Tiempo de lectura: 15 minutos
TL;DR
El spyware comercial ha desplomado el precio del movimiento más antiguo del arte de gobernar: saber lo que sabe el otro y tener algo con lo que apretar a quien decide. Un Estado mediano puede ahora alquilar capacidad zero-click que antes era exclusiva de los servicios de inteligencia de primer nivel, apuntarla al presidente de otro país y convertir el botín — mensajes privados, ubicaciones, contactos, posiciones negociadoras, secretos personales — en palanca sobre una frontera, un voto, un reconocimiento, una sede. Esta es la entrada SRF-IWS sobre la coacción por malware: cómo funciona como doctrina y cómo se defiende un gobierno. El caso público es el asunto Pegasus en España — está confirmado que los teléfonos del presidente Pedro Sánchez y de la ministra de Defensa Margarita Robles fueron infectados con el Pegasus de NSO Group en 2021; está alegado y bajo investigación judicial, y firmemente negado por Rabat, que detrás estuviera Marruecos; y es mi análisis, no un hecho probado, que la intrusión encaja en un patrón más amplio de cesiones españolas a Marruecos. Mantengo esos tres niveles separados a propósito, porque el mecanismo importa más que el veredicto — y el mecanismo debería aterrar a cualquier gobierno que todavía trate el móvil personal de un ministro como un asunto personal. Método a nivel de vector de amenaza, defensas al final.
Descargo de responsabilidad, por partida doble — aquí sí hay nombres. Este artículo es defensivo y se mantiene a nivel de vector de amenaza. Donde afirmo algo como hecho, es público y está referenciado. Donde la atribución está en disputa, lo digo y señalo el desmentido. Donde conecto sucesos en un patrón, lo etiqueto como mi propia lectura, no como una conclusión. Nada de esto es un manual operativo; es un análisis a nivel de doctrina para quienes construyen y defienden la seguridad de un gobierno. Como en el resto de la serie SRF-IWS, el objetivo es la planificación Blue Team. Soy un profesional de seguridad, no un tribunal; trata lo discutido como discutido.
Hay un tipo particular de intrusión que no se siente como un hackeo. No se vulnera ningún servidor, no se asalta ninguna embajada, no se filtra ningún documento. Un teléfono — el que un jefe de gobierno lleva en el bolsillo en cada reunión clasificada — simplemente empieza a responder a otro. Sigue sonando, sigue dando la hora correcta, sigue teniendo el mismo aspecto que ayer. Y en algún lugar fuera del país, un oficial de caso lee los mensajes del presidente antes que su propio jefe de gabinete.
Esa es el arma de la que trata este post, y lo incómodo es que se alquila.
Qué ocurrió de verdad: el núcleo confirmado
Empiezo por lo que no está en disputa, porque el resto solo importa si el cimiento es sólido.
En mayo de 2022, el Gobierno de España confirmó que el móvil del presidente Pedro Sánchez había sido infectado con Pegasus, el spyware de la firma israelí NSO Group. El ministro de la Presidencia, Félix Bolaños, calificó la intrusión de «ilícita» y «externa» — ajena a los organismos del Estado y sin autorización judicial. Según el relato del Gobierno de mayo de 2022, el teléfono de Sánchez fue comprometido dos veces en mayo de 2021, y el de la ministra de Defensa Margarita Robles una vez en junio de 2021, con un volumen significativo de datos exfiltrado. Días después, la directora del CNI fue destituida. La investigación judicial posterior elevaría aún más las cifras — cinco infecciones del teléfono del presidente entre 2020 y 2021 y cuatro del de Robles, con más de 2,5 GB de datos extraídos solo del dispositivo de Sánchez.
Pegasus es la razón por la que esto es una historia sobre poder de Estado y no sobre phishing. Es un arma zero-click: en su apogeo podía comprometer un iPhone plenamente actualizado sin un toque, sin un enlace, sin ningún error del objetivo — un mensaje silencioso que se instala, se ejecuta y borra su propio rastro. Citizen Lab y el Security Lab de Amnistía Internacional documentaron la técnica; el mismo instrumental apareció en «CatalanGate», donde los investigadores hallaron al menos a 65 personas del entorno político y civil catalán espiadas con Pegasus y Candiru entre 2017 y 2020 — una operación que Citizen Lab vinculó por indicios a un «fuerte nexo» con entidades del Estado español, absteniéndose de atribuirla de forma concluyente.
