¿Meloni espió a los italianos?

Por Luigi Sebastiano De Blasi

Este año Italia, y en particular el Gobierno de Giorgia Meloni, se vio envuelta en un escándalo relacionado con el uso indebido del software espía «Graphite», desarrollado por la empresa israelí Paragon. ¿Qué pasó con Graphite en Italia?

Todo comenzó el día 31 de enero cuando WhatsApp dijo a The Guardian que iba a notificar a 100 personas en todo el mundo de que sus teléfonos móviles habían sido espiados durante diciembre del 2024.

WhatsApp declaró que había enviado a Paragon una carta de cese y que estaba explorando sus opciones legales. También afirmó que los presuntos ataques fueron interrumpidos en diciembre y que no estaba claro durante cuánto tiempo pudieron haber estado en riesgo los objetivos.

Uno de los primeros en contestar el artículo del Guardian, señalando que fue espiado, fue el director del periódico online italiano FanPage, Francesco Cancellato. Su periódico es conocido por haber publicado un reportaje sobre los jóvenes fascistas que militan en el partido del primer ministro de Italia, Giorgia Meloni. Después de él, recibieron notificaciones también tres miembros de la ONG Mediterranea Saving Humans, cuya actividad es salvar las vidas de las personas en dificultad en las aguas del Mediterráneo.

La admisión de culpa del gobierno de Meloni y Libia

Al final, lo que cuenta el periódico italiano La Repubblica es que después de la audiencia del subsecretario de Estado (el secretario de Giorgia Meloni), él declaró que la ONG Mediterranea fue objeto de una investigación preventiva por parte de los servicios de inteligencia en el extranjero, que se ocupaban de la inmigración clandestina. Dado el trabajo que realizaba en el Mediterráneo, fue considerada un objetivo para la seguridad nacional.

Sin embargo, siempre según Repubblica, nadie ha escuchado nunca al director de FanPage, Francesco Cancellato. No fueron los Servicios, no pudieron haber sido las fiscalías. Entonces, ¿quién fue?

Una de las críticas que el fundador de Mediterranea había dirigido al gobierno de Meloni se refería a la reciente decisión del gobierno italiano de permitir el mes pasado que un general libio acusado de crímenes de guerra y buscado por la Corte Penal Internacional, Osama Almasri Najim, regresara a su país en un vuelo del servicio secreto italiano.

Almasri, jefe de la policía judicial de Libia, era buscado por la Corte Penal Internacional (CPI) por presuntos crímenes de guerra y crímenes de lesa humanidad, así como por acusaciones de violación y asesinato. Él también preside una prisión cerca de Trípoli condenada por organizaciones de derechos humanos debido a detención arbitraria, tortura y abusos. Sin embargo, el mandado de captura del CPI tenía muchos errores, hasta de jurisdicción1, así que el mes pasado fue liberado y trasladado en un avión oficial del Estado italiano a Trípoli.

Un activista que afirmó haber desempeñado un papel activo en la investigación del caso de Almasri, Husam El Gomati, libio radicado en Suecia y crítico vocal de Italia y sus acuerdos, descubrió que su teléfono había sido espiado poco después de afirmar en publicaciones en Facebook que había obtenido acceso a documentos de Libia sobre redes de migración ilegal, su conexión con centros de detención y los presuntos vínculos entre líderes de milicias en Trípoli y Zawia con oficiales de inteligencia italianos. Además, la semana pasada El Gomati expresó que su hermano «fue secuestrado por hombres no identificados que entraron sin permiso en su casa [en Libia] y se lo llevaron. No puedo no pensar que sea una retorsión por mi actividad política.»

Entre los espiados también estuvo David Yambio, refugiado sursudanés y presidente de la asociación Refugees in Libya, además de víctima de las torturas del general libio Almasri. En su teléfono, Yambio almacenaba información sensible sobre decenas de víctimas de los campos de detención en Libia, documentación que ha recopilado desde que logró llegar a Italia en 2022. Durante una de sus detenciones en Libia en 2019, fue “vendido como esclavo” precisamente a Almasri.

Yambio declaró: «He sido torturado personalmente por él de diversas formas que ni siquiera sé cómo describir, porque no lo merecía. Incluso aquellos que murieron, eventos a los que asistí, no lo merecían ». Además, agregó «¿Significa esto que estoy en un país que me está espiando y enviando información privada a Almasri o a cualquier otro torturador que me está buscando?»

¿Quién creó todo eso?

