Pegasus vuelve a golpear a Europa

Pegasus no es un caso del pasado ni una anécdota para reportes de ciberseguridad. Es una pieza central para entender cómo se mezcla el espionaje comercial con la política y la vigilancia digital. Cuando una herramienta de este tipo aparece vinculada al Parlamento Europeo, el problema deja de ser solo técnico: pasa a ser institucional, democrático y, sobre todo, humano.

La investigación de Citizen Lab sobre el ataque a un miembro del comité que investigaba spyware puso otra vez el foco sobre una pregunta incómoda: ¿quién vigila a quienes investigan la vigilancia? Ese es el punto de partida de este artículo. Si Pegasus puede comprometer teléfonos de periodistas, activistas o legisladores, entonces no estamos hablando de un caso aislado, sino de una industria que sigue operando con consecuencias reales.

Qué pasó y por qué importa

Citizen Lab documentó que un miembro del comité del Parlamento Europeo que investigaba el uso de spyware fue comprometido con Pegasus. La relevancia del caso no está solo en el nombre del software, sino en el contexto: se trataba de una persona involucrada en una investigación sobre el propio ecosistema de espionaje digital. Eso vuelve el ataque especialmente grave, porque apunta a una cadena de supervisión democrática que debería protegerse más, no menos.

Pegasus es desarrollado por NSO Group, una empresa israelí que ha sido señalada durante años por su papel en el mercado de software de intrusión. Según esa investigación y otras reportadas por organizaciones de derechos digitales, la herramienta ha sido usada para infiltrar teléfonos móviles sin que la víctima tenga que hacer clic en un enlace o abrir un archivo. En varios casos documentados, basta con explotar fallas en aplicaciones o el sistema operativo.

La consecuencia práctica es simple: si tu teléfono queda comprometido, el atacante puede acceder a mensajes, llamadas, contactos, fotos, ubicación y, en algunos escenarios, incluso micrófono y cámara. Eso cambia por completo el nivel de riesgo para periodistas que protegen fuentes, activistas que coordinan protestas y legisladores que manejan información sensible.

Por qué el Parlamento Europeo no es un blanco cualquiera

El Parlamento Europeo no es una oficina más. Ahí se discuten normas que pueden afectar a empresas de vigilancia, proveedores de telecomunicaciones, plataformas digitales y políticas de derechos fundamentales. Cuando un miembro de un comité investigador aparece como víctima, el ataque no solo busca información: también puede buscar influir en el proceso político.

Hay otro detalle que no conviene pasar por alto. Los ataques con spyware comercial suelen operar en la zona gris entre la legalidad formal y el abuso. La empresa vende a gobiernos o agencias, pero el uso final puede desbordar cualquier justificación inicial. Por eso estos casos generan tanta discusión: no se trata solo de un fallo de seguridad, sino de un modelo de negocio que facilita intrusión avanzada.

Cómo funciona Pegasus en la práctica

Pegasus se hizo famoso por su capacidad de entrar en teléfonos con técnicas de explotación que, en algunos casos, no requieren interacción del usuario. Eso se conoce como zero-click o ataque sin clic. Si te suena extremo, lo es: el objetivo no tiene que hacer nada para quedar expuesto.

Citizen Lab y otras organizaciones han mostrado durante años cómo este tipo de spyware puede llegar a través de mensajes, llamadas o servicios de mensajería. Aunque el detalle técnico cambia con el tiempo, el patrón se repite: el atacante aprovecha vulnerabilidades antes de que el fabricante las corrija. Por eso el problema no desaparece con “tener cuidado”. No depende solo de hábitos del usuario.

Zero-click, la parte más peligrosa

Un ataque zero-click es especialmente serio porque rompe la defensa más básica que solemos recomendar: no abrir enlaces raros ni descargar archivos sospechosos. Aquí no hay archivo sospechoso visible. El vector puede estar en una app de mensajería, una llamada perdida o un servicio del sistema que procesa contenido automáticamente.

Para un periodista o un legislador, eso cambia la ecuación. Si tu teléfono puede ser comprometido sin que hagas nada, entonces el riesgo no está solo en tu comportamiento, sino en el valor político o informativo que representas. En otras palabras, el objetivo no eres tú por descuido, sino por tu acceso a datos, agendas y contactos.

Qué puede hacer un spyware así

A nivel práctico, un spyware avanzado puede extraer información muy sensible. No siempre se confirma cada capacidad en cada caso, pero el patrón documentado incluye acceso a mensajes, historial de llamadas, archivos, micrófono, cámara y geolocalización. En investigaciones forenses, esto suele dejar rastros mínimos, lo que complica mucho la detección.

Aquí conviene pensar en ejemplos concretos. Si un periodista tiene en su teléfono el contacto de una fuente que denuncia corrupción, una captura de pantalla de documentos filtrados o el itinerario de una reunión, el impacto no es abstracto. Puede poner a una persona en riesgo laboral, legal o físico. Ese es el nivel de daño que explica por qué Pegasus sigue apareciendo en titulares.

El negocio detrás del spyware comercial

El caso Pegasus no se entiende bien si lo reduces a “hackers contra políticos”. Hay una industria completa detrás: empresas que venden capacidades de intrusión a gobiernos, intermediarios que facilitan contratos, y marcos legales que muchas veces llegan tarde. Ese mercado existe porque hay demanda por vigilancia de alto nivel, y porque el teléfono se volvió el centro de la vida digital.

