Hace unos días, nuestro CEO, Pablo F. Iglesias, fue entrevistado en el programa Una Tarde Más de Onda Cero, con Alicia Heras, para hablar sobre la crisis de Ceuta y si se podría haber evitado.
La conversación fue mucho más allá de la migración.
Porque en cuanto se empieza a tirar del hilo de la inteligencia, el análisis OSINT y la presión geopolítica de Marruecos, aparece casi de forma inevitable un nombre que en CyberBrainers llevamos años siguiendo de cerca: Pegasus, y el presunto espionaje al teléfono de Pedro Sánchez.
Y ahí es donde queremos detenernos hoy.
No tanto en la geopolítica, que ya dimos por explicada en el blog personal de Pablo, sino en algo que nos toca de lleno como consultora especializada en seguridad de la información y blindaje reputacional: ¿por qué, años después de aquel caso, seguimos sin normalizar el uso de móviles diseñados específicamente para proteger a este tipo de perfiles?
Ceuta como espejo de un problema mucho más amplio
Durante la entrevista, Pablo explicó algo que repetimos constantemente a nuestros clientes: la tecnología para anticipar una crisis casi siempre existe antes que la crisis misma.
En el caso de Ceuta, tanto el CNI como empresas privadas especializadas en inteligencia de fuentes abiertas llevaban meses monitorizando hashtags, canales de Telegram y perfiles de Instagram vinculados a los movimientos migratorios marroquíes. Puedes leer el detalle completo de esa metodología, incluidos los hashtags concretos que se vigilan, en el análisis de nuestro CEO sobre cómo el OSINT se ha vuelto accesible para cualquiera.
Lo relevante para nosotros, desde el punto de vista de la ciberseguridad y la gestión de crisis, es este patrón que vemos una y otra vez, tanto en clientes particulares como en instituciones: la señal de alarma rara vez falla. Lo que falla es la voluntad de actuar sobre ella.
Y ese mismo patrón se repite, con una simetría casi incómoda, en el otro asunto que salió en la entrevista.
El hackeo a Pedro Sánchez: lo que ya sabíamos y lo que ha vuelto a la actualidad
En 2022, el Gobierno español confirmó oficialmente que los móviles de Pedro Sánchez y de la entonces ministra de Defensa habían sido infectados con Pegasus, el software espía de nivel militar desarrollado por la empresa israelí NSO Group. El espionaje se situó en 2021, y todo apuntaba a un actor estatal como responsable.
Ese caso, que muchos daban por cerrado, ha vuelto a primer plano estas últimas semanas.
Un colectivo de hackers conocido como Jabaroot filtró los datos de más de 70.000 agentes de los servicios de inteligencia y seguridad marroquíes, y a continuación insinuó algo mucho más delicado: que dispone de los datos originales del supuesto espionaje mediante Pegasus a Pedro Sánchez. Puedes ampliar toda la cronología de esta filtración en este reportaje de El Independiente.
Ese anuncio se conoció apenas unas horas antes de que Pablo entrara en directo en Onda Cero.
¿Casualidad? Puede. Pero, en nuestra experiencia gestionando crisis reputacionales de alto perfil, las filtraciones casi nunca se producen en el momento menos estratégico para quien las difunde.
Desde CyberBrainers ya explicamos con detalle cómo funciona Pegasus técnicamente y qué hacemos cuando un cliente sospecha haber sido espiado con esta u otras herramientas similares, en este artículo sobre el análisis forense que aplicamos ante estos casos. Y la conclusión, año tras año, sigue siendo la misma: detectar Pegasus a tiempo es extraordinariamente difícil, incluso para las grandes tecnológicas.
Lo cual nos lleva directamente a la pregunta que de verdad importa.
¿Existen móviles pensados para resistir esto? Sí, y así funcionan
La respuesta corta es que sí.
Existen terminales específicamente modificados para presidentes, altos ejecutivos, jueces y whistleblowers, con capas adicionales de cifrado de extremo a extremo, conexiones que pasan íntegramente por VPN privadas, y arquitecturas pensadas para reducir al mínimo la superficie de ataque frente a spyware de nivel estatal.
Nuestro CEO investigó en profundidad este mercado, todavía muy desconocido para el gran público, en esta investigación sobre los móviles seguros y privados que usan presidentes, ejecutivos y jueces, donde explica desde los dispositivos «no inteligentes» que se usaban hasta hace poco, hasta los smartphones modificados que hoy combinan seguridad de nivel militar con las aplicaciones de comunicación que cualquier alto cargo necesita en su día a día.
La pregunta, entonces, no es si la tecnología existe.
La pregunta es por qué no se exige su uso de forma sistemática a quienes gestionan información de Estado.
Porque si algo demuestra el caso Sánchez es que un ataque de este calibre no distingue entre un presidente del Gobierno y un ciudadano cualquiera. Distingue, eso sí, entre quien ha tomado medidas de protección específicas y quien sigue usando el mismo terminal de consumo que cualquiera de nosotros.
Por qué esto nos importa, incluso si no eres jefe de Estado
En CyberBrainers trabajamos habitualmente con perfiles que, sin ser presidentes de gobierno, manejan un nivel de exposición muy similar: directivos de grandes empresas, patrimonios elevados, referentes digitales, e incluso víctimas de fraude que llegan a nosotros después de haber sido comprometidas precisamente por no haber tomado estas precauciones a tiempo.
La lección que dejan Ceuta y el caso Sánchez es exactamente la misma que aplicamos con cada cliente: la seguridad de las comunicaciones no es un lujo reservado a jefes de Estado, es una capa de protección que cualquier perfil de alta exposición debería incorporar antes de que ocurra el incidente, no después.
Tenemos recogidas algunas de estas medidas básicas, aplicables a cualquier smartphone actual, en nuestra guía de recomendaciones de privacidad para el móvil. No sustituyen a un terminal específicamente blindado, pero reducen de forma notable la superficie de ataque disponible frente a la mayoría de amenazas.
Lo que ha vuelto a poner sobre la mesa la entrevista de nuestro CEO en Onda Cero es que, tanto en política exterior como en ciberseguridad personal, la tecnología para anticiparse casi siempre llega antes que la decisión de usarla.
Y esa distancia entre lo que es técnicamente posible y lo que finalmente se decide proteger es, precisamente, el espacio en el que trabajamos cada día en CyberBrainers.
¿Tu empresa o tu equipo directivo ha revisado alguna vez qué nivel de exposición tienen sus comunicaciones frente a un ataque de este tipo? Cuéntanoslo en comentarios, o escríbenos directamente: es exactamente el tipo de análisis que hacemos antes de que el incidente llegue a los titulares.
En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.
Monitorización y escucha activa
Ponemos nuestras máquinas a escuchar para identificar potenciales fugas de información, campañas de fraude/extorsión y usurpación de identidad que estén en activo, y/o datos expuestos de ti o de tu organización.
Planes de autoridad y Presencia Digital
Ayudamos a organizaciones y particulares a definir la estrategia e implementar acciones digitales que mitiguen los posibles daños reputacionales que pueda sufrir en el futuro.
Gestión de crisis reputacionales
Cuando el mal ya está hecho, establecemos un calendario de acciones para reducir su duración e impacto, y que la organización y/o persona pueda volver a la normalidad lo antes posible.
