Hay una idea que sigue circulando en muchas conversaciones: el spyware es cosa de gobiernos autoritarios, algo que se usa contra disidentes en países lejanos. El documental Surveilled, producido por Ronan Farrow y emitido en HBO en noviembre de 2024, desmonta esta reconfortante ilusión en noventa minutos. Lo hace con datos, testimonios y una verdad incómoda: el mercado global de la vigilancia comercial es maduro, rentable y no conoce fronteras geográficas ni políticas.
De qué trata Surveilled
Surveilled es un documental de investigación producido por Ronan Farrow —el periodista del New Yorker que sacó a la luz el caso Harvey Weinstein— y dirigido por Perri Peltz y Matthew O’Neill. En el centro está Pegasus, el software de vigilancia desarrollado por la empresa israelí NSO Group, capaz de infectar un smartphone sin que la víctima realice ninguna acción: ningún enlace que pulsar, ningún archivo que abrir. Basta con recibir un mensaje. Una vez instalado, Pegasus puede activar el micrófono y la cámara, leer cada mensaje (incluidos los cifrados), rastrear la ubicación en tiempo real y extraer todo el contenido del dispositivo. Y todo ello de forma invisible, sin dejar rastros evidentes.
Farrow no trabaja solo como periodista: es también una de las víctimas. El documental muestra que sus propios dispositivos estuvieron en el punto de mira de operadores de Pegasus durante las investigaciones sobre el caso Weinstein. Este detalle autobiográfico transforma la película de un reportaje frío a un relato en primera persona, con una tensión que rara vez se encuentra en los documentales sobre temas técnicos.
El mercado que no debería existir
Lo que Surveilled hace mejor es mostrar cómo funciona la industria, no solo el producto. NSO Group no vende Pegasus libremente: declara que cede licencias únicamente a gobiernos, y solo para combatir la criminalidad y el terrorismo. Pero el documental relata los casos de Cataluña, donde cientos de independentistas catalanes —entre ellos políticos electos— fueron vigilados con Pegasus por orden de autoridades españolas. No disidentes bajo un régimen. Políticos de la oposición en un Estado miembro de la Unión Europea.
También está el caso de Jamal Khashoggi, el periodista saudí asesinado en 2018 en el consulado de Estambul: las investigaciones revelaron que sus colaboradores habían sido infectados con Pegasus antes del homicidio, probablemente para planificar el ataque. NSO Group siempre ha negado responsabilidad directa. El documental deja al espectador la tarea de valorar hasta qué punto son creíbles esas negaciones.
La lección sistémica es esta: una vez creada una herramienta de vigilancia total, el control sobre quién la usa —y cómo— se vuelve casi imposible. Las licencias se ceden, los gobiernos cambian, los contratos continúan.
La conexión con la realidad italiana
La historia de Pegasus no queda lejos de Italia. En 2022 el Parlamento Europeo abrió una investigación sobre el uso de spyware comercial en los Estados miembros, documentando casos en Hungría, Polonia, Grecia y España. En Italia, el tema de las herramientas de interceptación avanzada se ha planteado en varias ocasiones en relación con investigaciones antimafia y antiterrorismo, a menudo con poca transparencia sobre qué tecnologías se emplean realmente y con qué garantías.
Pero el punto más importante que Surveilled saca a la luz no tiene que ver con los gobiernos: tiene que ver con el mercado secundario. Pegasus es el más famoso, pero no es el único. Paragon, Candiru, FinFisher: el mercado del spyware comercial incluye decenas de empresas, muchas europeas, que venden versiones menos potentes (pero no por ello inofensivas) también a particulares. Cuando hablamos de la seguridad de nuestro propio smartphone, esta es la amenaza concreta: no solo los hackers aficionados, sino herramientas profesionales diseñadas específicamente para ser invisibles.
Qué puedes hacer en la práctica
Surveilled no es un manual técnico, pero sus implicaciones prácticas son claras. Algunas medidas reducen significativamente la superficie de ataque:
Actualiza siempre el sistema operativo, tanto en iOS como en Android: muchos exploits de Pegasus aprovechan vulnerabilidades ya conocidas y corregidas en las versiones posteriores. Un dispositivo sin actualizar es una puerta abierta. Usa un sistema operativo orientado a la privacidad como GrapheneOS —que analizamos en el artículo 8— porque reduce drásticamente los vectores de ataque disponibles para cualquier spyware. No confíes en el cifrado de extremo a extremo como única protección: si el dispositivo está comprometido, el spyware lee los mensajes antes de que se cifren, dejando inútil a Signal o cualquier otra aplicación. Por último, reinicia el teléfono con regularidad: algunas variantes de Pegasus no sobreviven al reinicio. No es una solución definitiva, pero reduce la ventana de exposición.
Conclusión
Surveilled es uno de esos documentales que te hacen mirar de otra manera el teléfono que tienes sobre la mesa. No por paranoia, sino por conciencia: las herramientas que describe existen, funcionan, y el umbral de acceso baja cada año. Ronan Farrow no ofrece soluciones sencillas porque no las hay, pero demuestra que ignorar el problema no lo hace menos real. El documental está disponible en Max (HBO). Vale la pena dedicarle noventa minutos de tu tiempo.
Fuentes: