Una revisión del informe “Destapando a Citizen Lab. Desmintiendo el CatalanGate” llega a la conclusión de que el colectivo canadiense que publicó el 18 de abril que 65 teléfonos de personas partidarias de la independencia de Catalunya habían sido espiados con programarios maliciosos socava los propósitos de las democracias. Jonathan Scott, el investigador en ciberseguridad que es autor del informe y de su revisión, publicó en Twitter, el pasado 25 de noviembre, un análisis de los cuatro casos de supuesto espionaje que Citizen Lab comunicó a Amnistía Internacional (AI) para que contrastara si había realizado correctamente la detección de la infección. Se trata de los teléfonos de los dirigentes de la Assemblea Nacional Catalana (ANC) Jordi Sánchez, Elisenda Paluzie y Sònia Urpí y de la compañera de Jordi Cuixart, ex presidente de Òmnium Cultural, Txell Bonet.
Estos cuatro casos son los únicos de los que se dispone de información pública del total de 65 supuestos afectados por el espionaje con los softwares maliciosos Pegasus y Candiru, según Citizen Lab. Y se conoce esta información porque Amnistía Internacional la compartió github.com, un portal que permite analizar los códigos de los distintos programas que se usan en Internet. Citizen Lab se ha negado reiteradamente a hacer lo mismo con el resto de casos y también a que una comisión independiente los analice.
Cuatro expertos en ciberseguridad detectaron que una de las direcciones por las que Citizen Lab imputaba espionaje con Pegasus a los teléfonos que pidió que fueran analizados por Amnistía Internacional correspondía a una actualización de los programas contenidos en todos los Iphones. Los responsables técnicos de Amnistía Internacional reconocieron el error. Quien realizó estos análisis por parte de AI fue Etienne Maynier, que había trabajado en Citizen Lab hasta abril de 2021.
Scott también desvela en su revisión de las validaciones hechas por AI que uno de los cuatro casos que estudió -el de Sonia Urpí Garcia– no apareció en su informe hasta más de cien días después que los de los otros tres analizados. Citizen Lab publicó su CatalanGate el pasado 18 de abril y al día siguiente AI daba por buena su conclusión de que los teléfonos de Sánchez, Paluzie y Bonet habían sido espiados con Pegasus. Tardó más de cien días en hacer lo mismo con el de Urpí, cuando ya figuraba desde hacía meses en los listados del CatalanGate profusamente distribuidos por el colectivo canadiense y la ANC.
El CatalanGate de Citizen Lab no cumple ninguno de los requerimientos que exige la Agencia de la Unión Europea para la Seguridad de la Información en Internet (ENISA), según denuncia Scott. Además, señala que AI y Citizen Lab no dan respuesta a preguntas fundamentales como “¿Quién ordenó el examen forense?”, “¿Dónde se pueden encontrar los registros de la cadena de custodia de los datos?”, “¿Cómo se transportaron los teléfonos para que fueran analizados?”, “¿Están los teléfonos supuestamente espiados accesibles para contrastar las conclusiones a las que se ha llegado?”.
Jonathan Scott concluye que «no hay pruebas para demostrar que ni el gobierno español ni el software espía fuesen utilizados» en el CatalanGate de Citizen Lab, y que la ocultación de información por parte del colectivo canadiense en este caso y en otras investigaciones que ha realizado «han llevado a líderes mundiales a tomar decisiones basadas en informaciones falsas». Por eso asegura que “permitir a Citizen Lab y a Amnistía Internacional que sigan presentando investigaciones sin ser contrastadas por un verdadero análisis imparcial es un peligro. Continuar permitiendo que estas organizaciones actúen con impunidad y no tener en cuenta los requisitos legales y estándares globales para la realización de análisis forenses socava todos los propósitos de una democracia”.
Jonathan Scott pidió comparecer ante la Comisión del Parlamento europeo que estudia el uso del software Pegasus en 12 países de la Unión Europea, conocida como comité PEGA. No se le ha convocado todavía. Sí se convocó al profesor de Ciencia Política y Administración de la UNED José Javier Olivas, que ha liderado la reclamación de decenas de expertos y docentes internacionales de que se cree una comisión independiente que tenga acceso a los datos del llamado CatalanGate. Citizen Lab, sin embargo, promovió una campaña de presión contra su comparecencia y, finalmente, logró que se anulara tres días antes de que se celebrara la sesión del comité PEGA al que estaba citado. Citizen Lab también quería que se anulara la comparecencia del catedrático de Computación de la Universidad de Valencia Gregorio Martín pero no lo consiguió. Martín calificó de «falacia» el CatalanGate de Citizen Lab durante su comparecencia en Bruselas.
