Una empresa fachada y una identidad falsa: cómo Estados Unidos llegó a utilizar programas espía que intentaba eliminar

WASHINGTON — El contrato secreto se cerró el 8 de noviembre de 2021, un acuerdo entre una empresa que ha actuado como fachada del gobierno de Estados Unidos y la filial estadounidense de una conocida empresa israelí de hackeo.

Conforme el acuerdo, la empresa israelí, NSO Group, le dio al gobierno estadounidense acceso a una de sus armas más poderosas: una herramienta de geolocalización que puede rastrear de manera encubierta teléfonos móviles en todo el mundo sin el conocimiento ni el consentimiento de los usuarios.

Si la naturaleza velada del acuerdo era inusual —un empresario que utilizaba un nombre falso firmó por la empresa fachada—, el momento en que se produjo fue extraordinario.

Tan solo cinco días antes, el gobierno de Joe Biden había anunciado que tomaría medidas contra NSO, cuyas herramientas de hackeo han sido usadas durante años por gobiernos de todo el mundo para espiar a disidentes políticos, activistas de derechos humanos y periodistas. La Casa Blanca puso a NSO en una lista negra del Departamento de Comercio y declaró que la empresa era una amenaza para la seguridad nacional y envió el mensaje de que las empresas estadounidenses debían dejar de hacer negocios con ella.

El contrato secreto —el cual The New York Times está revelando por primera vez— viola la política pública del gobierno de Biden y parece que todavía está activo. El contrato, el cual revisó el Times, declaraba que el “gobierno de Estados Unidos” sería el usuario final de la herramienta, aunque no está claro qué agencia gubernamental autorizó el acuerdo y podría estar utilizando el programa espía. En específico, permitía que el gobierno probara, evaluara e incluso desplegara el programa espía contra objetivos de su elección en México.

Cuando se les preguntó sobre el contrato, los funcionarios de la Casa Blanca mencionaron que era una noticia de la que se acababan de enterar.

“No tenemos conocimiento de este contrato y cualquier uso de este producto sería muy preocupante”, comentó un alto funcionario del gobierno, quien respondió con la condición de permanecer en el anonimato al tratar un tema de seguridad nacional.

Voceros de la Casa Blanca y de la Oficina del Director de Inteligencia Nacional se rehusaron a ofrecer más comentarios, pero dejaron preguntas sin resolver: ¿qué funcionarios de inteligencia o de las fuerzas del orden sabían del contrato cuando se firmó? ¿Alguna agencia gubernamental dirigió el despliegue de la tecnología? ¿El gobierno podría estar lidiando con un contratista gubernamental deshonesto que evade la propia política del presidente Joe Biden? ¿Y por qué se especificaba a México en el contrato?

La semana pasada, Biden firmó una orden ejecutiva para restringir el uso gubernamental de programas espía comerciales. La orden prohíbe a los departamentos y agencias federales el uso de herramientas de hackeo de las que puedan abusar gobiernos extranjeros y que tendrían como objetivo a estadounidenses en el extranjero o representar riesgos de seguridad si se instalan en redes gubernamentales estadounidenses. La orden solo cubrió los programas espía de entidades comerciales, no las herramientas que hayan creado las agencias de inteligencia estadounidenses, las cuales disponen de capacidades internas similares.

Después de la publicación de este artículo en línea, el alto funcionario del gobierno le comentó al Times que, si en noviembre de 2021 hubiera habido un contrato que le diera acceso a Estados Unidos a la herramienta de NSO, se estaría en violación de la nueva orden ejecutiva.

Aunque el gobierno de Biden ha mostrado sus esfuerzos para hacer quebrar a NSO, estaba claro incluso antes de la revelación del último contrato que a algunas agencias les había atraído el poder de estas ciberarmas.

En los últimos años, elementos del extenso aparato de seguridad nacional estadounidense han comprado las armas, las han desplegado contra narcotraficantes y han presionado con discreción para consolidar su control en manos de Estados Unidos y sus aliados más cercanos. Como informó el Times el año pasado, el FBI compró acceso en 2019 a la herramienta de hackeo más poderosa de la NSO, conocida como Pegasus, la cual invade teléfonos móviles y mina su contenido.

