Pegasus sin fronteras el caso Kouloglou y la amenaza a la democracia por la vigilancia comercial

El laboratorio canadiense Citizen Lab ha vuelto a colocar en el centro del debate público una realidad incómoda: la vigilancia con herramientas comerciales de espionaje no es sólo una abstracción técnica, sino una amenaza real y concreta para la supervisión democrática. Según su informe, el exdiputado europeo Stelios Kouloglou fue infectado en repetidas ocasiones con el spyware Pegasus mientras formaba parte de la comisión del Parlamento Europeo encargada de investigar precisamente el uso y abuso de estos productos. Que un miembro de la comisión investigadora sea objetivo directo del objeto de la investigación revela una brecha grave entre la teoría regulatoria y la práctica operativa.

Los hallazgos forenses indican infecciones en octubre de 2022 y marzo de 2023, aprovechando un exploit de cero clic en la implementación de la función smart home de Apple, conocido por investigadores como PWNYOURHOME y corregido en actualizaciones posteriores de iOS. Además, los investigadores detectaron coincidencias operativas con una campaña previa dirigida a periodistas y activistas exiliados en Europa, lo que sugiere que el cliente que compró el servicio de espionaje tenía autorización para operar en varios Estados miembro. Ese cruce de jurisdicciones, posible gracias a licencias comerciales, convierte en insuficientes los marcos regulatorios que dependen sólo de fronteras nacionales.

El caso expone varias lecciones simultáneas. Por un lado, la sofisticación técnica de estos exploits —zero-click, abuso de implementaciones de IoT y notificaciones de amenaza que llegan tarde o no son seguidas por medidas inmediatas— demuestra que la seguridad individual del dispositivo ya no es garantía suficiente. Por otro lado, la investigación también subraya otra vía de riesgo: las redes de telecomunicaciones han sido explotadas por actores que manipulan protocolos como SS7 y Diameter o envían mensajes SMS con comandos ocultos para convertir un teléfono en un rastreador sin instalar malware visible. La seguridad de la privacidad combina factores de software, hardware y arquitectura de red; la mitigación exige intervención técnica y regulatoria.

Para legisladores y responsables de instituciones públicas la primera obligación es asumir el alcance político del problema. Es indispensable instaurar mecanismos obligatorios de notificación de intrusión para cargos públicos y comisiones de investigación, dotar al Parlamento y a las administraciones de capacidad forense independiente y procedimientos claros de respuesta, y revisar los permisos de uso de tecnologías de vigilancia. La Unión Europea ya tiene foros y comisiones para estos temas, como la propia comisión PEGA cuyo trabajo puede consultarse en la web del Parlamento Europeo, pero hacer públicos los incidentes, auditar a proveedores y condicionar las licencias de exportación de spyware son pasos que deben acelerarse (ver información general en PEGA — Parlamento Europeo).

Para periodistas, activistas y funcionarios con alto riesgo, la higiene digital debe complementarse con políticas institucionales: segregar dispositivos de trabajo para deliberaciones sensibles, aplicar actualizaciones de seguridad en cuanto estén disponibles, verificar y actuar ante notificaciones de amenazas del fabricante, y recurrir a laboratorios forenses reputados cuando haya indicios de compromiso. Citizen Lab y otros grupos especializados han publicado guías y análisis sobre cómo se detecta y se mitiga este tipo de intrusiones; su trabajo permanece accesible en Citizen Lab. Recibir una notificación de Apple o de otro proveedor no es una conclusión, sino el inicio de una cadena de respuestas coordinadas.

En el plano tecnológico hay medidas concretas que reducen la superficie de ataque: separar cuentas y dispositivos para tareas críticas, minimizar la exposición de metadatos en comunicaciones, utilizar soluciones con controles de seguridad hardware y verificar la cadena de suministro de proveedores de seguridad. Aun así, la lección estructural y política es más profunda: la existencia de mercenarios digitales y proveedores que venden capacidades para vulnerar derechos fundamentales exige transparencia contractual, condicionamiento de licencias, auditorías independientes y sanciones eficaces frente a abusos. Apple ha publicado información sobre su respuesta a vulnerabilidades y actualizaciones de iOS que corrigen vectores explotados; es importante verificar estas actualizaciones en los repositorios oficiales de la compañía y aplicarlas sin demora (Actualizaciones de seguridad de Apple).

Finalmente, el caso Kouloglou ilustra que la tecnología puede socavar la capacidad de las instituciones para supervisar su propio uso. Si quienes investigan no pueden contar con canales seguros para deliberar, el efecto disuasorio sobre la investigación institucional será profundo. Responder requiere combinar medidas técnicas, reformas legales y voluntad política para controlar un comercio que hoy opera en una zona gris entre la seguridad y el abuso. Mientras tanto, la ciudadanía y los responsables públicos deben actuar con premura: auditar dispositivos de riesgo, exigir transparencia sobre contratos de spyware y fortalecer capacidades forenses y de respuesta a incidentes para recuperar la confianza en el control democrático sobre estas tecnologías.