Al poco de tomar posesión en 2018, un nutrido grupo de altos cargos de La Moncloa nombrados por el presidente Pedro Sánchez fueron invitados a visitar el Centro Nacional de Inteligencia (CNI). En su sala de crisis se les hizo, bajo la atenta mirada del director del servicio secreto, Félix Sanz Roldán, una demostración de la vulnerabilidad de los móviles ante los ciberataques. "Nos quedamos atónitos", recuerda uno de los asistentes. Se les impartieron, de paso, unos cuantos consejos sobre cómo intentar protegerse. Abarcaban desde mantener actualizado el sistema operativo del dispositivo hasta revisar los permisos otorgados a las aplicaciones, pasando por apagarlo con regularidad y evitar conectarse a redes WiFi abiertas. A juzgar por lo que pasó después, cayeron en saco roto. La primera brecha de seguridad quedó puesta de relieve cuando el 22 de abril de 2021 las autoridades de Marruecos desvelaron, a través de un seudomedio de comunicación creado —entonces con apenas meses de actividad, como demuestra WebArchive, y hoy inactivo— y otros dos afines (Jeune Afrique en París y Le360.fr en Casablanca) que el líder del Frente Polisario, Brahim Ghali, había ingresado en un hospital de Logroño para ser tratado de covid. Voló desde Argel, vía Zaragoza, con identidad falsa. Hacía entonces casi tres años que la Dirección General de Vigilancia del Territorio (DGST) marroquí había infectado su primer móvil español, el de Aminetou Haidar, según la investigación publicada el jueves por El Confidencial y un consorcio internacional de medios liderado por Forbidden Stories. Después lo intentó con al menos otros 250 teléfonos. Es probable que, gracias a ese hackeo masivo, los agentes marroquíes se enterasen de la presencia de Ghali en España. TE PUEDE INTERESAR Pegasus Project: en las entrañas del espionaje marroquí POR José Bautista Miguel Ángel Gavilanes Ignacio Cembrero Hicham Mansouri Laura Martín Javier G. Fernández El siguiente fallo quedó al descubierto un mes después, a finales de mayo de 2021, cuando el Centro Criptológico Nacional (CCN), que depende del CNI, se llevó para inspeccionar el móvil de la ministra de Asuntos Exteriores Arancha González Laya. Le confirmaron que estaba comprometido, aunque no le precisaron con qué programa malicioso. El Gobierno español nunca reconoció esa infección del dispositivo de la ministra, pero tampoco la desmintió. González Laya sí habló de ella e incluso la hizo pública, un año después, en una entrevista con El Periódico. Dejó incluso caer que Marruecos había propiciado ese ciberataque. Fue ella quien negoció con su homólogo argelino, Sabri Boukadoum, el traslado clandestino de Ghali a España. El ministro Félix Bolaños, junto a la ministra y exportavoz del Gobierno, Isabel Rodríguez, durante la rueda de prensa en la que informaron a la ciudadanía de los ataques sufridos con Pegasus, el martes 02 de mayo de 2022, en el Palacio de La Moncloa. (EFE/Sergio Pérez) El hallazgo en el teléfono de la jefa de la diplomacia debería haber provocado la toma inmediata de medidas de seguridad, empezando por la revisión de los móviles de todos los altos cargos que hubieran tenido alguna relación con la larga crisis entre España y Marruecos que alcanzó su punto álgido en mayo de 2021. Nada de eso se hizo. Las autoridades marroquíes alentaron ese mes de mayo a más de 10.000 inmigrantes a entrar en Ceuta en menos de 48 horas. Hubo "instrucciones dadas desde Rabat a las fuerzas y cuerpos de seguridad para que relajasen la vigilancia de la franja costera desde Larache a Saidia en la fachada mediterránea", según un informe reservado del CNI del 19 de mayo de 2021 al que tuvo acceso El Confidencial. TE PUEDE INTERESAR Simultáneamente, "las autoridades locales dieron instrucciones a los taxistas y dueños de pequeños medios de transporte de poner