Nso Group è la controversa società israeliana di intelligence su commissione che serve i governi di tutto il mondo con il suo spyware Pegasus. L’associazione Citizen Lab ha dimostrato con un rapporto l’attività di spionaggio messa con molte probabilità dal governo spagnolo per far fronte alle ingerenze del movimento di indipendenza della Catalogna.

Si riporta una traduzione del rapporto disponibile in originale a questo link

Nel 2019, WhatsApp ha patchato CVE-2019-3568, una vulnerabilità sfruttata da NSO Group per violare i telefoni Android di tutto il mondo con Pegasus. Allo stesso tempo, WhatsApp ha notificato 1.400 utenti che erano stati presi di mira con l’exploit. Tra gli obiettivi c’erano diversi membri della società civile e figure politiche in Catalogna, Spagna. Il Citizen Lab ha aiutato WhatsApp a notificare le vittime della società civile e ad aiutarle a prendere provvedimenti per essere più sicure.

Approfondisci la storia di Pegasus e NSOGROUP

I casi sono stati riportati per la prima volta da The Guardian nel 2020. A seguito di questi rapporti, il Citizen Lab, in collaborazione con le organizzazioni della società civile, ha intrapreso un’indagine su larga scala sull’hacking di Pegasus in Spagna. L’indagine ha scoperto almeno 65 individui presi di mira o infettati da Pegasus o da spyware di Candiru, un’altra società di spionaggio mercenario.

Le prove forensi sono state ottenute dalle vittime che hanno acconsentito a partecipare a uno studio di ricerca con il Citizen Lab. Inoltre, le vittime nominate pubblicamente in questo rapporto hanno acconsentito ad essere identificate come tali, mentre altri obiettivi hanno scelto di rimanere anonimi. I casi confermati di hacking di Pegasus e Candiru (cioè quando lo spyware viene installato con successo su un dispositivo) vengono definiti “infezioni” o “infettati” in tutto il rapporto, mentre “bersaglio” si riferisce a un atto di targeting con spyware Pegasus o Candiru che può corrispondere o meno a un’infezione scoperta forense (cioè perché un dispositivo non era disponibile per l’analisi, o è un Android che è più difficile da analizzare forense). “Hacking” è usato come termine globale per descrivere l’atto di prendere di mira e/o infettare i dispositivi.

L’hacking copre uno spettro della società civile in Catalogna, da accademici e attivisti a organizzazioni non governative (ONG). Anche il governo della Catalogna e i funzionari eletti sono stati ampiamente presi di mira, dai più alti livelli del governo catalano ai membri del Parlamento europeo, ai legislatori e al loro personale e familiari. Non è attribuito in modo definitivo il bersaglio a un governo specifico, ma ampie prove circostanziali indicano il governo spagnolo.

La Spagna mantiene un robusto apparato di sicurezza e di intelligence in gran parte in funzione dell’esperienza del paese con il terrorismo e il crimine organizzato. Il Centro Nazionale di Intelligence (CNI) agisce sia come agenzia di intelligence interna che internazionale, mentre la Guardia Civil è il corpo di polizia e di applicazione della legge del paese di “natura militare“. Entrambi rispondono al capo del governo attraverso il Ministero della Difesa. Come la maggior parte delle agenzie di intelligence dei paesi, le attività del CNI sono avvolte nella segretezza e l’agenzia manca di trasparenza pubblica. Il CNI è stato anche al centro di una serie di scandali di sorveglianza e spionaggio. Garantire la trasparenza e la responsabilità pubblica nelle operazioni dell’apparato di intelligence spagnolo è una sfida duratura, nonostante il requisito di una certa supervisione giudiziaria.

La campagna per una Catalogna completamente indipendente, anche se divisiva, ha gradualmente guadagnato trazione alla fine degli anni ’90. Lo slancio ha poi accelerato in seguito alla crisi finanziaria del 2008. Nel 2009, il comune di Arenys de Munt ha tenuto un referendum sulla questione della secessione (96% a favore, 41% di affluenza). I referendum di autodeterminazione sono stati ritenuti in violazione dell’articolo 2 della Costituzione spagnola del 1978, che sancisce “l’unità indissolubile” della nazione“. Nonostante ciò, Arenys ha ispirato altri comuni catalani a tenere referendum simili. Nell’anno e mezzo successivo, il 58,3% dei comuni catalani – che rappresentano il 77,5% della popolazione della Catalogna – hanno tenuto referendum separati.