Una investigación posterior del Times descubrió lo siguiente:

— El contrato secreto de noviembre de 2021 utilizó la misma empresa estadounidense —denominada “Cleopatra Holdings”; en realidad era un pequeño contratista gubernamental con sede en Nueva Jersey llamado Riva Networks— que utilizó el FBI dos años antes para comprar Pegasus. El director general de Riva utilizó un nombre falso para firmar el contrato de 2021 y al menos un contrato que Riva ejecutó en nombre del FBI.

— El contrato de 2021 era para la misma herramienta de geolocalización de NSO que alguna vez usó un asesor del príncipe heredero de Arabia Saudita, Mohamed bin Salmán, como parte de una brutal campaña contra las supuestas amenazas al reino.

— El acuerdo se reveló mientras el fondo europeo de capital privado que posee NSO seguía un plan para hacer negocios con el gobierno estadounidense mediante la creación de una sociedad tenedora, Gideon Cyber Systems. El objetivo principal del fondo era encontrar un comprador estadounidense para la empresa.

— El posible acuerdo del año pasado con L3Harris, un gigante estadounidense de defensa, para comprar las herramientas de hackeo de NSO y contratar a la mayor parte de su fuerza laboral estaba mucho más avanzado de lo que se sabía. A pesar de que NSO estaba en la lista negra del Departamento de Comercio, los ejecutivos de L3Harris sostuvieron conversaciones con funcionarios del Departamento de Comercio sobre el posible acuerdo, según documentos internos del departamento, y había un borrador del acuerdo en pie para cerrarlo antes de que la Casa Blanca se opusiera públicamente y L3Harris abandonara sus planes.

Este artículo se basa en más de tres docenas de entrevistas con funcionarios y exfuncionarios de los gobiernos de Estados Unidos e Israel, ejecutivos corporativos, expertos en tecnología y una revisión de cientos de páginas de documentos gubernamentales, algunos de ellos producidos gracias a solicitudes del Times conforme la Ley de Libertad de Información.

La entrada al mercado estadounidense

En febrero de 2019, Novalpina Capital, un fondo de capital privado con sede en Londres, compró NSO en unos mil millones de dólares. En ese momento, NSO todavía tenía un cuasimonopolio de herramientas de hackeo de primer nivel para teléfonos móviles y el fondo confiaba en que podría ampliar el negocio atrayendo a nuevos clientes gubernamentales de todo el mundo.

NSO había estado casi una década haciendo negocios con su ejército de hackers de élite y la promesa y el poder de su herramienta insignia, Pegasus, la cual era capaz de extraer todo el contenido de un teléfono móvil, desde correos electrónicos hasta fotos y videos.

Novalpina Capital también tenía un objetivo mayor, según tres personas con conocimiento de la estrategia del fondo. Dado que consideraba que había un gran mercado potencial, quería venderles programas espía a Estados Unidos y a sus socios de inteligencia más cercanos, cuatro de los “Cinco Ojos”: el Reino Unido, Canadá, Australia y Nueva Zelanda.

Al mismo tiempo, NSO había estado envuelta en años de escándalos debido a las revelaciones sobre los abusos de Pegasus por parte de varios gobiernos. En Arabia Saudita, asistentes del príncipe heredero habían utilizado Pegasus contra colaboradores de Jamal Khashoggi, un periodista de The Washington Post al que asesinaron agentes sauditas en Estambul en octubre de 2018.

Un vocero de NSO declaró que las tecnologías de la empresa “solo se venden a aliados de Estados Unidos e Israel, en particular en Europa Occidental, y están alineadas con los intereses de seguridad nacional estadounidense y de las agencias del orden público en todo el mundo”.

Sin embargo, aunque Novalpina había adquirido NSO porque creía que podría sortear las críticas sobre el despliegue de Pegasus, nunca se calmaron los efectos secundarios de las sugerencias de que Pegasus estaba vinculada con el asesinato de Khashoggi. A mediados de 2020, algunos altos manos del fondo de inversión consideraban que NSO era radiactiva. El fondo empezó a tratar de deshacerse de la firma.