Así que el núcleo confirmado es este: los dos teléfonos más relevantes para la seguridad del Estado español pertenecieron, durante un tiempo, a un tercero. Eso no es un bochorno. Es un incidente de seguridad nacional.
Quién lo hizo: la parte en disputa
Aquí bajo el ritmo, porque es donde el lenguaje cuidadoso no es opcional.
El Gobierno no nombró, en 2022, al autor. Desde entonces, la investigación en la Audiencia Nacional ha apuntado — según la prensa española — cada vez más hacia Marruecos, apoyándose en la cooperación judicial de Francia, donde también se alegó espionaje con Pegasus a cargos públicos. La información de 2026 ha ido más lejos, vinculando la entrada masiva de migrantes en Ceuta de mayo de 2021 — cuando miles de personas cruzaron al enclave español tras un abrupto relajamiento del control fronterizo marroquí — con una represalia marroquí contra España, y encuadrando la operación Pegasus dentro de la misma campaña de presión.
Marruecos lo niega todo. Ningún tribunal ha emitido una atribución firme mientras escribo esto — y en enero de 2026 el juez instructor de la Audiencia Nacional archivó provisionalmente la causa, no por falta de rastro sino por falta de cooperación, después de que Israel ignorara cinco peticiones formales de auxilio para identificar quién operó la licencia de Pegasus. El caso está suspendido, no resuelto. Ese desenlace es la tesis en miniatura: esta arma funciona en parte porque la atribución se atasca de forma fiable — la negación plausible viene de fábrica, y los tribunales se quedan sin camino antes de que se llegue a nombrar al operador.
Así que el estado honesto de la cuestión es: la intrusión está confirmada; el autor está alegado. Voy a escribir el resto analizando el patrón — porque el patrón es instructivo con independencia de qué Estado, al final, se pruebe que tuvo el mando a distancia. Si resultara no ser Marruecos, cada palabra sobre el mecanismo sigue en pie, apuntada a quien fuera.
Y el conflicto no es un expediente cerrado de 2021 — está vivo mientras escribo esto. A finales de agosto de 2026, un grupo hacktivista que se hace llamar Jabaroot afirmó haber filtrado datos personales de decenas de miles de supuestos agentes de seguridad e inteligencia marroquíes, presentando la filtración, en sus propias palabras, como un mensaje dirigido a España y ligado a la crisis de Ceuta de 2026 — la mayor avalancha migratoria en la historia del enclave, cuando más de 60.000 personas cruzaron a la ciudad española en cuestión de días a finales de julio, un colapso que numerosas informaciones atribuyen a una vía libre desde el lado marroquí. La afirmación no está verificada, deliberadamente no reproduzco ninguno de esos datos, y el hack-and-leak es un instrumento distinto del implante silencioso en el teléfono del que trata este artículo. Pero cabe aquí como contexto: la relación de inteligencia entre España y Marruecos es un conflicto encubierto abierto y de doble sentido, y el spyware es una herramienta más dentro de un arsenal mucho mayor. Y a 26 de agosto el filtrador ha empezado a apuntar directamente al asunto de este artículo — insinuando en público supuesto material de Pegasus ligado a Sánchez — sin que haya aún prueba de que ese material sea real ni de que lo tenga en su poder.
El mecanismo: cómo un teléfono se convierte en palanca
Quita la geopolítica y la coacción por spyware es una cadena limpia y repetible. Este es el núcleo SRF-IWS, a nivel de doctrina.
Selección del objetivo. No necesitas el teléfono del principal si puedes tener a la gente que lo rodea. Jefes de gabinete, secretarios privados, asesores, cónyuges, conductores, el periodista en quien confía el ministro — el séquito es el borde blando de un objetivo duro, y cada uno es una ventana a la misma sala. El principal es el premio; el círculo es la vía de entrada.
Entrega. El spyware comercial convirtió la capacidad en una orden de compra. Las cadenas zero-click implican que la operación no depende de los errores del objetivo, solo del inventario de exploits del proveedor. Un Estado que jamás podría construir esto puede ahora licenciarlo, apuntarlo y negarlo — la capa de negación plausible viene incluida en el producto.
Recolección. Una vez instalado, el implante no es un pinchazo; es el dispositivo. Mensajes antes y después del cifrado, micrófono y cámara en vivo, historial de ubicación, contactos, calendarios, fotos, gestores de contraseñas. Salen dos clases de oro: kompromat — el material privado que vuelve coaccionable a una persona — e inteligencia posicional — lo que el otro gobierno piensa, teme y aceptaría de verdad.
