Se dio la alarma en directo
En
L’Aria Che Tira, el programa de La7, el ex número dos de la contrainteligencia italiana, Marco Mancini,
pronunció una frase destinada a generar debate: al hablar del caso
Paragon (cuyo software espía israelí
Graphite, acabó en el centro de una investigación parlamentaria de Comite Parlamentario para la Seguridad de la República por su uso contra periodistas y activistas), Mancini explicó que estas herramientas no solo podían espiar un teléfono, sino también
insertar material comprometedor sin el conocimiento del propietario, como fotografías, y luego provocar una detención basándose únicamente en la posesión de dicho material.
En una entrevista posterior, retomando el mismo tema, el ex agente 007 aclaró que
Graphite es una herramienta particularmente insidiosa precisamente por su dificultad de detección, y que, además de sus funciones de vigilancia, también puede utilizarse para el chantaje: quienes reciben inadvertidamente cierto contenido corren el riesgo de ser arrestados y verse obligados a demostrar su inocencia. Añadió, con un toque de paradoja política, que si este tipo de herramienta estuviera realmente destinada a ser utilizada contra alguien, los objetivos naturales serían otros, no los periodistas que acabaron bajo vigilancia en el caso italiano.
En ese mismo contexto, y siguiendo hablando del caso Paragon, Mancini hizo hincapié en que el software espía ya había interceptado a alrededor de un centenar de personas y que, con estas herramientas, potencialmente se podría rastrear cualquier cosa; de ahí su petición de que los servicios secretos italianos aclaren públicamente quién autorizó qué.
No es ciencia ficción: la lógica técnica del riesgo.
La declaración de Mancini no es una invención ni una exageración propia de un programa de entrevistas televisivo. Es un temor compartido desde hace años por la comunidad internacional de ciberseguridad, que comenzó con estudios (como Citizen Lab) que han documentado en detalle el funcionamiento de programas espía similares, como Pegasus del Grupo NSO [fundado el 25 de Enero de 2010 por Niv Carmi, Omrí Lavie (abandonó la compañía un mes después de su fundación) y Shalev Hulio (ex miembros de la Unidad 8-200, la Unidad Central de Recolección de los Cuerpos de Inteligencia de las FDI), y con sede en Herzliya, cerca de Tel Aviv. Grupo NSO (subsidiaria del Grupo Q Cyber Technologies) es el nombre que utiliza en Israel, mientras que usa OSY Technologies en Luxemburgo, y en Norteamérica tiene una subsidiaria llamada Westbridge, aparte de los nombres con que pueda operar en otros países. Por su parte, el software espía Pegasus se ha utilizado para atacar a activistas de derechos humanos y periodistas en varios países, se utilizó para espionaje estatal contra Pakistán, para vigilancia interna sin orden judicial de ciudadanos israelíes por parte de la policía israelí, y desempeñó un papel en el asesinato del periodista disidente Jamal Khashoggi por agentes del gobierno saudí, N. del T.].
El principio técnico es tan simple como inquietante: el software espía de nivel estatal, capaz de acceder de forma profunda y persistente a un dispositivo, no está diseñado para ser atacado de forma exclusiva. Un sistema capaz de leer datos de un teléfono (mensajes, fotos, ubicación, micrófono, cámara) casi siempre también es capaz de escribirlos. No existe ninguna barrera técnica que obligue a la herramienta a limitarse a la vigilancia pasiva: la capacidad de manipular el contenido del dispositivo es inherente al mismo nivel de acceso requerido para espiarlo.
Esto significa que el riesgo que Mancini destacó no es una posibilidad remota, sino una consecuencia directa de las características técnicas de estos instrumentos. La verdadera pregunta no es «¿es posible?», sino «¿quién controla a quienes lo hacen y con qué garantías?».
La cuestión de las entidades privadas
Aquí reside la cuestión más delicada, que va más allá de una simple declaración televisada. Herramientas como Graphite (Paragon) o Pegasus (NSO Group) no son desarrolladas por agencias estatales, sino por empresas privadas que las venden a gobiernos clientes en todo el mundo. Esto crea una zona gris en cuanto a la responsabilidad:
- ¿Quién controla físicamente el dispositivo? A menudo, el fabricante privado mantiene un papel activo en el mantenimiento, las actualizaciones y, en algunos casos, el funcionamiento técnico del sistema incluso después de haberlo vendido a un gobierno. La línea que separa el control estatal del control corporativo no siempre es clara.
- ¿A quién se vende? Las investigaciones periodísticas del “Proyecto Pegasus”, llevado a cabo por un consorcio de medios de comunicación internacionales, han documentado el uso de estas herramientas por parte de gobiernos contra periodistas, abogados y disidentes en decenas de países.
Si una entidad privada, guiada por la lógica comercial en lugar del control democrático, puede vender esta capacidad a cualquiera que tenga los recursos para comprarla, el riesgo de abuso se multiplica.
Defenderse en los tribunales: una batalla desigual.