En 2020, Novalpina creó Gideon Cyber Systems, una empresa tenedora con sede en Estados Unidos. La estrategia de Novalpina para Gideon era despojar al liderazgo israelí de NSO de sus potentes herramientas de hackeo, incluido Pegasus, y de la fuerza laboral de la empresa y que Gideon manejara el software espía, con lo cual en esencia NSO se volvía una empresa estadounidense. Entonces, se pensaba que el fondo de capital privado podía venderle Gideon a un gran contratista militar estadounidense o a otro inversionista estadounidense, con lo cual se allanaría el camino para que Estados Unidos y sus aliados más cercanos tuvieran las herramientas en sus arsenales.

Durante el gobierno de Trump, NSO ya empezaba a entrar al mercado gubernamental estadounidense y, en 2019, el FBI compró una licencia de Pegasus. La oficina tenía dos objetivos: estudiar el software espía para ver cómo podrían utilizarlo los adversarios y probar Pegasus para su posible despliegue en las propias operaciones de la oficina dentro de Estados Unidos.

Para realizar la compra, el FBI recurrió a Riva Networks, un pequeño contratista con sede en Nueva Jersey, pero utilizó un nombre falso para la empresa, “Cleopatra Holdings”. Según los registros públicos, Riva tiene años de experiencia en la venta de productos y servicios al Departamento de Defensa y otras agencias gubernamentales.

En una carta de 2018 al gobierno de Israel, el Departamento de Justicia autorizó a “Cleopatra Holdings” a comprar Pegasus en nombre del FBI. El Times revisó una copia de la carta y se presentó una versión editada como parte de la demanda del Times contra el FBI conforme la Ley de Libertad de Información.

Para Novalpina, era significativo que el FBI hubiera adquirido una licencia del sistema Pegasus. Obtener la validación del FBI —y la de otras agencias gubernamentales estadounidenses— era un paso esencial para convencer a un inversionista estadounidense de comprar las armas.

El FBI instaló el primer sistema Pegasus en una sede de Riva en junio de 2019. Un vocero del FBI se rehusó a comentar por qué la oficina utilizó un nombre falso para hacer la compra o a mencionar qué salvaguardias había a fin de garantizar que no se estaba abusando de una herramienta de espionaje operativa ubicada en un lugar privado. El vocero señaló que la licencia ya no estaba activa y que “el software ya no es funcional”.

Abordar las inquitudes de los estadounidenses

Mientras seguía tratando de despertar el interés del gobierno estadounidense en las herramientas de hackeo de NSO, Novalpina tuvo que abordar la inquietud de las agencias de espionaje estadounidenses en torno a que las herramientas representaban un riesgo de contrainteligencia, es decir que pudieran contener puertas traseras que permitieran al Mossad o a otros servicios de inteligencia israelíes acceder a secretos estadounidenses si las herramientas se utilizaban en redes del gobierno de Estados Unidos.

Con el fin de enfrentar este problema tras la toma de posesión de Biden, Gideon empezó a trabajar con otra empresa estadounidense, Boldend, que tiene vínculos estrechos con la CIA y otras agencias de inteligencia. Esta le ayudó a organizar reuniones con funcionarios del gobierno.

Durante una reunión virtual celebrada el 5 de mayo de 2021, el equipo le explicó a Christopher Inglis, ex alto funcionario de la Agencia de Seguridad Nacional que trabajaba para Paladin Capital y estaba a punto de convertirse en director nacional de cibernética de la Casa Blanca, en aras de abordar las inquietudes en torno al despliegue de tecnología israelí dentro de los sistemas del gobierno de Estados Unidos.

En la reunión, Inglis apoyó el enfoque pero con cuatela, pues dijo que debían considerar la carga que tenía la reputación de la NSO.

El 3 de noviembre de 2021, el gobierno de Biden anunció públicamente su decisión de incluir a NSO en la lista negra del Departamento de Comercio, con lo que en esencia intentó dejarla en la quiebra y dejar constancia de que Estados Unidos quería frenar la proliferación de programas espía comerciales.

