Entre los objetivos del software espía Predator figuran funcionarios y funcionarias de la ONU, un senador y un congresista de Estados Unidos e incluso las presidentas del Parlamento Europeo y de Taiwán.

Una nueva e importante investigación de Amnistía Internacional revela escandalosos intentos de ataque con software espía contra la sociedad civil, periodistas, figuras políticas e intelectuales en la Unión Europea (UE), Estados Unidos y Asia.

Entre los objetivos del software espía Predator figuran funcionarios y funcionarias de la ONU, un senador y un congresista de Estados Unidos e incluso las presidentas del Parlamento Europeo y de Taiwán.

La investigación forma parte del proyecto de los “Archivos Predator”, en asociación con European Investigative Collaborations (EIC) y con el apoyo de reportajes adicionales en profundidad de Mediapart y Der Spiegel.

Entre febrero y junio de 2023, se usaron las plataformas de redes sociales X (antes Twitter) y Facebook para atacar públicamente a 50 cuentas como mínimo pertenecientes a 27 personas y 23 instituciones. El arma de cibervigilancia empleada para el ataque fue una herramienta de software espía invasivo llamada Predator, desarrollada y vendida por la alianza Intellexa. Esta alianza, que se publicita como una entidad “regulada y radicada en la UE”, es un grupo de empresas complejo y a menudo cambiante que desarrolla y vende productos de vigilancia como el programa espía Predator.

Predator es un tipo de programa espía sumamente invasivo. Esto significa que, una vez que se ha infiltrado en un dispositivo, tiene acceso sin restricciones a su micrófono y su cámara, y a todos sus datos, como contactos, mensajes, fotos y vídeos, con total desconocimiento de la persona usuaria. En la actualidad, dicho software espía no puede ser auditado de forma independiente y su funcionamiento no puede limitarse sólo a las funciones necesarias y proporcionadas a un uso específico.

“Una vez más, tenemos pruebas de que se están usando potentes herramientas de vigilancia en ataques descarados. En esta ocasión, los objetivos son periodistas en el exilio, figuras públicas y funcionarios y funcionarias intergubernamentales. Pero no nos equivoquemos: las víctimas somos toda la población, nuestras sociedades, la buena gobernanza y los derechos humanos de todas las personas”, afirmó Agnès Callamard, secretaria general de Amnistía Internacional.

Una vez más, tenemos pruebas de que se están usando potentes herramientas de vigilancia en ataques descarados. En esta ocasión, los objetivos son periodistas en el exilio, figuras públicas y funcionarios y funcionarias intergubernamentales. Pero no nos equivoquemos: las víctimas somos toda la población, nuestras sociedades, la buena gobernanza y los derechos humanos de todas las personas.

Agnès Callamard, secretaria general de Amnistía Internacional 

“La alianza Intellexa, desarrolladores con sede en Europa de Predator y otros productos de vigilancia, no ha hecho nada para limitar quién puede usar este programa espía y con qué fin. En su lugar, se está llenando los bolsillos sin tener en cuenta las graves implicaciones para los derechos humanos en juego. A raíz de este escándalo, no cabe duda de que la única respuesta eficaz es que los Estados impongan una prohibición mundial inmediata de los programas espías sumamente invasivos.”

Según un detallado informe publicado hoy por el Laboratorio sobre Seguridad de Amnistía Internacional, entre las personas atacadas —aunque no necesariamente infectadas— figuran la presidenta del Parlamento Europeo Roberta Metsola; la presidenta de Taiwán Tsai Ing-Wen; el congresista estadounidense Michael McCaul; el senador estadounidense John Hoeven; la embajadora alemana en Estados Unidos Emily Haber; y el europarlamentario francés Pierre Karleskind. También fueron atacados múltiples funcionarios y funcionarias, intelectuales e instituciones.

