El juez que puso a NSO contra las cuerdas: una victoria para la ciberseguridad de WhatsApp
Acaba de caer una bomba en el mundo de la ciberseguridad: un juez federal estadounidense ha ordenado a NSO Group, el infame fabricante de software espía, que deje de utilizar su programa Pegasus para atacar a usuarios de WhatsApp. Esta decisión marca un precedente crucial en la lucha contra el espionaje digital y pone límites reales a una de las herramientas de vigilancia más sofisticadas del planeta.
El caso que ha cambiado las reglas del juego
Todo comenzó en 2019, cuando Meta (entonces Facebook) presentó una demanda contra NSO Group tras detectar que la empresa había intentado infectar aproximadamente 1.400 dispositivos móviles con su software Pegasus. Y no hablamos de dispositivos cualquiera: pertenecían principalmente a abogados, periodistas, activistas de derechos humanos, disidentes políticos, diplomáticos y altos funcionarios gubernamentales.
Para llevar a cabo este ataque masivo, NSO creó cuentas falsas de WhatsApp y dirigió sus ataques contra la infraestructura de Meta. Seis años después, la jueza Phyllis J. Hamilton del Tribunal de Distrito de California del Norte ha dictado una sentencia que muchos considerábamos improbable: una orden judicial permanente contra NSO.
Lo que implica esta sentencia histórica
La orden judicial prohíbe a NSO Group:
- Atacar a usuarios de WhatsApp
- Intentar infectar sus dispositivos
- Interceptar mensajes de WhatsApp (que, recordemos, están cifrados de extremo a extremo mediante el Protocolo Signal)
Además, NSO debe eliminar todos los datos que obtuvo al atacar a estos usuarios. Y sí, la empresa argumentó que esta decisión podría «forzar a NSO a cerrar», ya que Pegasus es su «producto estrella». Pero la jueza Hamilton ha sido contundente: el daño que Pegasus causa a Meta y sus usuarios pesa más que cualquier consideración empresarial.
Como explicó la propia jueza: «Cualquier empresa que gestione información personal de usuarios y que invierta recursos en formas de cifrar esa información personal, se ve perjudicada por el acceso no autorizado a dicha información, y no es solo un daño a la reputación, es un daño comercial».
Pegasus: la amenaza invisible que ahora tiene límites
Para quienes no estéis familiarizados, Pegasus es una de las herramientas de vigilancia más avanzadas que existen para espiar iPhones y dispositivos Android. Su peligrosidad reside en que a menudo infecta dispositivos mediante exploits «zero-click», lo que significa que no requieren ninguna interacción por parte de los usuarios objetivo.
Tanto Apple como Google destinan enormes recursos a proteger sus sistemas operativos, pero Pegasus consigue eludir estas defensas gracias a que NSO invierte grandes sumas en ingeniería inversa de estos sistemas operativos.
Aunque NSO siempre ha asegurado que solo vende Pegasus a gobiernos que, tras una cuidadosa evaluación, demuestran no abusar del programa, la realidad es bien distinta. Como se ha demostrado en este caso, activistas, periodistas y otras personas han sido objetivo de este spyware en repetidas ocasiones.
Las consecuencias económicas del fallo
No todo han sido malas noticias para NSO. La jueza redujo drásticamente los daños punitivos que un jurado había otorgado a Meta: de 167 millones de dólares a 4 millones. Hamilton argumentó que el estándar en el que el jurado basó esa cantidad no era el adecuado.
Por otra parte, la sentencia rechazó la solicitud de Meta de que la orden judicial prohibiera a NSO atacar a usuarios de otras plataformas de Meta como Facebook e Instagram, alegando que no se habían presentado pruebas sobre ataques a estas plataformas.
Un precedente que cambia el panorama de la ciberseguridad
«La sentencia de hoy prohíbe al fabricante de spyware NSO atacar de nuevo a WhatsApp y a nuestros usuarios globales», declaró Will Cathcart, director de WhatsApp. «Aplaudimos esta decisión que llega después de seis años de litigio para responsabilizar a NSO por atacar a miembros de la sociedad civil. Establece un importante precedente de que hay graves consecuencias al atacar a una empresa estadounidense».
Y este es precisamente el punto clave: el fallo establece un precedente que otras empresas estadounidenses podrán citar en futuros casos contra NSO o empresas similares. En un momento en que los ataques de ciberseguridad son cada vez más sofisticados, esta sentencia supone un balón de oxígeno para las compañías que luchan por proteger la privacidad de sus usuarios.
Aunque la jueza no extendió la prohibición a gobiernos extranjeros que podrían usar WhatsApp (argumentando que los gobiernos soberanos no formaban parte de la demanda), la sentencia sigue siendo un golpe significativo para el modelo de negocio de NSO.
El tiempo dirá si esta decisión judicial marca el principio del fin para NSO Group o si la empresa encontrará formas de adaptarse. Lo que está claro es que, por primera vez, hay consecuencias reales para quienes desarrollan y venden herramientas de espionaje digital, incluso cuando afirman hacerlo solo con fines de seguridad nacional.
