El CNI llevaba advirtiendo a Sánchez desde 2019 del aumento de ataques con Pegasus

La alerta sobre el programa espía Pegasus lleva años figurando en los informes del Centro Nacional de Inteligencia (CNI) y, por tanto, era conocida por Moncloa. Este programa -al que se atribuye la infección de los móviles de Pedro Sánchez y Margarita Robles- aparece ya en los dossieres del Centro Criptológico Nacional (CNN) de 2019. En concreto, el documento Ciberamenazas y Tendencias, publicado en mayo de ese año, ya contiene una alusión a este sistema, dirigido al robo de información altamente sensible.

El organismo dependiente del CNI advertía entonces de un «crecimiento de los ataques a dispositivos móviles», señalando que se habían incrementado anualmente un 85% desde 2011, y alertaba de que «actores avanzados»  utilizan «técnicas de phishing móvil, por ejemplo, Dark Caracal y Pegasus». El CCN remitía precisamente a un informe de Citizen Lab -el instituto canadiense que ha denunciado ahora el presunto espionaje a los separatistas catalanes- que describía el ataque con Pegasus al móvil del activista Omar Abdulaziz, confidente del periodista saudí Jamal Khashoggi asesinado en el consulado de Arabia Saudí en Estambul, en 2018. Ese informe, referenciado por el CNI, incluía un mapa de la extensión mundial de Pegasus.

«Este documento contiene un análisis de las ciberamenazas, nacionales e
internacionales, de su evolución y tendencias futuras, y ha sido realizado con el propósito de resultar de utilidad a los responsables de seguridad de la información de las entidades del sector público español», avisaba ya el CCN al inicio del documento, lo que demuestra que el informe fue trasladado a los responsables de seguridad del Gobierno. Por entonces, el actual ministro de Presidencia, Félix Bolaños, era el encargado de garantizar la seguridad de las comunicaciones de Moncloa.

El informe avanzaba además su previsión de que los ataques continuasen el siguiente año: «Los agentes estatales continuarán realizando campañas de intrusión como parte de sus estrategias nacionales. Las entidades de los sectores del Gobierno, la defensa, los think tanks y las ONG continuarán siendo los objetivos prioritarios de sus operaciones».

«Espionaje»

Así, alertaba sobre «los Estados como principal fuente de las amenazas»: «Sus acciones contra otros países, sus instituciones, empresas y ciudadanos, siguen representando la ciberamenaza más significativa. El objetivo perseguido por este tipo de ataques es siempre el mismo: sustraer información para mejorar su posición estratégica, política, económica o innovadora: espionaje». También se incluía un mapa de riesgos para distintos actores, entre ellos, el propio Gobierno:

Alertas del CNI

Esa primera alusión a Pegasus, lo que evidencia que el CNI ya estaba al tanto de la amenaza del programa espía, se completaría, meses después, en otro documento: Informe anual sobre dispositivos y comunicaciones móviles 2019, publicado en marzo de 2020, donde se recogía ya el perfeccionamiento de este sistema para penetrar en los dispositivos, aprovechándose de las vulnerabilidades de los sistemas operativos. Mediante ese nuevo sistema, Pegasus puede infectar el terminal sin interacción alguna por parte del usuario para robar contenido. Basta con disponer de un número de teléfono.

En mayo de 2021, el CCN emitió otro informe en el que advertía de los riesgos de ser víctima de espionaje con Pegasus. En el documento CCN-CERT BP/03: Dispositivos móviles, el organismo lamentaba que «el nivel de percepción de la amenaza real existente no ha tenido la suficiente trascendencia en los usuarios finales y las organizaciones, pese a que los dispositivos móviles se utilizan para establecer comunicaciones personales y profesionales, privadas y relevantes, y para el almacenamiento e intercambio de información sensible». El informe avisaba de la «complejidad y sofisticación» de los sistemas espía y advertía que «el consejo más eficaz para identificar mensajes dañinos es el sentido común».

El siguiente informe, y definitivo, está fechado en julio de 2021, dos meses después de la intrusión al móvil de Pedro Sánchez.

En este documento, revelado en exclusiva por OKDIARIO, Detección de software Pegasus en dispositivos iPhone, se daban instrucciones para detectar el programa en los dispositivos telefónicos Apple en apenas hora y media.

Este informe estaba en manos de Moncloa. Sin embargo, no fue hasta este lunes cuando el ministro de la Presidencia, Félix Bolaños, anunció el espionaje a los móviles de Sánchez y de Margarita Robles, ministra de Defensa. Según Bolaños, los dispositivos no fueron analizados hasta el 30 de abril. En definitiva, cuatro informes que avisaban del riesgo de Pegasus y que Moncloa ignoró.