Nel 2010, la Corte Costituzionale spagnola ha annullato alcune sezioni dello Statuto di Autonomia del 2006, che regola le relazioni tra Catalogna e Spagna. Questa decisione ha portato a una protesta di massa a Barcellona. Inoltre, significative proteste pro-indipendenza (accompagnate dallo slogan “Catalogna, un nuovo stato europeo“) sono seguite a Barcellona nel 2012. Sulla scia della protesta, il governo catalano ha emesso una risoluzione che afferma “una nuova era basata sul diritto di decidere“. Questa risoluzione, e altre, sono state sistematicamente respinte dalla Corte costituzionale spagnola. Nel 2014, dopo che un tentativo di tenere un referendum ufficiale è stato dichiarato illegale dalla Corte Costituzionale, il governo catalano ha tenuto un referendum di autodeterminazione non vincolante, chiamato anche processo di partecipazione dei cittadini sul futuro politico della Catalogna. Il referendum ha portato a gravi conseguenze per l’allora presidente della Catalogna, Artur Mas, e alcuni altri funzionari del governo.

Nel 2017, Carles Puigdemont, il successore di Mas, ha annunciato davanti al Parlamento catalano che avrebbe tenuto un referendum vincolante sull’indipendenza. Il referendum si è tenuto il 1º ottobre 2017, nonostante la Corte costituzionale spagnola abbia dichiarato il referendum illegale secondo la legge spagnola. Tra coloro che hanno votato, il 90% ha sostenuto l’indipendenza, anche se l’affluenza finale è stata bassa, solo il 42% dei votanti. All’epoca, il portavoce del governo catalano ha dichiarato che il conteggio non includeva le schede sequestrate nei raid della polizia spagnola. Ci sono state anche segnalazioni di polizia che ha allontanato gli elettori dai seggi elettorali. Durante il referendum, Human Rights Watch ha descritto la polizia spagnola come un uso eccessivo della forza nell’affrontare manifestanti pacifici. L’Alto Commissario delle Nazioni Unite per i diritti umani, Zeid Ra’ad Al Hussein, ha chiesto un’indagine indipendente sulla violenza e ha esortato a risolvere la controversia attraverso il dialogo.

Alla fine di ottobre 2017, il Parlamento catalano ha approvato una risoluzione a favore dell’indipendenza, con 72 dei 135 membri che hanno firmato. Il governo spagnolo ha risposto licenziando Puigdemont, sciogliendo il Parlamento catalano e programmando nuove elezioni. Nonostante ciò, i partiti pro-indipendenza hanno vinto la maggioranza nel nuovo parlamento. Puigdemont, nel frattempo, era fuggito dalla Catalogna, accompagnato da diversi colleghi. Anche se alcuni sono poi tornati per affrontare il processo, Puigdemont è rimasto a Bruxelles. In seguito è stato eletto come membro del Parlamento europeo e continua a lottare contro l’estradizione in Spagna.

Secondo quanto riferito, il CNI ha collaborato con le agenzie di intelligence tedesche per intraprendere una sorveglianza su Puigdemont che ha portato al suo arresto del 25 marzo 2018 in Germania. Nell’ottobre 2019, la Corte Suprema di Spagna ha condannato alcuni catalani condannati per sedizione per aver partecipato al referendum del 2017 a pene detentive da nove a 13 anni. Diverse organizzazioni internazionali per i diritti umani hanno fortemente criticato le condanne e le sentenze come potenziali violazioni del diritto internazionale dei diritti umani. La condanna ha scatenato nuove proteste, compresi gli appelli alla disobbedienza civile non violenta organizzati da un movimento indipendentista tecnologico chiamato Tsunami Democràtic. I catalani condannati per sedizione sono stati infine graziati dal governo spagnolo nel 2021.

I tribunali spagnoli hanno stabilito che la secessione catalana è contraria al diritto interno e costituzionale spagnolo. Ma la questione può essere più sfumata sotto il diritto internazionale e solleva questioni giuridiche relative all’integrità territoriale, all’autodeterminazione, alle dichiarazioni di indipendenza, alla secessione e al riconoscimento. I negoziati tra la Catalogna e il governo spagnolo sono ripresi nel settembre 2021, dopo una pausa di un anno e mezzo. Nel febbraio 2022, Pere Aragonès – ora presidente del governo della Catalogna – ha indicato che era aperto a continuare i negoziati con il governo spagnolo.

