual que en México y Polonia) y para vigilar a políticos, como se denunció en Colombia en el 2024. La compañía israelí rechaza su uso ilegal, al tiempo que niega sus vínculos con el Gobierno israelí; empero, reportajes de The New York Times y denuncias de Amnistía Internacional cuestionan sus nexos.
Por ese motivo, explicamos en qué consiste Pegasus, cómo se ha utilizado en América Latina y por qué representa un riesgo para la vida cotidiana de los ciudadanos, más allá del espionaje a opositores y periodistas.
¿Qué es Pegasus?
En su sitio web, la empresa israelí describe así la misión del programa de espionaje: “NSO desarrolla tecnología que ayuda a las agencias gubernamentales a prevenir e investigar el terrorismo y la delincuencia, con el objetivo de salvar miles de vidas en todo el mundo”.
Citizen Lab, laboratorio de investigación de la Universidad de Toronto que ha estudiado el programa desde el 2016 por sus usos en Emiratos Árabes Unidos, describe a NSO como una empresa que vende a gobiernos herramientas para irrumpir remotamente en teléfonos celulares.
Una vez instalado, Pegasus puede acceder a mensajes, correos electrónicos, fotografías, contactos, ubicación, llamadas y otros contenidos. También puede activar el micrófono o la cámara y obtener información de aplicaciones protegidas por esquemas cifrados, según describen dos analistas de ciberseguridad consultados por La Nación.
En sus documentos comerciales, NSO se desliga de cualquier uso ilegal. “Solo lo licenciamos a los organismos de seguridad y de inteligencia de Estados soberanos. Tampoco tenemos conocimiento de las personas que esos Estados puedan estar investigando ni de los planes que intentan desarticular, como suele ocurrir con otras empresas del sector”, dice un folleto.
“Los Estados soberanos normalmente no comparten, no compartirán ni deberían compartir esa información, que es extraordinariamente sensible”, advierten.
¿Cómo opera Pegasus en mis dispositivos?
Las primeras versiones conocidas de Pegasus utilizaban métodos relativamente fáciles de detectar. La persona objetivo recibía un mensaje con un enlace; si lo abría, el teléfono podía conectarse con la infraestructura controlada por el operador y descargar el código malicioso.
Así ocurrió con el activista emiratí Ahmed Mansoor en el 2016. En lugar de abrir los enlaces que recibió por SMS, los envió a Citizen Lab. Los investigadores reprodujeron el ataque en un entorno controlado y encontraron tres vulnerabilidades desconocidas de iPhone, llamadas zero-day, que permitían instalar Pegasus (desde entonces, Apple implementó el sistema de protección avanzada Lockdown Mode).
Pero la tecnología evolucionó. Una de sus características más inquietantes son los ataques zero-click, en los cuales el usuario no necesita abrir un enlace, descargar un archivo ni hacer nada. Una vulnerabilidad en servicios del teléfono puede permitir la infección simplemente al recibir determinado contenido.
Amnistía Internacional (AI) documentó ataques de este tipo y señaló que eran infecciones que “no requieren interacción con el objetivo atacado”. Es decir: el propietario puede estar utilizando normalmente su teléfono mientras, en segundo plano, un tercero consigue acceso al dispositivo.
¿Qué puede ver quien lo controla?
McAfee, la empresa de protección digital, en su página dedicada a protección anti-Pegasus, dice que “a menudo se describe como una de las herramientas de espionaje más sofisticadas y difíciles de detectar jamás creadas”.
“El software puede infiltrarse en teléfonos inteligentes con sistemas iOS o Android, extraer mensajes, fotografías y otros datos, e incluso activar de forma remota las cámaras y los micrófonos. Esto significa que, si un teléfono está infectado con Pegasus, su usuario puede quedar sometido a una vigilancia prácticamente permanente”, alerta la empresa.
¿Cómo se ha utilizado Pegasus en el mundo?
Múltiples denuncias entes como AI, LAPIN, Connectas y medios como el New York Times han acreditado reiteradamente la utilización de Pegasus para espiar a opositores, periodistas y ciudadanos particulares en varios países.
Según una extensa investigación de The New York Times, publicada en el 2022, el acceso a Pegasus se convirtió en una herramienta de la diplomacia israelí. El diario documentó que países como México y Panamá cambiaron posiciones en votaciones de la ONU después de obtener el software y que su venta ayudó a conseguir respaldo árabe para Israel y a impulsar los Acuerdos de Abraham del 2020.
“La búsqueda de influencia de Israel, combinada con el afán de lucro de NSO, también ha llevado a que esta poderosa herramienta de espionaje termine en manos de una nueva generación de líderes nacionalistas en todo el mundo. Aunque la supervisión del Gobierno israelí buscaba evitar usos represivos del programa, Pegasus fue vendido a Polonia, Hungría e India, pese a los cuestionamientos sobre el historial de derechos humanos de esos países”, escribieron los periodistas del Times.
Una investigación de la red Forbidden Stories con AI también encontró evidencia de su uso en Argentina, Chile, Azerbaiyán, Arabia Saudita y otros países.
