El Projecte Pegasus és una innovadora investigació col·laborativa en la qual han participat més de 80 periodistes de 17 mitjans de comunicació de 10 països sota la coordinació de Forbidden Stories, una organització sense ànim de lucre de mitjans de comunicació amb seu a París (França), i amb el suport tècnic d'Amnistia Internacional, que va realitzar anàlisis forenses capdavanteres de telèfons mòbils per identificar rastres del programari espia.

"El Projecte Pegasus posa al descobert que el programari espia de NSO és l'arma preferida dels governs repressius que intenten silenciar periodistes, atacar activistes i esclafar la dissidència, posant en perill incomptables vides", va manifestar Agnès Callamard, secretària general d'Amnistia Internacional. "Aquestes revelacions tiren per terra qualsevol afirmació de NSO que aquests atacs són poc freqüents i obeeixen a un ús fraudulent de la seva tecnologia. Encara que l'empresa afirma que el seu programari espia només s'utilitza en investigacions penals i de terrorisme legítimes, és evident que la seva tecnologia facilita la comissió d'abusos sistemàtics. NSO dibuixa una imatge de legitimitat mentre treu profit de violacions de drets humans generalitzades".

"És clar que les seves accions plantegen preguntes més àmplies sobre l'absoluta manca de regulació que ha donat lloc a una espècia de "salvatge Oest" d'atacs abusius generalitzats contra activistes i periodistes. Fins que aquesta empresa i la indústria en el seu conjunt puguin demostrar que són capaços de respectar els drets humans, s'ha de suspendre amb caràcter immediat l'exportació, venda, transferència i ús de tecnologia de vigilància".

En una resposta escrita adreçada a Forbidden Stories i els seus mitjans de comunicació afiliats, NSO Group va asseverar que "nega rotundament" les acusacions "falses" de l'informe. Va escriure que els reportatges del consorci es basaven en "suposicions equivocades" i "teories no corroborades" i va reiterar la "missió que salva vides" de l'empresa. Es pot consultar un resum més complet de la resposta de NSO Group en aquest enllaç.

La investigació
Al centre d'aquesta investigació es troba el programari espia Pegasus de NSO Group que, una vegada instal·lat subrepticiamente en el telèfon de les víctimes, proporciona a l'atacant ple accés als missatges, correus electrònics, elements multimèdia, micròfon, càmera, cridades i contactes del telèfon.

Al llarg de la setmana vinent, els mitjans de comunicació associats al Projecte Pegasus -inclosos The Guardian, Le Monde, Süddeutsche Zeitung i The Washington Post- publicaran un seguit d'històries en què revelaran informació detallada sobre la selecció de dirigents mundials, figures polítiques, activistes de drets humans i periodistes com a possibles objectius d'aquest programari espia.

A partir de les dades filtrades i les seves investigacions, Forbidden Stories i els mitjans de comunicació associats van identificar possibles clients de NSO en 11 països: l'Aràbia Saudita, l'Azerbaidjan, Bahréin, els Emirats Àrabs Units, Hongria, l'Índia, el Kazakhstan, el Marroc, Mèxic, Ruanda i Togo.

NSO Group no ha pres les mesures adequades per posar fi a l'ús de les seves eines per a la vigilància selectiva il·legítima d'activistes i periodistes, tot i que sabia, o hauria hagut de saber, que s'estava produint.

"Com a primera mesura, NSO Group ha de tancar de forma immediata els sistemes dels clients quan hi hagi proves fidedignes d'ús indegut. El Projecte Pegasus aporta ingents proves d'això", ha afirmat Agnès Callamard.

Atacs contra la família de Jamal Khashoggi  
Durant la investigació també han aparegut proves que abans i després de l'assassinat del periodista saudita Jamal Khashoggi a Istanbul el 2 d'octubre de 2018 a mans d'agents saudites, i malgrat que NSO Group l'hagi negat en repetides ocasions, es va atacar membres de la seva família amb el programari Pegasus. El Laboratori sobre Seguretat d'Amnistia Internacional va establir que s'havia instal·lat Pegasus al telèfon d'Hatice Cengiz, parella de Khashoggi, quatre dies després del seu assassinat.

La seva dona, Hanan Elatr, també va rebre reiterats atacs amb el programari espia entre setembre de 2017 i abril de 2018, i el seu fill Abdullah va ser seleccionat com a potencial objectiu juntament amb altres membres de la família a l'Aràbia Saudita i els Emirats Àrabs Units (EAU). En una declaració, NSO Group va respondre a les denúncies del Projecte Pegasus que la seva "tecnologia no tenia cap relació amb l'atroç assassinat de Jamal Khashoggi". L'empresa va explicar que ja hi havia "investigat anteriorment aquesta denúncia immediatament després del brutal homicidi, realitzada de nou sense cap evidència ni validació".