Días más tarde se dio un paso bien disfrazado en la otra dirección: Gideon, la filial estadounidense de NSO, firmó el contrato con “Cleopatra Holdings” —Riva Networks— en el que especificaba que el gobierno estadounidense obtendría acceso a la principal herramienta de geolocalización de NSO, la que la empresa llama Landmark.

Un contratista misterioso

Landmark convierte los teléfonos en una especie de baliza que les permite a los agentes gubernamentales rastrear a sus objetivos. En 2017, un alto asesor del príncipe heredero de Arabia Saudita, la misma persona acusada de orquestar el asesinato de Khashoggi, utilizó Landmark para rastrear a disidentes sauditas.

Según el contrato con Gideon, los funcionarios del gobierno estadounidense tenían acceso a un portal especial de NSO que les permitía ingresar números de teléfono móvil, lo cual posibilitaba que la herramienta de geolocalización determinara la ubicación concreta del teléfono en ese momento sin el conocimiento ni el consentimiento del usuario del teléfono. El modelo de negocio de NSO exige que los clientes paguen por un determinado número de “consultas” al mes, una consulta es cada intento individual de localizar un teléfono.

A decir de dos personas, conforme este contrato se han realizado miles de consultas en al menos un país, México. El contrato también permite utilizar Landmark contra números de teléfonos móviles en Estados Unidos, aunque no hay evidencias de que eso haya ocurrido.

El contrato de noviembre de 2021 se firmó bajo el nombre de “Bill Malone”, identificado como director ejecutivo de Cleopatra Holdings. En realidad, el hombre que firmó el contrato es Robin Gamble, director ejecutivo de Riva Networks, según dos personas familiarizadas con la conexión entre Riva y Cleopatra.

En busca de un comprador

La decisión de incluir a NSO en la lista negra del Departamento de Comercio ahuyentó a la mayoría de los compradores potenciales. No obstante, pronto surgió uno: L3Harris, el gigante de la industria de defensa que se especializa en la venta de tecnología de vigilancia y guerra electrónica al Departamento de Defensa, el FBI y las agencias de espionaje estadounidenses. Según el informe anual de 2021 de la empresa, más del 70 por ciento de sus ingresos procedieron de contratos con el gobierno estadounidense.

Cuatro personas familiarizadas con la situación señalaron que L3Harris recibió indicaciones cautelosas de apoyo para buscar una adquisición por parte de funcionarios dentro de varias agencias estadounidenses y de seguridad. L3 Harris no respondió a los mensajes en busca de comentarios.

El 13 de mayo, Tania Hanna, directora del departamento de relaciones gubernamentales de L3Harris, solicitó una reunión con Matthew Borman, un alto cargo del Departamento de Comercio encargado de supervisar la lista negra.

Días después, un abogado de la firma que representa a L3Harris, Covington & Burling, solicitó una reunión con funcionarios del Departamento de Comercio “sobre un asunto importante desde el punto de vista de la seguridad nacional/política exterior de Estados Unidos e Israel”.

Según un intercambio de correos electrónicos, el 15 de junio estaba programada una reunión entre Borman y David Kornick, presidente de la división de Inteligencia y Cibernética de L3Harris. Debido a las numerosas ediciones de los documentos del Departamento de Comercio, no está claro si se llevó a cabo la reunión. Un vocero del Departamento de Comercio se rehusó a ofrecer comentarios.

Lo que los israelíes no sabían era que ya había una fuerte oposición al acuerdo con L3Harris dentro de la Casa Blanca. Cuando la noticia de la posible adquisición se filtró en el sitio Intelligence Online, funcionarios de la Casa Blanca hicieron pública su oposición y dijeron que presionarían para bloquear cualquier venta de NSO a un contratista de defensa con acreditaciones de seguridad nacional. El acuerdo con L3Harris había fracasado.

Pero no ocurrió lo mismo con el contrato secreto de acceso a la herramienta de rastreo telefónico. Cleopatra Holdings le sigue pagando todos los meses a Gideon Cyber Solutions por el acceso continuo a Landmark.

c.2023 The New York Times Company