sus vehículos a disposición del traslado de inmigrantes subsaharianos para llevarles a las cercanías de Ceuta” el 17 de mayo, prosigue el informe. Además, "en la frontera de El Tarajal [con Ceuta] apenas se observó presencia policial marroquí (…)", añade. Sánchez montó en cólera Esa revisión de los móviles oficiales españoles se demoró 11 meses, hasta abril de 2022. El análisis forense del CCN determinó entonces que los dispositivos de Pedro Sánchez y la ministra de Defensa, Margarita Robles, estaban infectados. En el caso del presidente, lo estaba desde octubre de 2020, mucho antes de que aflorara la tensión con el vecino marroquí, según el primero de los autos (julio de 2023) del magistrado José Luis Calama de la Audiencia Nacional. Las mayores descargas de información se produjeron, sin embargo, en mayo de 2021, cuando la crisis bilateral alcanzó su cenit, según la información remitida al juez Calama por el CCN. Otros dos teléfonos fueron también contaminados, el del ministro del Interior, Fernando Grande-Marlaska, y el del de Agricultura, Luis Planas. Este debió de resultar impenetrable para los atacantes, a juzgar por la pequeña cantidad de datos (1 kilobyte) que extrajeron de él. Sede del CNI, del que depende el CCN. (Europa Press/Eduardo Parra) Tras ese hallazgo del CCN, Sánchez montó en cólera en La Moncloa, según recuerdan testigos de la ira presidencial. Tomó también una decisión que dejó atónita a la comunidad de inteligencia española y a la de países aliados: denunciar en la Audiencia Nacional los ciberataques. Desveló así urbi et orbi la vulnerabilidad de las comunicaciones entre miembros del Ejecutivo. Curiosamente, no solo no sancionó al responsable de esa brecha en la seguridad del Estado, sino que le ascendió. TE PUEDE INTERESAR Marruecos espió con Pegasus cientos de móviles españoles, más allá del Gobierno POR Ignacio Cembrero José Bautista Miguel Ángel Gavilanes Hicham Mansouri EC Diseño EC Vídeo Sólo hay un caso, en la reciente historia del espionaje, en el que un país ha reconocido abiertamente que las comunicaciones de sus líderes fueron interceptadas. En octubre de 2013, la canciller alemana Angela Merkel llamó al presidente Barack Obama para protestar por las escuchas a su teléfono de la National Security Agency de EEUU. Desde La Moncloa no se ha formulado queja pública alguna contra nadie. La judicialización de los ataques sufridos con Pegasus fue anunciada el 2 de mayo de 2022 por Félix Bolaños, que era entonces secretario general de la Presidencia del Gobierno y, por tanto, responsable de la seguridad de las comunicaciones. Dos meses después, el 10 de julio, fue nombrado ministro de la Presidencia y de las Relaciones con las Cortes. La no asunción de responsabilidades por Bolaños hizo temer a Margarita Robles que endosaran al CCN y al CNI, ambos bajo su autoridad, la culpa del gigantesco fallo. "Dediquen un minuto de tiempo a ver de quién depende la seguridad del móvil del presidente del Gobierno", declaró entonces Robles a la prensa para evitar ser señalada como la causante del desaguisado. En privado, fue más explícita y apuntó a Bolaños, según recuerdan los periodistas que la escucharon. La ministra y exportavoz del Gobierno de España, Isabel Rodríguez, y la ministra de Defensa, Margarita Robles, durante la comparecencia en la que anunciaron la destitución de la presidenta del CNI por parte del Gobierno a raíz del escándalo del espionaje mediante el sistema Pegasus a miembros independentistas y al Gobierno. (Europa Press/Alejandro Martínez Vélez) El desorden era total entonces en las comunicaciones gubernamentales. Sólo unos pocos altos cargos recurrían al ComSec, una aplicación superencriptada de Indra instalada en sus móviles, para comunicarse entre ellos. Tampoco actualizaban sus parches antivirus, desatendiendo así