El catedrático que ha desmontado en Bruselas el 'CatalanGate': "Todo es una falacia informática"

Su nombre es Gregorio Martín Quetglas, y es un catedrático jubilado de Ciencias de la Computación. Atiende a EL ESPAÑOL en su casa de Godella (Valencia) tras intervenir en la comisión del Parlamento Europeo que investiga el presunto espionaje a través de Pegasus a independentistas catalanes. El profesor considera que "no está probado". "El informe CatalanGate de The Citizen Lab es una falacia informática", asevera.

A Martín le dieron diez minutos para exponer su visión a la Eurocámara. El tiempo era escaso para desgranar un asunto tan complejo. "Pero derivó en una discusión de hora y media", celebra.

Intervino mediante videoconferencia y armado con una sincrética presentación de 21 diapositivas, adjunta a este artículo. "Sobre este tema sé yo más que usted", le espetó al mismísimo Carles Puigdemont mostrándole su currículum académico.

Sus "conclusiones técnicas" son categóricas. Considera que el CatalanGate "contiene tal número de errores técnicos que puede ser calificado como un documento falaz". Y se centra en un asunto en particular.

"La descalificación más grave que recibe el CatalanGate es la posibilidad de crear falsos positivos. Es decir, hay un método y programas que permiten que un teléfono que nunca ha sido infectado pueda aparecer como tal", considera. "Esto se ha logrado tanto en el caso de SMS Pegasus y la prueba recopilada con algunos archivos que CatalanGate considera 'confirmados mediante análisis forense'", detalla.

Martín Quetglas habla con admiración sobra la herramienta de malware Pegasus, desarrollada por la empresa israelí NSO para extraer sin autorización información de los smartphones. "Es una virguería informática", afirma. Su fascinación le llevó a seguirla y a investigar sobre ella, más aún cuando saltó a la palestra el bautizado como CatalanGate.

El propio catedrático expuso al Parlamento Europeo los motivos que le llevaron a investigar al respecto. "La razón por la que he ahondado en la verosimilitud del CatalanGate es la inquietud deontología que me surgió en cuanto al uso que se podría hacer de las Ciencias de la Computacion en esferas no académicas o no profesionales. Esta preocupación se convirtió en alarma cuando, el 2 de mayo, el Gobierno de mi país, en un acto de autoacusación defensiva sin precedentes, anunció que había sido espiado con Software Pegasus", detalló.

"Analizar con detenimiento la plausibilidad técnica y el rigor del CatalanGate ha de convertirse en una especie de obligación cívica para un profesor de informática. Es una contradicción, entre la ideología (apoyar la manera de actuar de España, un país progresista y europeísta, y rechazar la conducta de NSO) y la sospecha de cierta falta de ética informática en las publicaciones de The Citizen Lab y Amnistía Internacional, en un entorno donde muchos medios de comunicación a veces informan acríticamente sobre su trabajo", agregó el profesor.

Cabe recordar que uno de los autores de los informes de The Citizen Lab (organismo adscrito a la Universidad de Toronto) había trabajado previamente como asesor de la Generalitat de Cataluña, tan solo dos años antes de su publicación.

"No es una fuente confiable"

A juicio de Gregorio Martín, "un análisis no debidamente validado no es una fuente confiable de evidencia para hacer las serias acusaciones que hace el informe CatalanGate". "El Gobierno, tal vez instado por otras circunstancias políticas, puede haberse equivocado al considerar las consecuencias y dimensión de los problemas sociales y ciudadanos generados por el CatalanGate", expuso.

Ya sobre los propios datos de The Citizen Lab, Martín Quetglas subraya que, de los 65 presuntos espiados, el informe reconoce que en tres casos "no fue con Pegasus" y, en otros 27, no ofrece "fecha de infección". Sobre los 35 restantes que The Citizen Lab sí considera "atacados con Pegasus con o sin éxito", también presentan dudas, ya que en 14 de estos últimos "los autores son incapaces de determinar fechas concretas de contagio".

A continuación, el informe del profesor se centra en este grupo cuyas fechas de infección, "más o menos", se corresponden con "la fecha del 13 de mayo de 2019", en la que WhatsApp comunicó un ataque por parte de Pegasus.

