Facebook y su división de mensajería de WhatsApp demandaron el martes al fabricante de software espía con sede en Israel NSO Group diciendo que utilizó un exploit en el programa dirigido a abogados, periodistas, activistas, disidentes y otros.
WhatsApp ha dicho que NSO Group, una compañía de vigilancia israelí, fue responsable de una serie de ciberataques altamente sofisticados que, según afirma, violaron la ley estadounidense en un «patrón inconfundible de abuso», creyendo que la tecnología vendida por NSO se utilizó para atacar los teléfonos móviles de más de 1.400 de sus usuarios en 20 países diferentes durante un período de 14 días desde finales de abril hasta mediados de mayo. Las víctimas incluyen defensores de derechos humanos y abogados, figuras religiosas prominentes, periodistas conocidos y funcionarios de organizaciones humanitarias.
La demanda de WhatsApp, presentada en un tribunal de California el martes, ha exigido una orden judicial permanente que impide que NSO intente acceder a los sistemas informáticos de WhatsApp y los de su empresa matriz, Facebook. La demanda también solicitó al tribunal que dictamine que NSO violó la ley federal de los EE.UU. y la ley del estado de California contra el fraude informático, violando sus contratos con WhatsApp y «traspasó injustamente» la propiedad de Facebook.
«Esta es la primera vez que un proveedor de mensajes cifrados está tomando acciones legales contra una entidad privada que ha llevado a cabo este tipo de ataque contra sus usuarios», dijo un portavoz de WhatsApp. «En nuestra queja, explicamos cómo NSO llevó a cabo este ataque , incluido el reconocimiento de un empleado de la NSO de que nuestros pasos para remediar el ataque fueron efectivos».
WhatsApp dijo que había trabajado con Citizen Lab, un grupo de investigación académica con sede en la Escuela Munk de la Universidad de Toronto, para identificar a las víctimas de los ataques y la tecnología utilizada contra ellos, detectando que eran activistas en una sociedad de protección de los derechos humanos.
«La industria del spyware comercial es una que ha tratado de crear un espacio inexplicable para sí misma, convenciendo a los gobiernos a los que vende cosas y al mismo tiempo niega cualquier responsabilidad por los abusos realizados con sus herramientas», dijo John Scott-Railton, investigador senior de Citizen Lab a ArsTechnical. «La demanda de WhatsApp, que es importante y establece precedentes, rompe esa falsa distinción y deja en claro que están dispuestos a responsabilizar a NSO por el Salvaje Oeste que existe en la industria del spyware en general y se refleja en el conjunto de objetivos».
NSO desestimó las acusaciones y escribió en una declaración que el propósito de NSO es proporcionar tecnología a las agencias de inteligencia y de aplicación de la ley del gobierno con licencia para ayudarlos a combatir el terrorismo y los delitos graves.
“Consideramos que cualquier otro uso de nuestros productos que no sea para prevenir delitos graves y terrorismo es un mal uso, que está prohibido por contrato. Tomamos medidas si detectamos algún mal uso», se lee en el comunicado.
La compañía fue adquirida a principios de este año por una firma de capital privado con sede en Londres llamada Novalpina Capital, que en junio dijo que revelaría nuevos estándares de gobierno en la compañía. Novalpina ha acreditado a la tecnología NSO con planes perturbadores para un ataque terrorista en un estadio lleno de gente en Europa y, citando al gobierno mexicano, dijo que ayudó en el arresto del 2011 del narcotráficante conocido como El Chapo.
La compañía israelí dio a conocer detalles de esa nueva «política de derechos humanos» en noviembre, que según su fundación se basó en el «respeto inequívoco de los derechos humanos». Entre otras iniciativas, prometió integrar nuevos procedimientos de diligencia debida para identificar, prevenir y mitigar los «impactos adversos a los derechos humanos» debido al posible abuso de su tecnología. También dijo que realizaría una evaluación del «potencial de impactos adversos para los derechos humanos» derivados del mal uso de los productos de NSO, así como el cumplimiento de «obligaciones contractuales» que evitarían que los clientes de NSO utilicen sus productos para cualquier otra cosa que no sea la investigación de delitos graves.