NSO Pagará $167M por Hackear WhatsApp: Golpe a Spyware

La industria del software espía ha recibido un golpe significativo. Un jurado federal en Estados Unidos ha ordenado al fabricante israelí NSO Group pagar la asombrosa suma de 167 millones de dólares. Esta decisión llega tras seis años de una intensa batalla legal con WhatsApp, propiedad de Meta. La condena se debe al hackeo de más de 1.000 cuentas de WhatsApp utilizando su conocido programa Pegasus. Este veredicto marca un momento crucial en la lucha contra el software de vigilancia ilegal.

El Veredicto

El martes pasado, en Oakland, California, el jurado deliberó durante dos días antes de alcanzar una decisión. La jueza de distrito Phyllis Hamilton ya había fallado en diciembre contra NSO Group. Determinó que la empresa violó la Ley de Fraude y Abuso Informático de EE. UU. y una ley similar de California. El monto total de 167 millones de dólares se desglosa en 167.256.000 dólares por daños punitivos y 440.000 dólares por daños compensatorios. Este es, hasta la fecha, el revés financiero más grande para la creciente industria del spyware.

NSO Group comercializa Pegasus como una herramienta para que los gobiernos combatan el terrorismo y el crimen organizado. Sin embargo, numerosas investigaciones han revelado su uso contra líderes políticos, activistas pacíficos y periodistas en todo el mundo. El uso de spyware como Pegasus ha generado una gran preocupación global.

Reacciones al Fallo Histórico

Meta, la empresa matriz de WhatsApp, celebró la decisión. La calificó como «un paso importante para la privacidad y la seguridad». Consideran que es la primera victoria contra el desarrollo y uso de spyware ilegal que amenaza la seguridad de todos. Meta añadió que la obligación de NSO de pagar daños es un «elemento disuasorio clave para esta industria malintencionada».

Por su parte, NSO Group, a través de su portavoz Gil Lanier, indicó que probablemente apelarán el fallo. Lanier afirmó que la empresa «sigue plenamente comprometida con su misión de desarrollar tecnologías que protejan la seguridad pública». Aseguró que continúan reforzando su marco de cumplimiento para garantizar que su tecnología se use solo para fines legítimos por gobiernos soberanos.

Meta ha declarado que, si logra cobrar el dinero de NSO Group, lo donará a organizaciones de derechos digitales. Estas organizaciones han sido fundamentales en la detección y análisis de ataques con spyware. «Tenemos un largo camino por recorrer para cobrar los daños otorgados a NSO y planeamos hacerlo», afirmó Meta. Su siguiente paso es buscar una orden judicial que impida a NSO volver a atacar a WhatsApp.

Detalles del Caso y la Tecnología Invasiva

La jueza Hamilton responsabilizó a NSO por el hackeo de los sistemas de Meta. Esto se hizo enviando software malicioso a través de los servidores de WhatsApp a unos 1.400 teléfonos seleccionados. Según Meta, estos teléfonos pertenecían a funcionarios gubernamentales, periodistas y activistas de derechos humanos en decenas de países.

Durante el proceso de descubrimiento, NSO se negó a entregar el código fuente del software. Por ello, Hamilton también determinó que WhatsApp tenía derecho a imponer sanciones, cuya multa se decidirá más adelante. El caso incluyó el primer testimonio en Estados Unidos de ejecutivos de NSO, quienes usualmente evitan apariciones públicas.

Pegasus y programas similares explotan fallos de seguridad en sistemas operativos y aplicaciones, como WhatsApp o el sistema operativo de Apple. Así logran acceder a teléfonos y capturar fotos, correos electrónicos y mensajes de texto, incluso si están cifrados. En algunos casos, estas intrusiones no requieren ninguna acción por parte del usuario y el software es prácticamente indetectable. Las pruebas presentadas demostraron que NSO tenía 140 empleados dedicados a encontrar formas de explotar iPhones y teléfonos Android.

Argumentos de NSO

NSO Group había argumentado que debería estar exenta de responsabilidad legal porque solo vende sus productos a agencias gubernamentales. Según ellos, son estas agencias las que deciden a quién apuntar. Sin embargo, los tribunales de apelación rechazaron esta defensa. Los ejecutivos de la empresa admitieron que NSO determina cómo se realizan los hackeos, basándose en el teléfono y el software de cada objetivo.

El gobierno de Estados Unidos ya había sancionado a NSO y a otras empresas del sector por operar en contra de los intereses estadounidenses. Este veredicto se suma a la presión sobre la industria del spyware. Curiosamente, Apple abandonó un caso similar contra NSO en septiembre. Esto ocurrió después de que autoridades israelíes supuestamente confiscaran el código fuente de la compañía y NSO declarara que ya no podía producirlo. NSO ha mantenido una estrecha relación con el gobierno israelí, del cual necesita permiso para exportar sus productos.

El testimonio en el caso de WhatsApp reveló que NSO utilizó una serie de ataques contra la compañía entre 2018 y 2020. Modificaban su técnica cuando WhatsApp bloqueaba métodos anteriores. Uno de estos cambios ocurrió después de que WhatsApp presentara la demanda, lo que reforzó el argumento de Meta sobre la actuación deliberada de NSO.

El abogado de NSO, Joseph Akrotirianakis, argumentó que la demanda buscaba publicidad para Facebook (Meta). Sostuvo que Pegasus no tomó nada de los servidores de WhatsApp ni alteró datos en ellos. Sin embargo, para obtener daños punitivos, Meta tuvo que demostrar con evidencia convincente que NSO actuó con «opresión, fraude o malicia».

Este caso subraya la tensión existente entre la vigilancia gubernamental y las libertades individuales. La condena a NSO Group por el hackeo de WhatsApp es un recordatorio de los riesgos inherentes al spyware y la importancia de proteger la privacidad digital en un mundo cada vez más conectado. La industria del software espía, sin duda, tomará nota de este precedente legal.

Fuente: Basado en la información de The Washington Post.