Explotación. Aquí la inteligencia se convierte en coacción, y corre sobre dos raíles. El primero es el chantaje: palanca sobre un individuo, presión silenciosa para que actúe, ceda o mire hacia otro lado. El segundo es más sutil y a menudo más valioso: la anticipación. Un Estado que ha leído el teléfono de tu presidente no tiene que ganar la negociación — ya conoce tus líneas rojas, tu posición de repliegue y la fecha en que cederás. Se sienta a la mesa habiendo leído los apuntes del otro lado.
Efecto. El resultado no es un dato. Es una decisión que se tuerce: una frontera que se abre o se cierra a la orden, un voto retenido, una posición revertida, una sede adjudicada. El malware está aguas arriba de la política exterior.
Figura 1. La doctrina como árbol de ataque. La cadena es AND entre las cinco fases — necesitas selección y entrega y recolección y explotación y efecto — con OR dentro de cada una, porque basta con un único objetivo, ruta o recompensa. Rompe una sola fase y se rompe la cadena, que es justo adonde apunta el manual defensivo.
Mi lectura: de la intrusión a la cesión
Ahora la parte que marco explícitamente como análisis, no hecho.
Mira la cronología española como yo miro una cadena de ataque y el patrón cuesta no verlo. La entrada en Ceuta (mayo de 2021) como presión en bruto. El compromiso del teléfono del presidente (mayo de 2021). Y luego, en marzo de 2022, el giro abrupto de España sobre el Sáhara Occidental — Sánchez respaldando el plan de autonomía de Marruecos y poniendo fin a décadas de estudiada neutralidad, un cambio que pilló por sorpresa a su propia coalición y a Argelia por igual. Desde entonces, un deshielo en la cooperación migratoria y el Mundial 2030 compartido, hasta la puntillosa disputa sobre qué país acoge la final.
Quiero ser preciso sobre lo que digo y lo que no. No afirmo que el spyware causara esas decisiones; eso no está probado y puede que nunca lo esté. Sí digo que esto es exactamente lo que el mecanismo anterior parecería visto desde fuera, y que un gobierno que descubre que el teléfono de su líder estuvo en manos ajenas durante la antesala de una cesión mayor le debe a sus ciudadanos una pregunta más dura de la que ha hecho en público. El valor del caso no es un veredicto. Es que vuelve concreta la doctrina.
Esto es una categoría, no un caso aislado
Sería un error — y francamente un artículo menos honesto — tratar esto como una historia de Marruecos. El spyware comercial como instrumento de Estado es hoy un mercado global, y Europa es a la vez cliente y víctima.
El Parlamento Europeo montó una comisión entera, PEGA, precisamente porque se pilló a Estados miembros usando esta clase de herramienta contra periodistas, opositores y entre ellos mismos. Polonia usó Pegasus contra políticos de la oposición. Hungría contra periodistas. El «Predatorgate» griego puso el spyware Predator (de la alianza Intellexa/Cytrox) en el centro de un escándalo que alcanzó al círculo del propio primer ministro. Fuera de Europa, México fue uno de los mayores clientes de NSO y volvió la herramienta contra periodistas y activistas; el instrumental apareció alrededor de allegados del periodista asesinado Jamal Khashoggi; hubo objetivos en Jordania, el Golfo y más allá. El hilo conductor no es un único villano. Es que una capacidad que antes exigía un Fort Meade ahora exige un contrato, y las salvaguardas son en su mayoría aspiracionales.
Esa es la verdadera advertencia del caso español: no que un vecino haya podido cruzar una línea, sino que la línea es barata de cruzar y casi todo el que tiene presupuesto está parado junto a ella.
El manual defensivo
Nada de esto es un consejo de resignación. Es un consejo de tratar el teléfono del principal como el terreno disputado de seguridad nacional en que se ha convertido. Esto es lo que pondría delante de cualquier equipo de protección gubernamental o CISO de Estado.
Fortifica los dispositivos del principal como si ya fueran objetivo — porque lo son. Terminales bloqueados y aprovisionados al mínimo; el Modo de Aislamiento (Lockdown) de Apple, o el equivalente de la plataforma, para principales de alto riesgo; rotación agresiva de dispositivos; y — crítico — ningún teléfono personal en espacios clasificados. El dispositivo cómodo es la superficie de ataque.
Defiende el círculo, no solo la corona. El séquito es la vía de entrada. Asesores, familia y personal cercano necesitan el mismo briefing, los mismos dispositivos fortificados y la misma disciplina que el principal. Un programa de protección que se detiene en una persona es teatro.