Admitir que la manipulación de pruebas digitales es técnicamente posible plantea una pregunta práctica e incómoda: ¿cómo puede uno defenderse realmente de ser una víctima?
El derecho procesal italiano prevé protección, pero con importantes limitaciones. El Código de Procedimiento Penal (artículos 234 y siguientes) regula la obtención y admisibilidad de pruebas digitales, y la Ley 48/2008 exige a la policía judicial que siga protocolos de adquisición rigurosos, que requieren una documentación detallada de la cadena de custodia digital. En teoría, el acusado puede designar a un perito técnico para impugnar la autenticidad de las pruebas.
El problema radica en la fragilidad inherente de las pruebas digitales: una vez que su integridad se ve comprometida, a menudo resulta imposible demostrar la manipulación, dado que los datos originales ya no están disponibles para su comparación. La jurisprudencia reconoce desde hace tiempo que el acceso indebido al dispositivo puede comprometer irreparablemente la autenticidad de la prueba, dejando a la defensa sin las herramientas necesarias para demostrar su discrepancia con el original.
Para complicar aún más las cosas, el software espía más sofisticado está diseñado para ser difícil de detectar y, a menudo, no persistente: muchas infecciones no dejan rastros visibles después de un simple reinicio del dispositivo, lo que significa que incluso un examen técnico exhaustivo puede no encontrar nada, no porque el software espía nunca haya estado allí, sino porque se “evaporó” antes del análisis.
El coste de la defensa: un problema de recursos, no solo de derecho.
Existe una herramienta gratuita de código abierto llamada Mobile Verification Toolkit (MVT) que permite buscar indicios de vulneración de seguridad en un dispositivo. Es útil para determinar si existe algún problema, pero requiere conocimientos técnicos avanzados (uso de la línea de comandos, sistemas Linux o macOS) y, lo que es más importante, carece de valor probatorio en un tribunal a menos que vaya acompañada de un informe pericial formal, con una cadena de custodia documentada y un perito certificado.
Un análisis forense apto para procedimientos judiciales —una copia certificada bit a bit del dispositivo, análisis con herramientas profesionales e informe técnico defendible ante un tribunal— tiene costes que pueden variar significativamente según la complejidad del caso, pero que, en la práctica, oscilan entre unos pocos miles de euros y, fácilmente, superan las decenas de miles en los casos más complejos. Estas cifras están fuera del alcance de muchas personas.
Este desequilibrio económico agrava el problema subyacente: quienes tienen recursos —un Estado, una empresa estructurada, una organización con medios técnicos y financieros— pueden permitirse atacar, pero quienes son sus víctimas a menudo no pueden permitirse defenderse al mismo nivel técnico.
El juicio como castigo, independientemente del resultado.
Finalmente, hay un último elemento, quizás el más inquietante, que surgió precisamente al considerar este escenario: incluso si una posible víctima demostrara su inocencia, el daño ya estaría hecho. Arrestos, registros, incautación de dispositivos, exposición mediática y, a menudo, daños irreparables a la reputación ocurren independientemente del resultado final del proceso. Esto es lo que los criminólogos a veces describen como la “pena del proceso” [También conocida como “Estigma procesal”, es la afectación emocional, social, económica y psicológica inherente a un proceso penal, independientemente de su resultado. No debe confundirse con la “pena del juicio”, la disyuntiva entre declararse culpable negociando con la fiscalía una pena menor así las pruebas sean ilegales y se renuncie a apelar, o arriesgarse a una condena mayor al ejercer el derecho a la defensa ante un tribunal o jurado, N. del. T.]: para quienes desean atacar a un objetivo difícil —un periodista, un magistrado o un abogado—, ni siquiera sería necesario obtener una condena. Bastaría con iniciar el proceso.
Conclusión
Es importante aclarar un punto: hasta la fecha, no existen casos públicos, confirmados judicialmente ni documentados periodísticamente en los que se haya utilizado software espía de este tipo para implantar pruebas falsas en un dispositivo. Lo que describe Mancini sigue siendo una capacidad técnica plausible, reconocida por expertos en seguridad, y no un abuso previo.
Sin embargo, esta declaración no debe descartarse como una simple provocación televisiva. Describe un riesgo técnicamente válido, reconocido desde hace años por la comunidad internacional de ciberseguridad, y que se vuelve aún más concreto por el hecho de que las herramientas capaces de generarlo son producidas y vendidas por entidades privadas.
Sin embargo, el verdadero problema no es solo tecnológico: es una cuestión de responsabilidad. ¿Quién decide a quién atacar, quién verifica que no haya abusos y qué garantías reales tienen los ciudadanos comunes —que carecen de recursos económicos comparables a los de un Estado— para defenderse de un ataque de este tipo? Mientras estas preguntas no tengan respuestas institucionales claras, la mera existencia de estas herramientas seguirá siendo un problema de seguridad colectiva, y no solo una hipótesis de debate público.
