Tribunal de EE.UU. impone prohibición permanente a operaciones de spyware de NSO Group en WhatsApp

En un fallo histórico con importantes implicaciones para la industria comercial de spyware, un tribunal federal de Estados Unidos ha impuesto una orden permanente contra NSO Group, prohibiendo a la empresa israelí de tecnología de vigilancia acceder o atacar la infraestructura y usuarios de WhatsApp. Esta decisión representa el último capítulo en la batalla legal de varios años entre Meta Platforms y NSO Group que comenzó en 2019, cuando Meta alegó que NSO explotó una vulnerabilidad en la función de videollamadas de WhatsApp para instalar el spyware Pegasus en dispositivos específicos.

La orden permanente del tribunal prohíbe específicamente a NSO Group intentar acceder a los servidores, sistemas o servicios de WhatsApp sin autorización. Esta prohibición legal se extiende a cualquier intento de explotar vulnerabilidades en la plataforma de mensajería o desplegar spyware contra usuarios de WhatsApp. El fallo proporciona a Meta una protección legal sustancial contra futuros ataques por parte de las herramientas de vigilancia de NSO en su plataforma.

Sin embargo, en un giro sorprendente que los expertos legales califican como una victoria parcial para NSO Group, el tribunal redujo drásticamente las indemnizaciones económicas otorgadas a Meta. La demanda original buscaba aproximadamente $4 mil millones en daños, pero el fallo final otorgó solo alrededor de $50,000, lo que representa una reducción de más del 99% de la reclamación inicial. Esta reducción sustancial probablemente proporciona un alivio financiero significativo para NSO, que ha enfrentado crecientes desafíos legales y financieros en los últimos años.

El caso se originó a partir del incidente de 2019 donde atacantes utilizaron la funcionalidad de videollamada de WhatsApp para instalar el spyware Pegasus en dispositivos objetivo, incluso si las llamadas no eran contestadas. La vulnerabilidad, designada CVE-2019-3568, permitía la ejecución remota de código a través de un desbordamiento de búfer en la pila VOIP de WhatsApp. Meta corrigió la vulnerabilidad rápidamente después de descubrir el ataque y posteriormente presentó una demanda contra NSO Group en octubre de 2019.

NSO Group había argumentado que debería disfrutar de inmunidad soberana porque proporciona servicios a agencias gubernamentales de inteligencia y aplicación de la ley. Sin embargo, el tribunal rechazó este argumento, estableciendo que las entidades comerciales que venden spyware no pueden reclamar inmunidad simplemente porque sus clientes sean agencias gubernamentales. Este aspecto del fallo establece un precedente importante para casos futuros que involucren proveedores comerciales de vigilancia.

Los profesionales de ciberseguridad están analizando las implicaciones más amplias de este resultado mixto. La orden permanente establece límites legales claros para las operaciones de spyware contra plataformas tecnológicas estadounidenses, potentially disuadiendo ataques similares por parte de NSO y otros proveedores de vigilancia. Sin embargo, la indemnización mínima plantea dudas sobre las consecuencias financieras para las empresas que participen en actividades similares.

John Scott-Railton, investigador principal de Citizen Lab, que ha documentado extensamente las operaciones de NSO Group, comentó: "La orden permanente es una victoria significativa para la seguridad de las plataformas, pero los daños simbólicos pueden no proporcionar el disuasivo financiero necesario para cambiar el cálculo de la industria del spyware. El fallo muestra que los tribunales protegerán las plataformas del acceso no autorizado, pero las sanciones financieras deben ser lo suficientemente sustanciales como para disuadir realmente las conductas indebidas."

La decisión se produce en medio de un escrutinio global creciente sobre la industria comercial de spyware. El Departamento de Comercio de EE.UU. añadió a NSO Group a su Lista de Entidades en 2021, restringiendo el acceso de la empresa a la tecnología estadounidense. Múltiples gobiernos han investigado el uso del spyware Pegasus contra periodistas, activistas de derechos humanos y opositores políticos.

Para la comunidad de ciberseguridad, este fallo refuerza la importancia de las estrategias legales robustas junto con las defensas técnicas. Si bien las empresas deben continuar invirtiendo en gestión de vulnerabilidades y detección de amenazas, los recursos legales proporcionan una capa adicional de protección contra adversarios determinados.

El caso también destaca las tensiones continuas entre las plataformas tecnológicas y los proveedores de vigilancia. A medida que las plataformas de mensajería implementan cada vez más el cifrado de extremo a extremo, los proveedores de spyware han cambiado a explotar vulnerabilidades en los sistemas operativos de dispositivos y las implementaciones de aplicaciones. Esta victoria legal para Meta puede alentar a otras empresas tecnológicas a buscar litigios similares contra proveedores de vigilancia.

De cara al futuro, la industria de la ciberseguridad estará observando cómo NSO Group se adapta a estas restricciones legales y si los daños reducidos envalentonan a otros proveedores de vigilancia. El fallo establece que, si bien los tribunales protegerán las plataformas del acceso no autorizado, las consecuencias financieras por violaciones pueden ser menos severas de lo inicialmente anticipado.

A medida que la industria comercial de spyware continúa evolucionando, este caso representa un hito importante en la definición de los límites legales para las operaciones de vigilancia contra plataformas digitales. La orden permanente proporciona una protección clara para WhatsApp y sus usuarios, mientras que los daños reducidos aseguran que NSO Group sobreviva para continuar sus operaciones bajo nuevas restricciones.