Mentre la segretezza circonda le pratiche di sorveglianza della Spagna, un certo numero di casi sono venuti alla luce negli ultimi decenni che sono rilevanti per il rapporto e dimostrano una storia di sorveglianza interna e l’uso di spyware da parte delle autorità spagnole. Nel 2001, Mariano Rajoy, allora Ministro degli Interni spagnolo, ha acquistato il Sistema integral de interpretación de las comunicaciones (SITEL), spyware che la Guardia Civil e la CNI usavano per tracciare i telefoni dei sospetti. La Spagna avrebbe anche “colluso” con la National Security Agency (NSA) negli Stati Uniti.

Le rivelazioni di Snowden del 2013 hanno rivelato che la NSA ha intercettato 60 milioni di chiamate in Spagna tra dicembre 2012 e gennaio 2013.

Secondo el Confidencial, il CNI e la Polizia Nazionale hanno pagato almeno 209.000 euro alla società milanese di software di sorveglianza Hacking Team per l’uso del suo spyware nel 2010. L’acquisto è stato rivelato per la prima volta nel 2015 quando WikiLeaks ha pubblicato e-mail interne di Hacking Team. El País ha poi riferito che il contratto con il CNI era “valido dal 2010 al 2016, per un valore di 3,4 milioni di euro“. Il CNI ha riconosciuto di aver acquistato lo spyware all’epoca, dicendo di averlo fatto “in conformità con le leggi sugli appalti del settore pubblico“. Il CNI ha rifiutato di dare ulteriori informazioni su ciò che ha fatto con lo spyware di Hacking Team. Nel 2015, il Citizen Lab ha mappato la proliferazione di Finfisher, una sofisticata suite spyware venduta esclusivamente ai governi per scopi di intelligence e di applicazione della legge, e ha identificato un sospetto cliente spagnolo.

L’ultimo scandalo di spionaggio mirato in Spagna è emerso pubblicamente nel 2020, quando diversi catalani di spicco hanno annunciato che WhatsApp e il Citizen Lab avevano notificato loro di essere stati presi di mira nella violazione WhatsApp Pegasus del 2019. Il primo a farlo è stato Roger Torrent, allora presidente pro-indipendenza del Parlamento catalano. L’attività di spionaggio ai danni del “bersaglio” Torrent con lo spyware di NSO Group è stato confermato da WhatsApp. Ernest Maragall, leader del partito pro-indipendenza, con sede a Barcellona, Sinistra Repubblicana di Catalogna, è stato il secondo bersaglio a farsi avanti, seguito da Anna Gabriel, un ex deputato regionale per il partito di estrema sinistra, la Candidatura di Unità Popolare (CUP), l’attivista Jordi Domingo, e lo staffer di Puigdemont, Sergi Miquel Gutiérrez. Gabriel è stata presa di mira mentre viveva in Svizzera. L’ufficio del primo ministro spagnolo ha affermato di “non essere al corrente” di questo spionaggio. Tuttavia, nel 2020, El País ha confermato che il governo spagnolo era un cliente di NSO Group, e che il CNI utilizzava attivamente lo spyware Pegasus. Un ex dipendente di NSO ha commentato a Motherboard che “‘erano davvero molto orgogliosi di loro come cliente‘ … ‘Finalmente, uno stato europeo‘”.

Con il consenso degli obiettivi, Citizen Lab ha ottenuto artefatti forensi dai loro dispositivi che hanno esaminato per le prove delle infezioni di Pegasus con cui hanno fatto un’analisi forense che gli ha permesso di concludere con grande sicurezza che, delle 63 persone prese di mira con Pegasus, almeno 51 sono state infettate.

Quasi tutti gli incidenti si sono verificati tra il 2017 e il 2020, seppur l’azione sia iniziata nel 2015. Tutti gli obiettivi nominati pubblicamente in questo rapporto hanno acconsentito ad essere identificati come tali.

Oltre alle conferme forensi, Citizen Lab ha identificato ulteriori casi di catalani presi di mira dai tentativi di infezione di Pegasus, ma in cui non sono stati stati in grado di convalidare con attività forense per diverse ragioni, che vanno dai dispositivi cambiati o scartati.

• Individui con infezioni confermate a livello forense 51
• Individui presi di mira via SMS o WhatsApp con tentativi di infezione Pegasus, senza conferma forense di un’infezione riuscita. 12
• Totale degli obiettivi di Pegasus 63

La Spagna ha un’alta prevalenza di Android su iOS (80% Android nel 2021). Aneddoticamente, questo si riflette in qualche modo negli individui che abbiamo contattato. Poiché gli strumenti forensi per il rilevamento di Pegasus sono molto più sviluppati per i dispositivi iOS, Citizen Lab afferma che questo rapporto sottovaluti pesantemente il numero di individui che probabilmente sono stati presi di mira e infettati da Pegasus perché avevano dispositivi Android.

