WASHINGTON — El Departamento de Comercio incluyó esta semana a los proveedores israelíes de software espía NSO Group y Candiru en la Lista de Entidades de EE. UU., imponiendo restricciones a la exportación que aumentan drásticamente el costo y la complejidad de hacer negocios con proveedores de tecnología estadounidenses y que constituyen la medida más enérgica adoptada hasta la fecha por Washington contra la industria de la vigilancia comercial.

El departamento declaró el miércoles que las empresas fueron incluidas en la lista porque la información de la investigación demostró que desarrollaron y suministraron software espía a gobiernos extranjeros que utilizaron estas herramientas para atacar maliciosamente a funcionarios, periodistas, empresarios, activistas, académicos y empleados de embajadas. La del Departamento de Comercio también abarcó a Positive Technologies de Rusia y a Computer Security Initiative Consultancy de Singapur, lo que refleja una preocupación más amplia por la venta de sofisticadas herramientas de intrusión en mercados donde su uso puede entrar en conflicto con los intereses de seguridad nacional y derechos humanos de Estados Unidos.

El estado de la lista de entidades cambia el entorno empresarial

La inclusión en la Lista de Entidades no supone una prohibición total para NSO Group, pero crea una presunción en contra de las licencias para la exportación, reexportación o transferencia de artículos sujetos a los controles de exportación de EE. UU. Las restricciones pueden afectar al software, el hardware, los servicios y los componentes técnicos que las empresas necesitan para desarrollar u operar sus productos. Esta norma convierte la política en algo más que una simple reprimenda simbólica.

NSO Group ha afirmado reiteradamente que solo concede licencias de Pegasus a agencias gubernamentales de inteligencia y fuerzas del orden para la lucha contra el terrorismo y los delitos graves, y que cuenta con mecanismos para investigar el uso indebido. Sin embargo, la empresa se ha enfrentado a crecientes pruebas de que sus clientes utilizaron Pegasus contra personas que no habían sido acusadas de delitos graves.

Amnistía Internacional, que prestó apoyo técnico a la investigación del Proyecto Pegasus, afirmó que la medida estadounidense reconocía la magnitud de los abusos documentados y la calificó como una advertencia para el mercado del software espía. En su comunicado , describió la decisión como una importante medida de rendición de cuentas tras meses de denuncias.

La explotación sin clics cambió el debate sobre la seguridad

La decisión política surge a raíz de una serie de hallazgos técnicos que demuestran cómo el software espía comercial avanzado puede comprometer los teléfonos inteligentes modernos sin que la víctima tenga que hacer clic en un enlace malicioso. En septiembre, investigadores del Citizen Lab de la Universidad de Toronto publicaron un análisis de una vulnerabilidad de iMessage que denominaron FORCEDENTRY. Esta vulnerabilidad tenía como objetivo el sistema de renderizado de imágenes de Apple y se utilizó para instalar Pegasus en dispositivos completamente actualizados.

Apple respondió lanzando actualizaciones de seguridad de emergencia para iPhones, iPads, Macs y Apple Watches. Su aviso de seguridad para iOS y iPadOS 14.8 describía una vulnerabilidad que permitía la ejecución de código arbitrario al procesar un PDF manipulado con fines maliciosos, y reconocía que Apple tenía conocimiento de un informe que indicaba que el problema podría haber sido explotado activamente.

La importancia de este problema va más allá de una simple vulnerabilidad de software. Un exploit que no requiere clics puede alcanzar a un objetivo sin cometer errores de phishing, lo que limita la eficacia de la formación en seguridad convencional. Una vez instalada con los privilegios suficientes, una herramienta como Pegasus puede acceder potencialmente a comunicaciones, fotos, datos de ubicación y micrófonos que los usuarios creen, con razón, que están protegidos por la seguridad del dispositivo y las aplicaciones cifradas.

Las empresas tecnológicas han estado combatiendo a NSO tanto en los tribunales como mediante actualizaciones de software. WhatsApp y Facebook demandaron a la compañía en 2019, alegando que la infraestructura de Pegasus se utilizó para atacar a unos 1400 usuarios de WhatsApp. El comunicado indicaba que entre las víctimas se encontraban periodistas, defensores de los derechos humanos, disidentes políticos y diplomáticos.

NSO ha argumentado en ese litigio que debería gozar de inmunidad porque sus productos son utilizados por gobiernos soberanos. La disputa se ha convertido en una prueba para determinar si las empresas privadas de vigilancia pueden reclamar la protección que les otorgan los gobiernos que contratan sus servicios. Mientras tanto, grupos de investigación han desarrollado métodos forenses cada vez más detallados para detectar rastros de Pegasus. La metodología documentó indicadores técnicos encontrados en los teléfonos objetivo y publicó herramientas destinadas a ayudar a los investigadores a validar las infecciones.

La acumulación de pruebas ha desplazado el debate, pasando de si el software espía comercial puede ser objeto de abuso a qué deberían hacer los gobiernos y las plataformas tecnológicas con respecto al mercado que lo abastece. La medida del Departamento de Comercio es particularmente trascendental porque muchos proveedores de sistemas de vigilancia dependen, directa o indirectamente, de tecnologías de origen estadounidense.

Los controles de exportación podrían convertirse en un nuevo instrumento de ciberseguridad

La Lista de Entidades se ha asociado tradicionalmente con restricciones similares a sanciones impuestas a empresas implicadas en asuntos de seguridad nacional, proliferación o intentos de obtener tecnología estadounidense sensible. Su aplicación a los proveedores de software espía indica que el gobierno considera cada vez más las capacidades cibernéticas comerciales desde la misma perspectiva estratégica.

Eso no resuelve las difíciles cuestiones relativas al acceso legítimo de las fuerzas del orden. Los gobiernos tienen necesidades reales de investigación, sobre todo ahora que el cifrado ha reducido la utilidad de las escuchas telefónicas convencionales. Sin embargo, la medida estadounidense distingue entre herramientas legales y empresas cuyos productos, a juicio del gobierno, han permitido ataques maliciosos que van más allá de esos fines.

Para NSO Group, la consecuencia inmediata es el acceso restringido a productos estadounidenses y una nueva barrera de reputación ante inversores, proveedores y clientes. Para el sector tecnológico en general, el mensaje es más amplio: el software de vigilancia comercial ya no se considera simplemente un producto de seguridad especializado. Se está convirtiendo, simultáneamente, en objeto de política de exportación, diplomacia, escrutinio de derechos humanos y estrategia de seguridad corporativa.