WhatsApp demandó a la firma de cibervigilancia israelí NSO Group en un tribunal federal el 29 de octubre, con el argumento de que la tecnología de espionaje de la empresa se usó en el popular servicio de mensajería en una campaña de gran alcance contra periodistas y activistas de derechos humanos.
WhatsApp, propiedad de Facebook, afirmó en la demanda que un programa de NSO Group que tenía como propósito aprovechar los datos de WhatsApp se usó para espiar a más de 1.400 personas en veinte países.
La demanda no señaló quién estaba usando la tecnología de NSO Group para atacar a los usuarios de WhatsApp. Sin embargo, los códigos de área de algunos celulares que habían sido atacados indicaron que en su mayor parte se trataba de usuarios en México, Bahréin y los Emiratos Árabes Unidos.
La presentación de la demanda -se cree que es la primera que entabla una compañía tecnológica en contra de una empresa de vigilancia digital con fines de lucro- podría ser el “inicio del final” de la adopción veloz y en su mayor parte no regulada de estas tecnologías de vigilancia, señaló John Scott-Railton, investigador sénior en Citizen Lab.
WhatsApp trabajó de cerca con Citizen Lab, un grupo de investigación afiliado con la Universidad de Toronto que ayuda a víctimas de vigilancia digital, en su indagación de los ataques, que se llevaron a cabo desde abril hasta mayo.
El servicio de mensajería señaló que las víctimas incluyeron a cien periodistas, mujeres líderes prominentes, varias personas que habían sido blanco de intentos frustrados de asesinato, disidentes políticos y activistas de derechos humanos, así como sus familias.
La demanda se presentó ante el Tribunal de Distrito de Estados Unidos para el Distrito del Norte de California. NSO Group, que vende su tecnología de vigilancia a gobiernos de todo el mundo, señaló mediante un comunicado el 29 de octubre que refutaba las afirmaciones de la demanda de WhatsApp de "la manera más contundente posible" y que "las combatirá de manera vigorosa".
NSO Group agregó que su tecnología fue utilizada por agencias de inteligencia y de seguridad pública en iniciativas antiterroristas legales y de combate contra el crimen, y que "ha ayudado a salvar miles de vidas en años recientes".
La investigación comenzó después de que Citizen Lab dijo que la tecnología de NSO Group había sido utilizada para aprovechar una brecha de seguridad de WhatsApp para hackear el celular de un abogado londinense. La brecha se solucionó en mayo.
El abogado había representado a varios demandantes en litigios en los que se acusaba a NSO Group de proporcionar herramientas para hackear los celulares de un disidente saudí que vive en Canadá, un ciudadano catarí y un grupo de periodistas y activistas mexicanos. El abogado contactó a Citizen Lab.
Los investigadores dijeron que descubrieron que la tecnología de NSO dejó rastros digitales que los ayudaron a descubrir la campaña de espionaje. El punto débil: quien estuviera usando las herramientas de hackeo de NSO Group tenía que llamar a su objetivo por medio de WhatsApp. Aunque el sujeto no respondiera, la tecnología de NSO se incorporaba al celular y proporcionaba acceso a todo su contenido.
Sin embargo, las llamadas perdidas alertaron al abogado, señalaba la demanda.
Después de que WhatsApp solucionó la brecha de seguridad, los empleados de NSO lamentaron que la compañía cerrara un gran canal de espionaje. Un empleado de NSO incluso le dijo a un empleado de WhatsApp en un mensaje: "Acaban de cerrar nuestro medio remoto más grande para el espionaje celular", de acuerdo con la queja de WhatsApp.
Citizen Lab y WhatsApp no mencionaron a los individuos afectados, debido a sus políticas de privacidad.
WhatsApp señaló mediante un comunicado que informaría a los usuarios afectados con mensajes especiales de WhatsApp. La compañía quiere obtener una orden de cesación para bloquear el acceso de NSO a su servicio e hizo un llamado a los legisladores para que prohibieran el uso de ciberarmas como las que NSO Group les vende a los gobiernos.
"Ésta debe ser una llamada de atención para las empresas tecnológicas, los gobiernos y todos los usuarios de internet", escribió Will Cathcart, director de WhatsApp, en un artículo de opinión publicado en The Washington Post el 29 de octubre. "Las herramientas que permiten la vigilancia de nuestra vida privada están siendo abusadas, y la proliferación de este tipo de tecnología en manos de compañías y gobiernos irresponsables nos pone en riesgo a todos", agregó.
Cathcart también animó a las firmas tecnológicas a unirse a un llamado del relator especial de las Naciones Unidas, David Kaye, para establecer una moratoria inmediata a la venta, la transferencia y el uso de programas peligrosos de espionaje.
NSO Group agrupa a una de decena de empresas digitales de espionaje que proporcionan tecnología para dar seguimiento a todo lo que hace cierta persona en un teléfono inteligente. Su programa espía permite que los gobiernos den seguimiento a la ubicación, las comunicaciones, los contactos y las actividades en internet de sus objetivos. Sin embargo, ese tipo de acceso fácilmente puede ser objeto de abuso.
NSO Group ha señalado anteriormente que limita la venta de sus herramientas de hackeo a gobiernos con historiales deficientes de derechos humanos, pero tiene poco conocimiento sobre cómo se usan las herramientas una vez que están en manos de los gobiernos. La compañía comentó que solo sabe e investiga casos de abuso cuando surgen en los medios.
La queja de WhatsApp que se presentó el 29 de octubre afirma que NSO Group está más cerca de desplegar su programa espía de lo que afirma públicamente. WhatsApp rastreó varios servidores que desplegaban el programa espía de NSO hasta las direcciones de internet operadas directamente por NSO Group. La compañía alquilaba servidores -entre ellos algunos en Estados Unidos- de Amazon y dos servicios más de computación en la nube llamados Choopa y Quadranet, para ayudar a desplegar su programa espía, señalaba la demanda.
Amazon no respondió una solicitud para hacer comentarios.
Desde que se fundó NSO Group en 2011, su tecnología de espionaje, llamada Pegasus, se ha convertido en la herramienta de espionaje móvil preferida de muchos gobiernos. Una de las primeras propuestas comerciales de NSO que se filtró a The Times afirmaba que Pegasus podía burlar el cifrado para otorgar "acceso ilimitado" a todo el contenido del dispositivo móvil de un objetivo.