Los spywares de nivel gubernamental actualmente están reconocidos a nivel internacional como armas. Quienes los producen y venden, por lo tanto, deben obtener una serie de licencias especiales y estar sujetos a un alto nivel de supervisión.

Paragon Solutions es una empresa israelí especializada en soluciones de vigilancia digital para teléfonos inteligentes e Internet. Su sede principal está en Tel Aviv. Por su parte, NSO Group Technologies es una empresa también israelí con sede en Herzliya, que creó el spyware llamado Pegasus, que permite la vigilancia remota de teléfonos inteligentes. Paragon efectivamente se presentaba como la alternativa ética de NSO y destaca que nunca colaboraría con quienes pretendan vigilar a periodistas.

Ambos, Pegasus y Graphite, permiten el acceso remoto a los dispositivos móviles de las víctimas, lo que posibilita el monitoreo de comunicaciones, ubicación y otros datos sensibles.Empresas como Paragon trabajan principalmente explotando las llamadas «vulnerabilidades de seguridad» en los sistemas, es decir, errores o imprecisiones en los códigos informáticos que pueden ser aprovechados para hacer que los dispositivos ejecuten ciertas acciones sin el conocimiento de sus propietarios.

Las fallas que garantizan mayores probabilidades de éxito suelen estar relacionadas con las vulnerabilidades denominadas ‘zero-day’ (véase la actual serie de Netflix Zero Day con Robert De Niro), es decir, defectos en un software o en un sistema operativo que aún no han sido descubiertos (o hechos públicos) por quienes han desarrollado estos programas. A menudo, el propio desarrollador del software o del sistema operativo no es consciente de estas fallas y, en consecuencia, aún no ha publicado actualizaciones de seguridad para corregir el problema.

En consecuencia, los ataques ‘zero-click’ explotan vulnerabilidades zero-day sin requerir ninguna interacción del usuario. El malware puede infectar el dispositivo sin que la víctima tenga que abrir un enlace, descargar un archivo o interactuar de ninguna manera, aprovechando fallos en las aplicaciones de mensajería.

Entonces, ¿qué otros países, además de Italia, son clientes de NSO y Paragon?

En España, en 2022 el primer ministro Pedro Sánchez se encontró con un amigo suyo, Elías Campo, ahora miembro del ya citado Citizen Lab. Campo había detectado una notificación de la agencia de seguridad social del gobierno español que usa el mismo formato que algunos malwares que él conoce bien. El técnico le dijo que tenía dos infecciones: habían descargado sus archivos, lo habían escuchado durante varias horas y lo habían grabado. Luego se reveló que, con Pegasus, habían sido espiados 60 políticos, activistas y abogados catalanes. Se trataba del mayor grupo de ataques de este tipo jamás documentado hasta ese momento.

Dos años después, se informó que Barcelona se había convertido en un centro para equipos israelíes especializados en ciberseguridad ofensiva, incluyendo la venta de exploits y herramientas de espionaje similares a Pegasus y Graphite.

En Colombia, en septiembre de 2024, el presidente Gustavo Petro denunció la supuesta compra del software espía Pegasus por parte de la Dirección de Inteligencia de la Policía en el año 2021. Aunque la Policía negó la adquisición, la falta de pruebas concretas y el posible uso indebido del software generaron preocupaciones. Por otro lado, según un artículo del New York Times de abril de 2023, México era el mayor usuario del software espía Pegasus en esa fecha.

En otro contexto, investigaciones recientes sugieren que agencias gubernamentales australianas son clientes de Paragon. Un informe de Citizen Lab (grupo de investigación de la Universidad de Toronto que estudia casos en que tecnologías son utilizadas para violar derechos humanos) descubrió dos direcciones IP australianas vinculadas al uso del spyware Graphite.

En adición, se han reportado casos de espionaje con Graphite en otros países europeos, como Bélgica, Grecia, Letonia, Lituania, Austria, Chipre, República Checa, Dinamarca, Alemania, Países Bajos, Portugal y Suecia.

Por cierto, gracias a una investigación del diario israelí Ha’aretz, se conoce que a pesar de que el Parlamento Europeo ha creado una comisión de investigación sobre lo ocurrido en esos países, y de que los países europeos han sido más críticos y expresivos respecto a esos escándalos, ellos siguen siendo sus principales usuarios.

Luigi De Blasi (Italia): Maestría en Cooperación Internacional en el ISEG de Lisboa, Portugal. Aspirante doctorando, y columnista de Diplomacia Activa.