Pegasus incluso ha sido denunciado desde Costa Rica. En el 2023, con motivo de la inauguración de la cumbre sobre derechos digitales RightsCon en San José, Rasha Abdul Rahim, directora de Amnesty Tech, llamó a los gobiernos a “impedir que empresas de software espía sin escrúpulos comercialicen sus productos, para evitar que los teléfonos se conviertan en armas”.
“Debe establecerse de inmediato una prohibición mundial del software espía altamente invasivo (...). El software espía altamente invasivo se ha convertido en el arma preferida de los gobiernos que buscan silenciar a periodistas, atacar a activistas y aplastar la disidencia, poniendo en riesgo innumerables vidas. Debe prohibirse ahora”, exhortó.
¿Cuáles casos se han presentado en América Latina?
La incursión de NSO Group con Pegasus en América Latina se ha denunciado en países como República Dominicana, México, Panamá, El Salvador y Colombia.
Desde el 2017, Citizen Lab documentó que 10 periodistas y defensores de derechos humanos mexicanos, un menor y un ciudadano estadounidense fueron blanco del programa. “La investigación también detectó intentos de infectar los teléfonos de científicos y defensores de consumidores y de la salud”, dice la organización.
¿Qué ocurrió en Panamá?
Según el centro InSight Crime, en una investigación publicada en el 2016, el gobierno del expresidente panameño Ricardo Martinelli utilizó el software espía Pegasus en un esquema de espionaje político dirigido contra opositores y posiblemente contra personas involucradas en investigaciones sobre su administración.
La Fiscalía de Panamá confirmó que el sistema, adquirido por el gobierno de Martinelli en el 2012, fue utilizado en una oficina privada del empresario Gabriel Btesh, señalado como integrante del llamado “círculo cero” del exmandatario.
De acuerdo con InSight Crime, el equipo de espionaje costó $8 millones y fue comprado para el Consejo de Seguridad Nacional. Pegasus operó en un edificio propiedad de Btesh entre el 29 de enero del 2013 y el 14 de mayo del 2014. La Corte Suprema abrió en el 2015 una investigación contra Martinelli por presuntamente ordenar escuchas ilegales contra más de 150 personas, incluidos dirigentes del opositor Partido Revolucionario Democrático.
Martinelli salió del país acusado de varias causas de corrupción. Durante su juicio de extradición de EE. UU. a Panamá, los fiscales argumentaron que Martinelli incluso llegó a espiar a su examante con este equipo (el expresidente ahora se encuentra asilado en Colombia).
En el 2021, Martinelli fue absuelto de los cargos de interceptación ilegal, pero otros exfuncionarios fueron condenados posteriormente por delitos relacionados con violaciones de la confidencialidad y el derecho a la intimidad.
En julio de este año, la red global Organized Crime and Corruption Reporting Project (OCCRP) reveló que el cofundador de NSO Group, Shalev Hulio, ingresó a Panamá en el 2013 con un pasaporte diplomático, lo que generó cuestionamientos sobre la cercanía de la empresa con el Gobierno israelí.
Él renunció a NSO en el 2022, cuando inversionistas estadounidenses adquirieron acciones mayoritarias. El año anterior, el gobierno de Joe Biden había sancionado a la compañía por el uso de su tecnología en espionaje; Israel también anunció una investigación.
¿Qué ocurrió en El Salvador?
En El Salvador, Citizen Lab y Access Now confirmaron mediante análisis forenses que 35 periodistas y miembros de organizaciones de la sociedad civil fueron infectados con Pegasus entre julio del 2020 y noviembre del 2021.
Entre los afectados había periodistas de El Faro, Gato Encerrado, La Prensa Gráfica, Revista Digital Disruptiva, Diario El Mundo y El Diario de Hoy. También fueron atacadas organizaciones civiles, de acuerdo con The Citizen Lab.
El caso resultó especialmente sensible porque varias de las personas vigiladas investigaban asuntos relacionados con el gobierno de Nayib Bukele. Citizen Lab calificó el patrón como particularmente preocupante por el ataque contra medios independientes.
En total, 22 miembros de El Faro fueron afectados, según un proceso judicial en Estados Unidos iniciado por The Knight Group y el medio. “En el 2023 descubrimos que 22 de los 30 miembros de nuestro medio eran espiados y habían sido pinchados con el virus israelí Pegasus. Entonces, el aparato administrativo de El Faro se mudó a Costa Rica para tener mejor margen de operación”, contó el reportero Óscar Martínez a La Jornada en el 2025.
En julio de ese año, saliendo de un foro de San José, tuvieron que exiliarse por alertas de captura en El Salvador.
¿Puedo detectar Pegasus en mi teléfono?
El software está diseñado para ser difícil de detectar. No obstante, aparte de la sospecha offline, puede haber señales de uso inusual del teléfono. Algunas señales son un consumo inusualmente alto de batería o de datos.
Amnistía Internacional publicó en el 2021 el Mobile Verification Toolkit con una serie de pasos para completar la revisión del teléfono en caso de que haya sospechas de intervención. Reporteros Sin Fronteras también recomienda tomar todas las precauciones posibles para restringir el acceso al teléfono, que involucran desde contraseñas hasta el uso de VPN y autentificación con el rostro.