Asume que el teléfono es hostil y diseña las comunicaciones en torno a eso. Segrega la conversación sensible en canales controlados, efímeros e idealmente aislados (air-gapped). La regla para cualquier cosa que sería palanca en una capital extranjera: no ocurre en un dispositivo que llevas por un aeropuerto.
Instrumenta para detectar. Los implantes zero-click son silenciosos, no invisibles. La adquisición forense rutinaria de los dispositivos de alto riesgo (la metodología detrás del Mobile Verification Toolkit de Amnistía), la defensa frente a amenazas móviles y una relación estable con un laboratorio capaz de hacer forense de verdad convierten el «nunca lo sabremos» en «lo pillamos en los logs».
Trata una infección confirmada de un jefe de Estado como un incidente, no como un bochorno. La peor respuesta a admitir que el móvil del presidente fue comprometido es enterrarlo para evitar la política doméstica. La atribución, las consecuencias y la rendición pública de cuentas son en sí mismas disuasión; el silencio es una invitación a repetirlo.
Conviértelo también en un problema de política pública y de compras. Controles nacionales y regulación a nivel de la UE sobre el spyware comercial, controles de exportación sobre los proveedores, y límites duros al uso de estas herramientas por tus propios servicios — porque un Estado que normaliza comprar esta capacidad no tiene autoridad para quejarse cuando se usa contra su propio Consejo de Ministros. La comisión PEGA escribió las recomendaciones; la brecha es la aplicación.
En resumen
Durante casi toda la historia, leer la mente de otro gobierno exigía un espía en la sala, un topo en el ministerio o un asalto a la embajada — caro, lento y peligroso. El spyware comercial convirtió todo eso en un contrato de licencia y un número de teléfono. La consecuencia es que la soberanía pasa ahora por un dispositivo de consumo: un Estado que puede leer el teléfono de tu presidente no necesita ganarte el argumento, superarte en la maniobra ni esperarte más — ya sabe cómo vas a argumentar, dónde vas a maniobrar y cuánto vas a esperar.
Figura 2. Lo mismo en línea recta: un Estado patrocinador adquiere capacidad negable, compromete el teléfono, recolecta todo, convierte el botín en palanca y lo cobra como cesión. Las «debilidades» que aprovecha —entrega zero-click, spyware-as-a-service de alquiler, un dispositivo personal que entra en salas clasificadas— son propiedades estructurales, no fallos de software: por eso no hay parche, solo postura.
El asunto España–Pegasus es la ventana pública más clara que tenemos a ese mundo — una intrusión confirmada, un autor en disputa y un patrón que debería hacer que cualquier gobierno mire con dureza el dispositivo en el bolsillo de su líder. Se pruebe o no en los tribunales quién tenía la mano en el mando, la lección no espera al veredicto: el teléfono no es personal, el séquito es el perímetro, y la vida privada de un líder es ahora una superficie de ataque nacional.
Trátalo así antes de que lo haga otro.
Mantente paranoico. Fortifica al principal. Asume que el teléfono escucha.
- X (Twitter): @SimonRoses
Lecturas adicionales:
- El País — cobertura del caso Pegasus
- Newtral — qué es el caso Pegasus (explicación)
- Citizen Lab — CatalanGate
- Amnistía Internacional — Proyecto Pegasus / Security Lab
- Forbidden Stories — The Pegasus Project
- Parlamento Europeo — comisión de investigación PEGA sobre spyware
- Público — un grupo hacktivista filtra datos de ~70.000 supuestos agentes de seguridad marroquíes (ago. 2026)
- El Mundo — Jabaroot y la mayor brecha documentada contra los servicios de seguridad de Marruecos (ago. 2026)
- Infobae — la crisis de Ceuta en cinco claves (ago. 2026)
¿Preguntas o comentarios? Contacta a través de:
- Web: vulnex.com
- Estrategia de Seguridad en IA: vulnex.ai
- Twitter/X: @SimonRoses
- LinkedIn: linkedin.com/in/simonroses
- GitHub: github.com/vulnex
¿Necesitas defender a principales y personal sensible frente a amenazas de spyware/móvil? VULNEX ofrece:
- Evaluaciones de exposición a spyware y amenazas móviles (fortificación de dispositivos de directivos / principales)
- Programas de seguridad con enfoque de contrainteligencia para organizaciones de alto riesgo
- Respuesta a incidentes y forense móvil ante sospecha de compromiso zero-click
- Concienciación y OPSEC para el liderazgo y su círculo
Contacto: info@vulnex.com
