Un archivo de apenas unos kilobytes —un exploit— bastó para encender una crisis política y judicial que atraviesa fronteras. Pegasus, el software espía desarrollado por la israelí NSO Group, permite a los gobiernos la capacidad de “combatir el crimen y el terrorismo” mediante la infiltración sigilosa de teléfonos móviles. En la práctica, desde su aparición a finales de la década de 2010 se convirtió en la herramienta con la que se han vulnerado los móviles de activistas, periodistas, abogados, diplomáticos y de varios dirigentes políticos en España.
NSO Group presentó Pegasus como un producto de inteligencia para estados. La primera generación del software apareció en 2011; con los años evolucionó hasta emplear "exploits" de tipo zero-click —fallos que permiten la instalación remota sin interacción del usuario— y técnicas que le otorgan acceso completo a los datos del teléfono: mensajes, ubicación, llamadas, micrófono y cámara. La compañía sostiene que vende solo a agencias gubernamentales con fines de seguridad, pero las pesquisas internacionales han documentado un uso mucho más amplio y controvertido.
El gran salto a la opinión pública se produjo con las filtraciones y las investigaciones periodísticas internacionales (entre ellas el llamado Pegasus Project) que en 2021 y años posteriores vinculaban el software con espionajes a periodistas, activistas y opositores en decenas de países. Organizaciones como Amnistía y organismos europeos advirtieron de su impacto sobre derechos fundamentales. En España la alarma sonó con fuerza: informes forenses y denuncias periodísticas señalaron intentos o instalaciones de Pegasus en los teléfonos del presidente del Gobierno, Pedro Sánchez, y de al menos tres ministros —Margarita Robles (Defensa), Fernando Grande-Marlaska (Interior) y Luis Planas (Agricultura)— en 2020 y 2021, además de a líderes independentistas catalanes.
La vía judicial
En julio de 2023 la Audiencia Nacional archivó provisionalmente la investigación sobre el espionaje a miembros del Gobierno, citando la falta de cooperación por parte de Israel para obtener datos decisivos y apuntando a que la única vía viable era la diplomática. Pese a ello, la causa no quedó cerrada definitivamente: en 2024 el mismo órgano reabrió una pieza del caso tras recibir información procedente de la justicia francesa que podría aportar pruebas complementarias.
Paralelamente, investigaciones vinculadas al denominado CatalanGate —el espionaje sufrido por dirigentes, abogados y activistas del procés— han llevado a pasos procesales relevantes. En 2025 la Audiencia de Barcelona dio un vuelco al señalar por primera vez a directivos de NSO como investigados en España: la sala acordó imputar a tres altos cargos del entramado empresarial de NSO Group por presuntos delitos de descubrimiento y revelación de secretos en relación con el espionaje al abogado Andreu Van den Eynde, letrado vinculado al juicio del procés. Los nombres que aparecen en las resoluciones judiciales incluyen a ejecutivos asociados a NSO como Omri Lavie, Shalev Hulio y Yuval Somekh.
Además, la investigación se ha ampliado y ha alcanzado a exresponsables de fuerzas y servicios de seguridad. En distintos autos y admisiones de querella han surgido indicios que han llevado a citar o imputar a antiguos mandos del CNI y de la Guardia Civil, y a requerir documentación reservada en busca de responsabilidades internas sobre la contratación y uso de herramientas de intrusión. La causa, por tanto, sigue ramificándose entre piezas penales y reclamaciones por vulneración de derechos.
Las víctimas
Entre las personas afectadas por intentos o intrusiones con Pegasus en España figuran, según las investigaciones periodísticas y judiciales, altos cargos del Estado —como los ministros citados— y actores del conflicto catalán —abogados, mediadores y exdirigentes—. Andreu Van den Eynde es uno de los denunciantes que llevó la querella que ha permitido la imputación de directivos de NSO en Barcelona; Oriol Junqueras y otros líderes independentistas han aparecido desde 2021 en el mapa de víctimas que han denunciado espionaje. También hay referencias a activistas y representantes de ONG y a testimonios que apuntan a la monitorización de perfiles pro-saharauis y diplomáticos.
Las consecuencias para NSO no han sido sólo reputacionales: en 2024-2025 tribunales extranjeros, como uno de Estados Unidos, condenaron o declararon responsabilidades a la compañía por su papel en vulneraciones masivas —en el caso de WhatsApp, un fallo consideró a NSO responsable por el ataque a cientos de usuarios—, y las sanciones y demandas han forzado a la empresa a responder en varios foros legales. Estos fallos internacionales han alimentado a su vez las piezas abiertas en España y la presión política por una regulación más estricta de la venta y uso de herramientas de intrusión.