Y lamenta además que, del total, "Amnistía Internacional solo había publicado datos de 4 dispositivos validados" para poder compararlos con los del informe de The Citizen Lab. Se trata de los ataques que habrían sufrido Elisenda Paluzie, Sònia Urpí, Meritxell Bonet y Jordi Sánchez. Sobre todos ellos, Gregorio Martín advierte que existen "diferencias" entre los datos que arroja cada organismo.

Los tres vectores

A continuación, la ponencia de Gregorio Martín se centra en analizar los tres vectores con los que The Citizen Lab dice probar el espionaje con Pegasus. Sobre el Vector A, en el que la infección coincidiría con el ataque que WhatsApp comunicó en 2019 por parte de Pegasus que solo habría afectado a dispositivos con el sistema operativo iOS, el catedrático subraya que el CatalanGate "es muy pobre en los datos".

"No aporta información sobre cómo se conoció que estos individuos fueron atacados, ni fecha de los ataques, ni evidencias para confirmar que el software espía de NSO Pegasus estuvo involucrado, ni evidencias de que formaron parte del ataque sufrido por WhatsApp".

El denominado Vector B se corresponde con los ataques se habrían realizado a través de un SMS por parte de Pegasus, remitiendo a un enlace para infectar el dispositivo de la víctima. Al respecto, Gregorio Martín destaca que "siete dominios concentrarían ataques por este vector", y que "el seguimiento de la evolución de cada uno de ellos ha sido bastante difícil".

"Lo interesante es que durante el período de ejecución del CatalanGate (de abril a mayo de 2022) ninguno de estos dominios apuntó a nada malicioso, pero Amnistía Internacional confirmó que los dominios estaban activos y utilizados para esta supuesta misión de vigilancia", contrapone el profesor.

El presidente del comité de investigación de la Eurocámara sobre Pegasus, Jeroen Lenaers, durante la reunión de este martes. EE

Según su investigación, durante el periodo analizado "los estados de los siete dominios eran 'expirado' o 'estacionado'". Y "como anécdota", Martín Quetglas llega a afirmar que "uno de estos dominios, 123tramites.com, ha sido adquirido por un amigo en los EEUU".

El Vector C, por último, corresponde a los ataques mediante Pegasus que The Citizen Lab considera "confirmados mediante análisis forense". Y el catedrático también pone en duda esta confirmación.

Explica que se trata de "una serie de hallazgos de archivos producidos por la copia de seguridad de los teléfonos iOS". Se trata de "DataUsage.sqlite, una base de datos con información relacionada con el uso de la red de datos; Manifest.db, que alberga la lista de archivos presentes en la copia de seguridad con datos de creación de archivos; OS Analytics AD Daily, que contiene una lista de procesos que se ejecutan en el teléfono; y algunos de tipo más privado como el que contiene actividad de WhatsApp", según enumera.

"Un documento falaz"

Al respecto, el profesor replica que "confiar solo en una copia de seguridad no es un análisis forense adecuado". En base a todo lo anterior, Gregorio Martín Quetglas asevera en sus "conclusiones técnicas" que "el CatalanGate contiene tal número de errores técnicos que puede ser calificado como un documento falaz".

Y va todavía más allá. "Después de examinar la metodología de datos, y creando una prueba de concepto que fácilmente falsifica la evidencia presentada, se ha llegado a la conclusión de que no hay pruebas que demuestren que el Gobierno español utilizó software espía Pegasus".

"Desafortunadamente, esta no es la forma correcta de denunciar la actividad de la NSO. Estoy convencido de que el CatalanGate ha resultado ser un constructo muy sesgado de narrativas, falsos positivos y fabricaciones", asevera. "Ninguna de las investigaciones presentadas está respaldado por evidencias científicas. The Citizen Lab debe revisar el rigor científico y académico desplegado hasta ahora y utilizado para desautorizar a numerosos ciudadanos bien intencionados de muchos países", agrega.

Y concluye con un consejo para la organización: "Por favor, tomen nota de lo decidido en India, la más poblada democracia en el mundo, que, bajo el mandato de un expresidente del Tribunal Supremo, concluyó que ninguno de los supuestamente monitoreados con Pegasus mostró rastros del mismo".

"Hay sospechas de mala conducta en la investigación que se han planteado repetidamente por docenas de académicos a la Universidad de Toronto, y esto el comité debería reconocerlo. No es una fuente confiable de evidencia para hacer las graves acusaciones que hace el informe de The Citizen Lab", zanja el catedrático.