El 18 de abril, Citizen Lab, un laboratorio de tecnología y derechos humanos de la Universidad de Toronto, publicó en su web un informe, que bautizó con el nombre de Catalangate, en el que explicaba que, “en colaboración con grupos de la sociedad civil catalana”, había identificado al menos a 65 individuos cuyos móviles y dispositivos digitales habían sido atacados o infectados con software malicioso. 63 de estas personas habían sido atacadas con el programa Pegasus y 4, con el programa Candiru. Dos personas afectadas habrían sido atacadas con ambos programas. Al final del informe aparece el listado de estas supuestas víctimas. En este listado, hay 28 personas de las que Citizen Lab reconoce que no sabe en qué fechas fueron espiadas.
Hay quince personas que el laboratorio dirigido por Ronald Deibert incluye en el listado de víctimas sin ofrecer razón alguna de cuando y como fueron espiadas: Albano-Dante Fachín, Anna Gabriel, una persona anónima, Arnaldo Otegi, Artur Mas, David Madí, Elena Jiménez, Ernest Maragall, Jaime Alonso Cuevillas, Joan Ramon Casals, Jordi Domingo, Marc Solsona, Meritxell Serret, Sergi Miquel y Miriam Nogueras. Todas estas personas aparecen en la columna titulada “infecciones confirmadas de forma forense”, pero Citizen Lab reconoce que es “incapaz de determinar las fechas concretas de infección” y no se explica por qué sistema fueron infectados.
En total, en el Catalangate de este laboratorio hay 28 personas de las que no ha sabido determinar cuándo fueron infectadas. Además de las 15 citadas, se trata de Arià Bayé, David Fernández, Elías Campo, Elsa Artadi, Ferran Bel, José María Jové, Laura Borràs, Marta Pascal, Meritxell Budó, Pau Escrich, Pere Aragonès, Roger Torrent y Xavier Vives. De ellas sí que se dice que recibieron sms falsos para facilitar la infección de sus teléfonos móviles.
Hay casos curiosos como los de Elsa Artadi, Ferran Bel, Laura Borràs, David Fernández, Marta Pascal o Roger Torrent en los que Citizen Lab indica que detectó que habían recibido sms que al abrirlos permitían la infección con Pegasus pero que después no pudieron comprobar que se hubiesen infectado. Estas carencias del informe han comportado que un grupo de 16 profesores y científicos de una docena de centros universitarios de varios países y seis eurodiputados de Ciudadanos hayan pedido que la Universidad de Toronto convoque una comisión independiente que analice los informes forenses de Citizen Lab que le han llevado a las conclusiones que ha expuesto en su Catalangate.
Jonathan Scott, un experto en investigación de este tipo de tecnologías de Dallas, impulsor de un portal de apoyo a hackers éticos, pidió a Citizen Lab que le suministrara las muestras que justificaban sus conclusiones. El pasado 19 de junio, Scott escribía un mensaje en Twitter en el que recordaba que “han pasado más de 2 meses desde que pedí formalmente muestras de software espía a @citizenlab y no he recibido ninguna respuesta. Me dio permiso para estudiar sus muestras una persona que se confirmó que estaba infectada». No ha trascendido quién es la víctima del Catalangate que ha autorizado a Scott para que pida a Citizen Lab que le facilite sus muestras. El investigador norteamericano tiene fijado, desde el 17 de mayo, este mensaje en su perfil de Twitter: “He redactado un proceso que puede reproducirse que confirma que se pueden atribuir fácilmente resultados de falsos positivos a muestras de software espía #Pegasus. Demuestro que las identificaciones positivas de Pegasus en #CatalanGate de @citizenlab no sólo son irresponsables, sino que son infundadas”.
Sin embargo, ni Citizen Lab ni la universidad de la que depende han querido compartir esas inspecciones forenses. Aunque se opongan a que las revise una comisión independiente o Jonathan Scott, más pronto o más tarde tendrán que ponerlas a disposición de los juzgados que investigan el llamado Catalangate.