En el debate público, suele confundirse spyware con malware común. No es lo mismo. Un troyano bancario busca robar credenciales o dinero. Un spyware comercial de este nivel apunta a infiltración persistente, extracción silenciosa de datos y vigilancia de objetivos específicos. Es una herramienta de inteligencia, no un fraude masivo.

Espionaje comercial versus vigilancia estatal

La frontera entre ambos mundos es más porosa de lo que parece. Una empresa privada desarrolla la tecnología, pero el uso final suele recaer en agencias estatales o cuerpos vinculados al Estado. Eso crea un problema doble: por un lado, la opacidad del proveedor; por otro, la falta de control efectivo sobre quién usa la herramienta y con qué límites.

En Europa, el debate se intensificó porque varios casos apuntaron a abusos contra periodistas, opositores y defensores de derechos. Cuando el objetivo no es un criminal violento sino una voz crítica, el spyware deja de ser una herramienta de seguridad nacional para convertirse en un mecanismo de presión política. Y eso erosiona la confianza en las instituciones.

Datos concretos que sí conviene tener presentes

Qué nos dice este caso sobre Europa

Europa suele presentarse como un espacio con más salvaguardas democráticas que otras regiones. Y en parte es cierto: hay más debate público, más normativa de privacidad y más control parlamentario. Pero este caso muestra que esas barreras no bastan si la infraestructura de vigilancia comercial sigue circulando con relativa facilidad.

El golpe al Parlamento Europeo también tiene una lectura política. Si un comité que investiga spyware puede ser atacado con spyware, el mensaje para el resto de actores es claro: investigar este mercado tiene costos. Ese efecto intimidatorio no siempre se ve en una auditoría técnica, pero sí en la conducta de quienes deciden si exponen un caso o no.

Según la documentación oficial de la Unión Europea sobre protección de datos y ciberseguridad, la privacidad no es solo un derecho individual sino una base para el funcionamiento institucional. Puedes revisar el marco general en el sitio de la Comisión Europea sobre protección de datos: https://commission.europa.eu/law/law-topic/data-protection_en. También vale la pena mirar la Agencia de la Unión Europea para la Ciberseguridad: https://www.enisa.europa.eu/.

Periodistas y activistas, los objetivos más expuestos

Los periodistas son un blanco obvio porque trabajan con fuentes, documentos y cronologías. Si un teléfono se compromete, el atacante puede reconstruir redes enteras de contactos. Eso no solo afecta a una persona, sino a la cadena completa de confidencialidad que sostiene una investigación.

Con activistas y defensores de derechos pasa algo parecido. Muchas veces coordinan acciones por mensajería móvil, comparten ubicaciones para encuentros y guardan evidencia en el teléfono. Un atacante con acceso a ese dispositivo puede anticipar movimientos, identificar aliados y desactivar campañas antes de que se hagan públicas.

Qué puedes hacer si te preocupa Pegasus

No existe una receta perfecta para eliminar el riesgo, pero sí puedes reducirlo. Lo primero es entender que la higiene digital básica ayuda, aunque no resuelve ataques sofisticados. Mantener el sistema actualizado, revisar permisos y usar autenticación fuerte sigue siendo útil. Solo que, frente a spyware de nivel alto, eso no alcanza por sí solo.

Si trabajas en periodismo, activismo o política, conviene pensar en un modelo de defensa por capas. No se trata de paranoia, sino de gestión de riesgo. Un teléfono no debería ser el único lugar donde guardas datos sensibles, y tus canales de comunicación no deberían depender de una sola app.

Medidas prácticas que sí puedes aplicar

1. Mantén iOS o Android siempre actualizados. Las correcciones de seguridad suelen cerrar fallas que estos spyware explotan.
2. Usa un gestor de contraseñas y activa 2FA en todas tus cuentas críticas.
3. Separa el teléfono personal del de trabajo si manejas fuentes o documentos delicados.
4. Evita guardar chats sensibles sin necesidad y borra metadatos de archivos cuando corresponda.
5. Revisa permisos de micrófono, cámara, ubicación y accesibilidad en tus apps.
6. Si eres un objetivo de alto riesgo, consulta recursos especializados como el Security Lab de Amnesty International: https://securitylab.amnesty.org/.

Si eres periodista o legislador, sube el nivel de cuidado

En entornos de alto riesgo, la seguridad digital no puede ser improvisada. Conviene tener protocolos para reuniones, viajes, backups y comunicación con fuentes. También ayuda acordar qué información se comparte por teléfono y qué se reserva para canales más seguros o encuentros presenciales.

Otro punto clave es la respuesta ante sospecha de infección. No basta con “reiniciar y seguir”. Si crees que tu dispositivo pudo ser comprometido, documenta fechas, guarda capturas, cambia credenciales desde un equipo limpio y busca apoyo técnico forense. En casos así, actuar rápido puede evitar más daño.

Tabla resumen

Pegasus sigue siendo una amenaza real porque encaja demasiado bien con las necesidades de vigilancia de actores poderosos y con la fragilidad de los teléfonos como centro de nuestra vida digital. El caso europeo no es una excepción extraña. Es una señal de que el mercado de spyware continúa operando con suficiente alcance como para tocar instituciones, prensa y sociedad civil.

Si tú trabajas cerca de temas públicos, este no es un problema lejano. Es un recordatorio de que la seguridad digital ya no se limita a proteger cuentas, sino a proteger procesos democráticos completos. Y cuando el blanco es quien investiga el abuso, el mensaje alcanza a todos los demás.