las recomendaciones del CCN, ni sometían sus teléfonos a revisiones periódicas. "Eran unos perezosos", recuerda un funcionario de La Moncloa ahora jubilado. "Que entiendan que España se ha convertido en un Estado infiltrado", comentó un exagente de la DGST marroquí que huyó del país. Tanto el CCN como el Departamento de Seguridad Nacional presionaron en 2022 para que la seguridad de los móviles fuese transferida a este último organismo, que también está integrado en la Presidencia del Gobierno y en el que abundan los militares. Óscar López, entonces jefe de gabinete de Pedro Sánchez, se resistió a ello. Temía que con ese trasvase se reconociese que el sistema hasta entonces vigente no funcionaba correctamente. Hubo que esperar hasta 2024 para que se produjera el cambio. TE PUEDE INTERESAR El consorcio de esta investigación periodística, coordinado por Forbidden Stories, preguntó a La Moncloa si había habido alguna negligencia en la seguridad de las comunicaciones telefónicas y qué medidas se habían tomado, a partir de 2022, para garantizar su inviolabilidad. No recibió respuesta alguna. Ese mismo año (2024) el CCN publicó un informe en el que repasaba "las potencias cibernéticas que suponen un riesgo para España". Señalaba a China, Rusia, Irán y hasta Corea del Norte, pero omitía Marruecos. Ni siquiera mencionaba Pegasus, pese a que sus informáticos sí establecieron que fue con ese programa con el que piratearon a Sánchez y sus ministros. El presidente del Gobierno, Pedro Sánchez, interviene en una sesión plenaria, en el Congreso de los Diputados, a 26 de mayo de 2022, en Madrid. Durante el pleno, el Ejecutivo central debía responder a las preguntas de la oposición centradas en el espionaje realizado con Pegasus a miembros del Gobierno y a líderes políticos independentistas. (Europa Press/Eduardo Parra) La denuncia que puso, en mayo de 2022, la Abogacía del Estado en la Audiencia Nacional por encargo del Gobierno no estuvo acompañada del respaldo diplomático necesario para conseguir que Calama, el magistrado del juzgado de instrucción Nº 4, pudiese investigar a fondo. Pegasus es un programa malicioso desarrollado por la empresa israelí NSO Group. Requiere la autorización del Ministerio de Defensa para ser exportado. El juez español pidió en varias ocasiones poder llevar a cabo una comisión rogatoria en Israel. No obtuvo respuesta. TE PUEDE INTERESAR En sus autos de 2023 y 2024, Calama se quejó de la "absoluta falta de cooperación jurídica" israelí que "ha frustrado la continuación de la investigación" y también del inexistente apoyo diplomático español. No deja de ser extraño que un Gobierno como el de Sánchez, que ha sido tan crítico con Israel estos últimos años, no mostrara interés en ayudar al magistrado en sus pesquisas. Preguntado sobre esa carencia de respaldo al juez Calama, el Ministerio de Asuntos Exteriores español no contestó. En sus réplicas a los reproches de Sánchez, Israel no ha usado el material descargado por la DGST marroquí porque no obra en su poder. Un exagente de este servicio secreto marroquí, que huyó del país, asegura que NSO Group solo tiene registros de los números atacados y de los intentos perpetrados hasta comprometerlo, pero no de lo que se extrajo de él. Al cierre de esta edición, no habían respondido a las preguntas remitidas por el consorcio de medios que elaboró esta investigación: Moncloa, Ministerio del Interior, Ministerio de Defensa y Ministerio de Asuntos Exteriores. Sobre Pegasus Project El Confidencial forma parte de un consorcio de 39 periodistas coordinado por Forbidden Stories y en el que también participan el Laboratorio de Seguridad de Amnistía Internacional, Le Monde, Radio France, The Guardian, Haaretz, Die Zeit, Der Spiegel, Der Standard, OCCRP, Código Morse, Paper Trail Media, Hawamich y Tamedia.