Prendere di mira amici, familiari e parenti stretti è una pratica comune per alcune operazioni di hacking. Questa tecnica permette ad un attaccante di raccogliere informazioni su un obiettivo primario senza necessariamente mantenere l’accesso al dispositivo di quella persona. In alcuni casi, l’obiettivo primario può anche essere infettato, ma in altri questo potrebbe non essere fattibile per vari motivi.

Sono stati osservati diversi casi di targeting relazionale o “fuori centro“: coniugi, fratelli, genitori, personale o stretti collaboratori di obiettivi primari sono stati presi di mira e infettati con Pegasus. In alcuni casi questi individui potrebbero anche essere stati presi di mira, ma le informazioni forensi non erano disponibili. In altri, non abbiamo trovato alcuna prova che un obiettivo primario sia stato infettato da Pegasus, ma abbiamo trovato la presa di mira dei loro familiari.

Per esempio, un individuo preso di mira con Candiru aveva una carta SIM statunitense nel suo dispositivo e risiedeva negli Stati Uniti. Non abbiamo trovato prove che questo individuo fosse infettato da Pegasus. Questo è coerente con i rapporti che la maggior parte dei clienti di Pegasus non sono autorizzati a prendere di mira i numeri statunitensi. Tuttavia, entrambi i genitori dell’obiettivo usano telefoni con numeri spagnoli e sono stati presi di mira il giorno in cui l’obiettivo primario è tornato in Spagna dagli Stati Uniti. Nessuno dei due genitori è politicamente attivo o probabilmente è stato preso di mira a causa di chi sono o cosa fanno.

Molteplici organizzazioni della società civile catalana che sostengono l’indipendenza politica catalana sono state prese di mira con Pegasus, tra cui Òmnium Cultural e Assemblea Nacional Catalana (ANC). Sono stati presi di mira anche i catalani che lavorano nelle comunità dell’open-source e del voto digitale. Questa sezione evidenzia una selezione dei casi.

Alla ANC, cinque membri del consiglio sono stati presi di mira, tra cui il professore universitario Jordi Sànchez (presidente, 2015 – 2017). È interessante notare che Sànchez è stato preso di mira per la prima volta con un tentativo di infezione di Pegasus via SMS 2015, poco dopo una grande manifestazione a Barcellona. Questo è il primo tentativo di infezione di Pegasus che abbiamo osservato, poiché la maggior parte del targeting scoperto da questa indagine sembra essere avvenuto tra il 2017 e il 2020.

Organizzazione Numero di obiettivi

• Òmnium Cultural 4
• ANC 5

Tra il 2017 e il 2020, Sànchez ha ricevuto almeno altri 25 SMS di Pegasus, la maggior parte dei quali mascherati da aggiornamenti di notizie relative alla politica catalana e spagnola. Ha anche ricevuto messaggi che pretendevano di provenire dalle autorità fiscali e di sicurezza sociale spagnole.

I messaggi ricevuti da Sànchez spesso coincidevano con importanti eventi politici. Ad esempio, il 20 aprile 2017, è stato preso di mira il giorno prima delle riunioni del governo catalano con gruppi della società civile per discutere il referendum di ottobre. Mesi dopo, proprio quando i seggi elettorali hanno aperto il 1 ottobre 2017, è stato preso di mira con un messaggio allarmante che diceva che stava iniziando una “offensiva” della polizia. L’analisi forense conferma che Sànchez è stato infettato almeno quattro volte con Pegasus tra maggio e ottobre 2017.

Sanchez è tra i catalani di spicco arrestati, e poi graziati, per il loro ruolo nel Referendum. Una delle infezioni è avvenuta il 13 ottobre 2017, pochi giorni prima del suo arresto. È interessante notare che gli SMS che hanno preso di mira il suo telefono nel 2020 hanno coinciso con i giorni in cui gli è stato concesso il rilascio per il fine settimana dal carcere.

La professoressa Elisenda Paluzie (presidente dell’ANC, 2018 – 2022) è un’importante economista, accademica e attivista catalana. Prima del suo ruolo con l’ANC, è stata preside della Facoltà di Economia e Commercio dell’Università di Barcellona.

