El Gobierno negó al Congreso el uso de Pegasus meses después del espionaje masivo

«En el Departamento de Seguridad Nacional no hay constancia de denuncias ni datos que avalen la existencia de ataques con el programa Pegasus a ciudadanos españoles». Esa es la textualidad de la respuesta, en poder de este periódico, que el Ejecutivo de Pedro Sánchez remitió el 21 de junio de 2021 al diputado de Bildu Jon Iñarritu, uno de los políticos independentistas cuyo móvil, según el análisis forense de Citizen Lab, fue pinchado. Iñarritu, que solo días antes había entregado su terminal a los expertos de Citizen Lab y que ya había recibido la confirmación de que su smartphone había sido infectado, preguntó por qué motivo el informe de Seguridad Nacional de 2020 no reflejaba los primeros ataques con Pegasus ya conocidos hasta entonces, qué investigaciones se habían realizado para conocer a los autores de las infecciones y cuánta gente había sido espiada con este programa «por el Estado español».

Iñarritu no ha sido el único que en la actualidad legislatura se ha interesado por el uso del sistema israelí en España. Ha habido preguntas sobre Pegasus de muy diferente origen, desde Esquerra Republicana al Partido Popular. Los independentistas catalanes, en diciembre de 2020 presentaron una veintena de preguntas con demandas de todo tipo de información sobre el supuesto uso del malware. Los populares hicieron lo propio en enero de este mismo año con otras cuatro reclamaciones de datos. Y la respuesta del Gobierno sobre si el Estado tenía en Pegasus fue de lo más evasiva: instó a la diputada de ERC Carolina Telechea y a los parlamentarios del PP Mario Cortes y Fernando Gutiérrez a consultar la Plataforma de Contratación del Estado (cuyo link incluía la respuesta del Ejecutivo), al tiempo que daba consejos de cómo usar el buscador de esa web, en la que obviamente los servicios secretos jamás publicarían la adquisición de un sistema de espionaje.

Del sarcasmo de aquellas respuestas, el Gobierno y los servicios secretos han pasado en los últimas días a admitir que desde 2016 el CNI tiene en su arsenal a Pegasus. Es más, en los últimas horas el entorno de los servicios secretos y del Tribunal Supremo han confesado que, efectivamente, se espió con el malware a los independentistas, aunque, insisten en una y otra institución en que las intervenciones «no fueron masivas», sino que se trató de pinchazos «excepcionales», «nunca indiscriminados». Y que siempre fueron intervenciones con autorización del magistrado competente de la Sala Tercera del alto tribunal.

Y todo ello -insisten- en virtud del artículo 1 de la ley reguladora del CNI que establece las tareas de los servicios son «prevenir y evitar cualquier peligro, amenaza o agresión contra la independencia o integridad territorial de España, los intereses nacionales y la estabilidad del Estado de derecho y sus instituciones».

De acuerdo siempre con estas fuentes, el hecho de que las mayoría de las intervenciones detectadas por Citizen Lab tuvieran lugar en 2019 y 2020 demuestra que se usó Pegasus «fundamentalmente» en relación a los disturbios desatados por los CDR a raíz de la sentencia del procés y de la detención en septiembre de ese año por orden de la Audiencia Nacional de varios activistas de los autodenominados «Equipos de Respuesta Táctica», acusados de terrorismo.

En el entorno del CNI, además, reiteran en que el sistema israelí se compró para espiar en el extranjero, ante la imposibilidad de poder reclamar a las compañías pinchazos fuera de las fronteras nacionales, y que siempre se hizo móviles sobre no institucionales. Pero estas dos últimas afirmaciones son desmentidas por varios de los expertos que han trabajado en el análisis forense de los terminales intervenidos y por las agendas de los espiados. Los movimientos de salida de información malware de NSO, en la mayoría de los móviles, fueron detectados mientras sus usuarios estaban en España. Además, entre los smartphone hackeados hay terminales oficiales, pagadas tanto desde la Generalitat como por el Congreso de los Diputados.