Una oleada descarada de ataques

El Laboratorio sobre Seguridad de Amnistía Internacional lleva algún tiempo investigando el uso del software espía Predator, potente y sumamente invasivo, y su relación con la alianza Intellexa.

Una cuenta de X (antes Twitter) controlada por los atacantes bajo el nombre de @Joseph_Gordon16 compartió muchos de los enlaces de ataque identificados que tenían como fin infectar a objetivos con el programa espía Predator. Uno de los primeros objetivos de esta cuenta fue el periodista originario de Vietnam afincado en Berlín Khoa Lê Trung, Redactor jefe de thoibao.de, sitio web de noticias bloqueado en Vietnam, que recibe amenazas de muerte en relación con su labor periodística desde 2018. Vietnam tiene un panorama mediático represivo en el que se suele intimidar a periodistas, blogueros y blogueras, y activistas de derechos humanos para que guarden silencio.

El ataque, aunque fue infructuoso, es especialmente significativo porque el sitio web y el periodista están radicados en la UE, y todos los Estados miembros de la Unión tienen la obligación de controlar la venta y transferencia de tecnologías de vigilancia.

“No se puede venderlas sin más a países como Vietnam. Esto también daña la libertad de prensa y la libertad de expresión de la ciudadanía aquí, en Alemania”, declaró Khoa a Amnistía Internacional.

La investigación halló que la cuenta @Joseph_Gordon16 estaba estrechamente vinculada a Vietnam y podría haber estado actuando en nombre de autoridades o grupos de interés vietnamitas.

En abril de 2023, el Laboratorio sobre Seguridad de Amnistía Internacional empezó a observar que el mismo usuario @Joseph_Gordon16 se dirigía a múltiples intelectuales y personas que trabajaban en asuntos marítimos, concretamente personal de investigación y responsables de las políticas de la UE y de la ONU sobre pesca ilegal o indocumentada. Vietnam había recibido una “tarjeta amarilla” de advertencia de la Comisión Europea en 2017 por pesca ilegal, no declarada y no reglamentada.

“Observamos decenas de casos en los que @Joseph_Gordon16 pegó en posts públicos en redes sociales un enlace malicioso que llevaba a Predator. A veces el enlace parecía perteneciente a un medio de noticias benigno, como The South China Morning Post, para inducir a quien lo viera a clicar en él”, dijo Donncha Ó Cearbhaill, director del Laboratorio sobre Seguridad de Amnistía Internacional.

Observamos decenas de casos en los que @Joseph_Gordon16 pegó en posts públicos en redes sociales un enlace malicioso que llevaba a Predator. A veces el enlace parecía perteneciente a un medio de noticias benigno, como The South China Morning Post, para inducir a quien lo viera a clicar en él. 

Donncha Ó Cearbhaill, director del Laboratorio sobre Seguridad de Amnistía Internacional

“Nuestro análisis demostró que clicar en el enlace podía hacer que el dispositivo del usuario o usuaria fuese infectado con Predator. No sabemos si algún dispositivo fue infectado y no podemos decir con absoluta certeza que el perpetrador estaba dentro del propio gobierno de Vietnam, pero tanto los intereses de la cuenta como los de las autoridades vietnamitas estaban estrechamente alineados.”

La investigación también reveló pruebas de que una empresa integrada en la alianza Intellexa había firmado un acuerdo de varios millones de euros por “soluciones de infección” con el Ministerio de Seguridad Pública de Vietnam a principios de 2020, con el nombre en código de “Angler Fish”. Documentos y registros de exportación confirmaron también la venta de Predator a dicho ministerio a través de empresas de intermediación.

“Creemos que esta infraestructura de ataque de Predator está asociada a un actor gubernamental de Vietnam”, dijo a Amnistía Internacional el equipo de investigación de seguridad de Google, que también analizó de forma independiente los enlaces maliciosos.