Stava lavorando da casa durante il blocco di COVID quando è arrivato il primo tentativo di infezione di Pegasus. Si spacciava per una notizia sull’ANC. Il 10 giugno 2020, mentre era in corsa per un posto nel consiglio di amministrazione dell’ANC e mentre iniziava la votazione online, è arrivato un secondo tentativo di infezione. Si è mascherato come un aggiornamento di Twitter da un giornale catalano.

Un altro membro del consiglio ANC, Sònia Urpí Garcia, è stato infettato da Pegasus il 22 giugno 2020, poco più di una settimana dopo essere stato eletto al ruolo il 13 giugno 2020.

Obiettivo: Òmnium Cultural
Molteplici individui intorno a Òmnium sono stati analogamente bersagliati da Pegaus. Questi includevano la giornalista Meritxell Bonet, che è la moglie dell’ex presidente di Òmnium Jordi Cuixart. Bonet è stata presa di mira mentre Cuixart stava affrontando le accuse per il suo ruolo nel referendum del 2017, e infettata il 4 giugno 2019, non molto tempo prima che dovesse fare le sue dichiarazioni finali al processo. È stato poi condannato nell’ottobre 2019, e graziato nel 2021.

Il giornalista e storico Marcel Mauri è diventato vicepresidente di Òmnium dopo che Cuixart è stato condannato il 14 ottobre 2019. Entro dieci giorni dall’assunzione del ruolo, il 24 ottobre 2019, abbiamo trovato le prove di quella che sarebbe stata la prima di tre infezioni Pegasus del suo telefono. Sono state trovate prove di un ampio targeting SMS di Pegasus a cavallo di quel periodo, a partire da febbraio 2018 e fino a maggio 2020.

Anche Elena Jiménez, un altro membro del comitato esecutivo e rappresentante internazionale di Òmnium, è stata infettata da Pegasus. Anche se non siamo in grado di determinare la data dell’infezione, il caso è interessante: il suo ruolo includeva il dialogo con le ONG di tutta Europa, tra cui Amnesty International e Frontline Defenders. La compromissione delle sue comunicazioni avrebbe probabilmente fornito una visione unica degli sforzi di advocacy catalani.

Jordi Bosch, anche lui membro del consiglio esecutivo, è stato infettato da Pegasus l’11 luglio 2020 o intorno a tale data.

Joan Matamala gestisce una libreria e una fondazione che promuove la lingua e la cultura catalana, originariamente fondata da suo padre per sfidare la dittatura di Franco. Matamala ha anche recentemente fondato la Fondazione Nord che promuove il software di partecipazione cittadina open-source. L’esame forense del suo telefono indica che è stato anche infettato almeno 16 volte con Pegasus tra agosto 2019 e luglio 2020.

Matamala è stato anche infettato con lo spyware Candiru. Altri membri della comunità open-source catalana che lavorano su software di voto e decentralizzazione sono stati presi di mira in modo simile con Candiru.

Diversi avvocati che rappresentano importanti catalani sono stati presi di mira e infettati con Pegasus, alcuni in modo esteso. Mentre non tutti hanno acconsentito ad essere nominati, il targeting suggerisce che questo gruppo era un obiettivo specifico per il monitoraggio.

Ad esempio, il noto avvocato Gonzalo Boye, che rappresenta Puigdemont (tra gli altri), è stato preso di mira almeno 18 volte con tentativi di infezione tra gennaio e maggio 2020. Alcuni dei messaggi erano mascherati da tweet di organizzazioni come Human Rights Watch, The Guardian, Columbia Journalism Review e Politico.

Boye è stato infettato con successo da Pegasus intorno al 30 ottobre 2020. La tempistica è interessante: uno dei suoi clienti era stato arrestato appena 48 ore prima dell’infezione.

Andreu Van den Eynde, avvocato di importanti catalani Oriol Junqueras, Roger Torrent, Raül Romeva e Ernest Maragall, è stato infettato il 14 giugno 2020. Jaume Alonso-Cuevillas, un avvocato che ha rappresentato anche Puigdemont, è stato infettato da Pegasus, anche se non siamo stati in grado di determinare la data dell’infezione. Alonso-Cuevillas è attualmente un membro del Parlamento della Catalogna, ex decano dell’Ordine degli avvocati di Barcellona ed ex presidente della Federazione europea degli avvocati.

I politici catalani sono stati ampiamente infettati da Pegasus. Il bersaglio ha avuto luogo durante i delicati negoziati tra il governo catalano e quello spagnolo. Questa sezione elenca una selezione dei casi.