Atacs contra periodistes
Fins al moment, la investigació ha identificat almenys 180 periodistes de 20 països que van ser seleccionats com a possibles objectius d'atacs amb el programari espia de NSO entre 2016 i juny de 2021. Entre aquests, hi ha periodistes de l'Azerbaidjan, Hongria, Índia i el Marroc, països on la repressió contra els mitjans de comunicació independents s'ha intensificat.

Les revelacions mostren el dany real que causa la vigilància il·legítima:  

• A Mèxic, es va seleccionar com a objectiu el telèfon del periodista Cecilio Pineda amb prou feines unes setmanes abans del seu homicidi el 2017 als 38 anys. El Projecte Pegasus va identificar que almenys 25 periodistes mexicans van ser seleccionats com a objectius durant un període de dos anys. NSO Group ha negat que les dades recol·lectades del telèfon de Pineda contribuïssin a la seva mort, fins i tot en el cas que el seu telèfon d'hagués estat objecte d'atacs.
• Pegasus s'ha utilitzat a l'Azerbaidjan, país on només queden uns pocs mitjans de comunicació independents i on, segons la investigació, es va seleccionar com a possibles objectius més de 40 periodistes. El Laboratori sobre Seguretat d'Amnistia Internacional va concloure que el telèfon de Sevinc Vaqifqizi, periodista autònoma que col·labora amb el mitjà de notícies independent Meydan TV, va estar infectat durant un període de dos anys fins a maig de 2021.
• A l'Índia, almenys 40 periodistes de gairebé tots els mitjans de comunicació principals del país van ser seleccionats com a possibles objectius entre 2017 i 2021. Les anàlisis forenses van revelar que els telèfons de Siddharth Varadarajan i MK Venu, cofundadors del mitjà de notícies independent online The Wire, estaven infectats amb el programari espia Pegasus en una data recent: juny de 2021.
• La investigació també ha identificat com a possibles objectius periodistes que treballen per a mitjans de comunicació internacionals de primer ordre, entre els quals Associated Press, CNN, The New York Times i Reuters. D'aquest grup, una de les figures més destacades és Roula Khalaf, directora de Financial Times.

La xifra de periodistes identificats com a objectius il·lustra amb claredat que Pegasus s'utilitza com a eina per intimidar mitjans de comunicació crítics. Es fa amb l'objectiu de controlar el discurs públic, oposar-se a l'escrutini i silenciar qualsevol veu dissident", ha manifestat Agnès Callamard. "Aquestes revelacions han de servir de catalitzador per al canvi. Cal que els governs amb interessos creats a utilitzar aquesta tecnologia per cometre violacions de drets humans deixin d'oferir a la indústria de la vigilància un tracte permissiu".

Revelació de la infraestructura de Pegasus
Amnistia Internacional publica avui els detalls tècnics i la metodologia completa de les investigacions forenses exhaustives realitzades pel seu Laboratori sobre Seguretat com a part del Projecte Pegasus. L'informe metodològic del Laboratori documenta l'evolució dels atacs amb programari espia Pegasus des del 2018 i aporta dades sobre la seva infraestructura, inclosos més de 700 dominis relacionats amb Pegasus. "NSO afirma que el seu programari espia és indetectable i només s'utilitza en investigacions penals legítimes. Ara proporcionem proves irrefutables que es tracta d'una falsedat absurda", ha afirmat Etienne Maynier, tecnòleg del Laboratori sobre Seguretat d'Amnistia Internacional.

No hi ha cap evidència que suggereixi que els clients de NSO no utilitzessin també Pegasus en investigacions relacionades amb terrorisme i delinqüència, i el consorci de Forbidden Stories, al seu torn, va trobar números de telèfon en les dades que pertanyen a presumptes delinqüents.

"Les violacions de drets humans generalitzades que facilita Pegasus s'han d'acabar. Tenim l'esperança que les proves contundents que es publicaran al llarg de la setmana vinent portin als governs a reformar una indústria de la vigilància que està fora de control"

En resposta a una sol·licitud de comentaris de les organitzacions de mitjans de comunicació participants en el Projecte Pegasus, NSO Group va manifestar que "nega rotundament" les denúncies i va afirmar que "moltes d'aquestes denúncies són teories no corroborades que desperten dubtes seriosos sobre la fiabilitat de les fonts, a més de la base de les seves històries". NSO Group no ha confirmat ni desmentit quins governs es troben entre els seus clients, tot i que ha afirmat que el Projecte Pegasus havia fet "suposicions errònies" sobre aquesta qüestió. Tot i la negació general de les denúncies, NSO Group ha afirmat que continuarà investigant totes les denúncies creïbles d'ús indegut i prendrà les mesures apropiades basant-se en els resultats d'aquestes investigacions".