CUPERTINO, California — Apple ha demandado al fabricante israelí de software espía NSO Group y a su empresa matriz, exigiendo una indemnización por daños y perjuicios y una orden judicial permanente que les impida utilizar software, servicios o dispositivos de Apple tras una campaña en la que el software espía Pegasus se distribuyó mediante una sofisticada vulnerabilidad que no requería clics contra un pequeño número de usuarios de iPhone.
El anuncio de la demanda representa la acción legal más directa de Apple hasta la fecha contra la industria de la vigilancia comercial. Apple afirma que NSO y sus clientes crearon ID de Apple y utilizaron la infraestructura de la compañía para distribuir datos maliciosos asociados con FORCEDENTRY, una vulnerabilidad capaz de instalar Pegasus sin que la víctima tenga que hacer clic en un enlace ni realizar ninguna otra acción.
Apple va más allá de los parches y ataca al proveedor
Apple lleva años respondiendo técnicamente al software espía altamente dirigido, corrigiendo vulnerabilidades y añadiendo medidas de seguridad. El nuevo caso busca algo más amplio: cambiar la situación económica y la responsabilidad legal de la empresa que vende la capacidad de vigilancia.
Según consta en el expediente federal , Apple presentó la demanda el 23 de noviembre ante el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de California contra NSO Group Technologies y Q Cyber Technologies. Apple alega violaciones de leyes federales y estatales y busca impedir que los demandados continúen utilizando sus productos y servicios en relación con los ataques.
La compañía también anunció que donará 10 millones de dólares, además de cualquier indemnización obtenida en la demanda, a organizaciones que realizan investigaciones y promueven la ciberespionaje. Apple está notificando a los usuarios que cree que podrían haber sido blanco de ataques patrocinados por estados y afirma que seguirá enviando notificaciones similares cuando se detecte dicha actividad.
La entrada forzada demostró lo poco que tenía que hacer una víctima
La acción legal surge tras el descubrimiento de FORCEDENTRY, una de las vulnerabilidades móviles más importantes documentadas públicamente este año. Investigadores del Citizen Lab de la Universidad de Toronto identificaron la vulnerabilidad al examinar el teléfono de un activista saudí. Su análisis demostró que un archivo malicioso enviado a través de iMessage podía explotar el software de procesamiento de imágenes de Apple e instalar Pegasus en un dispositivo completamente actualizado.
Esta vulnerabilidad resultaba especialmente preocupante porque no requería ninguna interacción por parte de la víctima. Las defensas convencionales contra el phishing dependen, en parte, de que los usuarios reconozcan enlaces, archivos adjuntos o solicitudes de inicio de sesión sospechosos. Un ataque que no requiere clics elimina esa capa de protección y permite que un atacante con amplios recursos se centre en las vulnerabilidades del software en lugar de en los errores humanos.
Apple lanzó actualizaciones de emergencia en septiembre después de que Citizen Lab revelara la vulnerabilidad. Una vez que Pegasus obtiene acceso suficiente a un teléfono inteligente, puede exponer potencialmente mensajes, ubicación, fotos, contactos, micrófonos y cámaras, convirtiendo un dispositivo personal en una potente plataforma de vigilancia.
El mercado comercial de software espía también se enfrenta a la presión gubernamental
El caso de Apple llega apenas unas semanas después de que el Departamento de Comercio de EE. UU. añadiera a NSO Group y Candiru a la Lista de Entidades. En su anuncio que la información recabada durante la investigación demostraba que las empresas desarrollaron y suministraron software espía a gobiernos extranjeros que lo utilizaron para atacar maliciosamente a funcionarios, periodistas, activistas, académicos, empresarios y empleados de embajadas.
La inclusión en la Lista de Entidades impone importantes restricciones de licencia a las exportaciones y transferencias de tecnología controlada por Estados Unidos a NSO. Si bien esta medida no implica el cierre de la empresa, puede dificultar el acceso a productos, componentes y servicios estadounidenses, y refleja una postura política inusualmente firme respecto a los riesgos que plantean los proveedores de sistemas de vigilancia comerciales.