Software espía regulado por la UE libre para recorrer el mundo sin control

Predator también se puede usar en ataques de clic cero, lo que significa que puede infiltrarse en un dispositivo sin que la persona usuaria haya clicado en un enlace. Esto puede hacerse, por ejemplo, mediante lo que se conoce como “ataques tácticos”, que pueden infectar dispositivos próximos. En la actualidad, el software espía altamente invasivo no puede ser auditado de forma independiente y su funcionamiento no puede limitarse; Por consiguiente, es sumamente difícil investigar abusos ligados a su uso.

La investigación encontró la presencia de productos de la alianza Intellexa en al menos 25 países de Europa, Asia, Oriente Medio y África; y documenta cómo se han usado para socavar los derechos humanos, la libertad de prensa y movimientos sociales de todo el planeta.

La alianza Intellexa tiene entidades corporativas en diversos Estados, entre ellos Francia, Alemania, Grecia, Irlanda, República Checa, Chipre, Hungría, Suiza, Israel, Macedonia del Norte y Emiratos Árabes Unidos (EAU). Amnistía Internacional pide a todos estos Estados que revoquen de inmediato todas las licencias de comercialización y exportación emitidas a la alianza Intellexa. Asimismo, deben llevar a cabo una investigación independiente, imparcial y transparente para determinar el alcance de la selección ilegítima de objetos de vigilancia.

“Intellexa dice que es una ‘empresa regulada radicada en la Unión Europea’, lo que, en sí mismo, es una acusación condenatoria de cómo los Estados miembros y las instituciones de la Unión no han logrado impedir el alcance cada vez mayor de estos productos de vigilancia a pesar de una serie de investigaciones, como el Proyecto Pegasus en 2021. Tanto es así que, como pone de relieve esta investigación, incluso las instituciones y el funcionariado de la propia UE quedaron atrapados en su red”, dijo Agnès Callamard, secretaria general de Amnistía Internacional.

La investigación de los Archivos Predator halló que se habían vendido productos de la alianza Intellexa a 25 países como mínimo, Suiza, Austria y Alemania entre ellos. Otros clientes son Congo, EAU, Jordania, Kenia, Omán, Pakistán, Qatar, Singapur y Vietnam.

La alianza Intellexa debe poner fin a la producción y venta de Predator y de cualquier otro software espía similarmente invasivo que no incluya salvaguardias técnicas que permitan su uso legítimo en virtud de un marco normativo que respete los derechos humanos. También debería proporcionar una indemnización adecuada u otras formas de resarcimiento efectivo a las víctimas de vigilancia ilegítima.

El análisis de Amnistía Internacional de la infraestructura técnica reciente ligada al sistema del programa espía Predator indica una actividad relacionada, de una forma u otra, en Angola, Egipto, Mongolia, Kazajistán, Indonesia, Madagascar, Sudán y Vietnam, entre otros. Amnistía Internacional ha publicado indicadores de riesgo para ayudar a especialistas tecnológicos de la sociedad civil a identificar este software espía y responder a él.

Amnistía Internacional se puso en contacto con las entidades implicadas para pedirles comentarios, pero no recibió respuesta. No obstante, el consorcio EIC sí recibió respuesta de las principales entidades accionistas y de personas que ocuparon cargos ejecutivos del grupo Nexa, que afirman que la alianza Intellexa ha dejado de existir. En relación con Vietnam, dicen que el Grupo Nexa sólo cumplió parte del contrato sobre ciberseguridad. También afirman que las entidades de la alianza Intellexa “respetaron escrupulosamente la normativa en materia de exportación”, si bien reconocen que entablaron “relaciones comerciales” con países que “distaban mucho de ser perfectos en lo que se refiere al Estado de derecho”, añadiendo que a menudo ello estaba en función de “opciones políticas” del gobierno francés.

Amnistía Internacional escribió al Ministerio de Seguridad Pública de Vietnam solicitando sus comentarios, pero no obtuvo respuesta.

Pueden consultar aquí la versión íntegra del informe Los Archivos Predator: Emboscada en la red.