Incidentes Asociados
Casi 100 periodistas y otros miembros de la sociedad civil que utilizan WhatsApp (https://www.theguardian.com/technology/whatsapp), la popular aplicación de mensajería propiedad de Meta, fueron atacados por software espía de Paragon Solutions, fabricante israelí de software de hacking, según denunció la compañía el viernes.
Los periodistas y otros miembros de la sociedad civil fueron alertados de una posible vulneración de sus dispositivos, y WhatsApp declaró a The Guardian que tenía "alta confianza" en que los 90 usuarios en cuestión habían sido atacados y "posiblemente comprometidos".
No está claro quién estuvo detrás del ataque. Al igual que otros fabricantes de spyware, el software de hacking de Paragon es utilizado por clientes gubernamentales, y WhatsApp afirmó no haber podido identificar a los clientes que ordenaron los presuntos ataques.
Los expertos afirmaron que el ataque fue un ataque de "clic cero", lo que significa que los objetivos no habrían tenido que hacer clic en ningún enlace malicioso para ser infectados.
WhatsApp se negó a revelar la ubicación de los periodistas y miembros de la sociedad civil, incluyendo si residían en Estados Unidos.
Paragon tiene una oficina estadounidense en Chantilly, Virginia. La compañía ha sido objeto de escrutinio recientemente después de que la revista Wired informara en octubre que había firmado un contrato de 2 millones de dólares con la división de investigaciones de seguridad nacional del Servicio de Inmigración y Control de Aduanas de Estados Unidos (ICE).
Según se informa, la división emitió una orden de suspensión del contrato para verificar si cumplía con una orden ejecutiva de la administración Biden que restringía el uso de software espía por parte del gobierno federal. La administración Trump ha revocado docenas de órdenes ejecutivas de la administración Biden en sus dos primeras semanas de mandato, pero la orden de 2023, que prohibía el uso de software espía que representara un riesgo para la seguridad nacional, sigue vigente.
WhatsApp afirmó haber enviado a Paragon una carta de cese y desistimiento y que estaba explorando sus opciones legales. WhatsApp indicó que los presuntos ataques se habían desmantelado en diciembre y que no estaba claro cuánto tiempo los objetivos podrían haber estado amenazados.
La compañía está notificando actualmente a las víctimas del presunto hackeo, quienes serán contactadas por WhatsApp.
WhatsApp ha desmantelado una campaña de spyware de Paragon dirigida a varios usuarios, incluyendo periodistas y miembros de la sociedad civil. Nos hemos puesto en contacto directamente con las personas que creemos que se vieron afectadas. Este es el último ejemplo de por qué las empresas de spyware deben rendir cuentas por sus acciones ilegales. WhatsApp seguirá protegiendo la capacidad de las personas para comunicarse de forma privada, declaró un portavoz de la compañía.
Paragon Solutions declinó hacer comentarios.
Una persona cercana a la compañía declaró a The Guardian que Paragon tenía 35 clientes gubernamentales, que todos ellos podían considerarse democráticos, y que Paragon no hacía negocios con países, incluidas algunas democracias, que previamente habían sido acusados de usar software espía de forma abusiva. La persona indicó que entre estos países se encontraban Grecia, Polonia, Hungría, México e India.
El software espía de Paragon se conoce como Graphite y tiene capacidades comparables a las del software espía Pegasus de NSO Group. Una vez que un teléfono se infecta con Graphite, el operador del software espía tiene acceso total al teléfono, lo que incluye la posibilidad de leer los mensajes enviados a través de aplicaciones cifradas como WhatsApp y Signal.
La empresa, fundada por el ex primer ministro israelí Ehud Barak, ha sido objeto de noticias en los medios de comunicación israelíes recientemente, tras la publicación de la venta del grupo a AE Industrial Partners, firma estadounidense de capital privado, por 900 millones de dólares.
Según informes, el acuerdo aún no ha recibido la aprobación regulatoria completa en Israel. Ciberarmas como Graphite y Pegasus están reguladas por el Ministerio de Defensa israelí. The Guardian contactó a AE Industrial Partners, con sede en Boca Ratón, Florida. Paragon no figura entre las inversiones de la empresa en su sitio web.
“Durante algún tiempo, Paragon ha tenido la reputación de ser una empresa de software espía ‘mejor’, sin estar implicada en abusos evidentes, pero las recientes revelaciones de WhatsApp sugieren lo contrario. No se trata solo de algunas manzanas podridas; este tipo de abusos son característicos de la industria del software espía comercial”, declaró Natalia Krapiva, asesora legal senior de tecnología en Access Now.
WhatsApp afirmó creer que el supuesto vector, o medio por el cual la infección se transmitió a los usuarios, fue un archivo PDF malicioso enviado a personas agregadas a chats grupales. WhatsApp afirmó que podía afirmar con seguridad que Paragon estaba vinculado a este ataque.
John Scott-Railton, investigador principal del Citizen Lab de la Universidad de Toronto, que rastrea e identifica amenazas digitales contra la sociedad civil, afirmó que Citizen Lab proporcionó a WhatsApp información que ayudó a la compañía a comprender el vector utilizado contra sus usuarios.
Se espera que el grupo publique un informe próximamente con más detalles sobre el supuesto ataque.
WhatsApp anunció la noticia pocas semanas después de que un juez de California fallara a favor de la compañía en un caso histórico contra NSO Group, el conocido fabricante de software espía que en 2021 fue incluido en la lista negra del Departamento de Comercio por la administración Biden. En aquel momento, el gobierno de Biden declaró haber incluido a NSO en la llamada lista de entidades porque la empresa había participado en actividades "contrarias a la seguridad nacional o los intereses de la política exterior de Estados Unidos".
NSO ha presionado a miembros del Congreso para que la eliminen de la lista.
WhatsApp presentó una demanda contra NSO en 2019 tras afirmar que 1400 usuarios habían sido infectados por el software espía de la empresa. En diciembre, la jueza Phyllis Hamilton dictaminó que NSO era responsable de los ataques y que había violado las leyes estatales y federales de piratería informática de EE. UU., así como las propias condiciones de servicio de WhatsApp.