NSO ha sostenido consistentemente que Pegasus está autorizado a agencias gubernamentales de inteligencia y fuerzas del orden para investigaciones legítimas de terrorismo y delitos graves. La compañía afirma que investiga las denuncias de uso indebido y que puede rescindir los contratos con sus clientes. La controversia principal radica en si estas medidas de seguridad son suficientes, dada la evidencia reiterada de que el software espía ha llegado a personas ajenas a los objetivos convencionales de la delincuencia y la seguridad nacional.
Los investigadores han documentado un patrón que va más allá de una sola explotación
La metodología forense publicada por Amnistía Internacional en julio describió los indicadores técnicos que los investigadores utilizaron para identificar la actividad de Pegasus en dispositivos móviles y proporcionó herramientas para facilitar el análisis independiente. Este trabajo formó parte de una investigación más amplia sobre el presunto acoso a periodistas, activistas y figuras públicas en varios países.
NSO también se enfrenta a una demanda interpuesta por WhatsApp y Facebook. En su comunicado , afirmaron que un ataque que utilizó la infraestructura de WhatsApp afectó a unos 1400 usuarios, entre ellos periodistas, defensores de los derechos humanos, disidentes políticos y diplomáticos. NSO argumenta que debería recibir la misma protección que los gobiernos soberanos que utilizan su tecnología, una cuestión que aún se debate en los tribunales.
La acumulación de casos ha convertido el software espía comercial en un desafío no solo para las empresas tecnológicas individuales, sino para el modelo de seguridad general de los teléfonos inteligentes. Empresas como Apple pueden reforzar sus sistemas operativos, aislar los procesos de riesgo e implementar parches rápidamente, pero los proveedores de sistemas de vigilancia, con sus amplios recursos, tienen fuertes incentivos para seguir encontrando nuevas vulnerabilidades.
Apple está intentando dificultar los ataques tanto legal como financieramente
La estrategia legal de Apple refleja las limitaciones de la seguridad puramente defensiva. Un parche de software puede solucionar una vulnerabilidad, pero deja al atacante libre para buscar otra. En cambio, una orden judicial o una indemnización por daños y perjuicios podrían aumentar el coste de operar frente a los usuarios de Apple y, potencialmente, disuadir a proveedores, inversores o clientes que interactúen con vendedores de software espía.
Según un reportaje del Washington Post sobre la demanda, Apple alega que NSO creó más de 100 ID de Apple y aceptó los términos de iCloud de Apple, hechos que la compañía utiliza para fundamentar su jurisdicción y sus afirmaciones de que NSO hizo un uso indebido de los servicios de Apple al realizar los ataques.
Este caso también podría poner a prueba nuevas teorías legales. Las empresas de software espía comerciales generalmente no piratean dispositivos para sus propios fines; venden capacidades a clientes gubernamentales. Apple está intentando responsabilizar al propio proveedor por la infraestructura técnica y la conducta que permiten a esos clientes acceder a los usuarios de Apple.
La cobertura publicada por The Guardian el 23 de noviembre describió el caso como parte de la creciente presión sobre la NSO tras la inclusión en la lista negra del gobierno estadounidense y meses de revelaciones sobre los despliegues de Pegasus.
Una batalla por la seguridad se convierte en una batalla política
La demanda de Apple no acabará con la vigilancia sofisticada. Los gobiernos llevan mucho tiempo invirtiendo en la interceptación legal, la recopilación de inteligencia y las capacidades cibernéticas ofensivas, y las investigaciones legítimas seguirán generando demanda de herramientas capaces de penetrar en dispositivos cifrados.
La cuestión que surge ahora es si las empresas privadas que industrializan esas capacidades pueden estar sujetas a estándares que limiten de manera efectiva el abuso. Apple está solicitando a un tribunal federal que imponga una de las sanciones más severas posibles al sector privado: prohibir a NSO el uso del mismo ecosistema al que ha atacado.
Para los usuarios de iPhone, la defensa inmediata sigue siendo la actualización de software y el continuo trabajo de seguridad de Apple. Sin embargo, para la industria tecnológica, la medida de esta semana indica un cambio más profundo. Los fabricantes de teléfonos inteligentes están empezando a considerar a los proveedores de software espía comercial no solo como atacantes a los que hay que eludir mediante parches, sino como empresas a las que hay que enfrentar mediante acciones legales, políticas de exportación y rendición de cuentas pública.
