WhatsApp anunció el lunes que interrumpió una nueva campaña de hackeo vinculada a NSO Group, el fabricante de spyware que se ha ganado una reputación global por ser el proveedor preferido de gobiernos que quieren espiar a periodistas, disidentes y cualquier otra persona que pueda molestarlos. La aplicación de mensajería propiedad de Meta acusó a NSO de violar una orden judicial que explícitamente le decía a la empresa que dejara de atacar a WhatsApp y sus usuarios, y ahora busca que se declare a NSO en desacato al tribunal.
Los ataques, que WhatsApp describió como "intentos de phishing selectivo", implicaban engañar a los usuarios para que hicieran clic en enlaces maliciosos que los redirigían a sitios web externos fuera de WhatsApp. La compañía también descubrió que NSO creaba cuentas y grupos de prueba en la plataforma, los cuales fueron cerrados de inmediato. Esta campaña se asemeja mucho a una operación de phishing reportada en 2024 en Jordania, donde los usuarios fueron igualmente engañados para hacer clic en enlaces que infectaban sus dispositivos con el infame spyware Pegasus de NSO.
NSO, por su parte, no respondió a la solicitud de comentarios de TechCrunch, un silencio que dice mucho dadas las circunstancias.
El trasfondo legal aquí es una demanda de años que WhatsApp presentó contra NSO después de una campaña de hackeo masivo en 2019 que atacó a más de 1,400 usuarios de WhatsApp. Un jurado inicialmente ordenó a NSO pagar $167 millones en daños, luego reducidos a $4 millones, y un tribunal emitió una orden judicial permanente que prohibía a NSO atacar a WhatsApp o sus usuarios. WhatsApp afirma que la nueva campaña de phishing viola esa orden judicial, de ahí la solicitud de desacato.
En la última década, investigadores de seguridad, periodistas y empresas tecnológicas han documentado docenas de casos en los que hackers gubernamentales utilizaron el spyware de NSO para comprometer los teléfonos de periodistas, disidentes, trabajadores de derechos humanos y opositores políticos. Las empresas tecnológicas han respondido exponiendo estas campañas, notificando a las víctimas, presentando demandas e introduciendo funciones especiales de seguridad opt-in diseñadas para hacer que los dispositivos sean más difíciles de hackear, especialmente por clientes gubernamentales que manejan potentes spyware como Pegasus.
El gobierno de EE. UU. también se ha sumado, colocando a NSO en una lista negra e imponiendo sanciones a otros fabricantes de spyware como Intellexa y su fundador. El año pasado, un grupo de inversores estadounidenses compró NSO con el objetivo declarado de limpiar su reputación y presionar al gobierno de EE. UU. para que elimine esas medidas. Pero a pesar de los planes de NSO de ingresar al mercado estadounidense, el Departamento de Comercio de EE. UU. aún no ha eliminado a la empresa de su lista negra.