La reunión de ciberespías en Barcelona preocupa a las ONG: “Anima a más empresas de 'spyware' a venir a Europa”

Desde el miércoles por la noche y hasta la madrugada del próximo viernes, ciberespías de las principales empresas de spyware mundiales se reúnen en Barcelona en un encuentro secreto en el que participan empresas presuntamente vinculadas a la violación de derechos humanos. 

El evento, desvelado por este periódico en diciembre, se celebrará en un lugar indeterminado del barrio del Eixample de la capital catalana y en él se impartirán charlas sobre novedades y nuevos métodos para implementar software espía en dispositivos de ciudadanos, cargos públicos o cualquier otro objetivo de quien adquiera estos productos.

Fuentes del sector destacan, en todo caso, que uno de los platos fuertes del encuentro es el networking entre ciberespías así como la posibilidad de llegar a acuerdos comerciales entre empresas y clientes.

La reunión preocupa a algunas entidades de derechos humanos, como Amnistía Internacional o Access Now, especializada en derechos digitales, por el precedente que genera, por el aire de legitimidad que se les está dando a estas compañías a pesar de sus prácticas y por el hecho de que Barcelona se esté convirtiendo en la meca europea del ciberespionaje.

“Estos eventos buscan blanquear su legitimidad y animan a cada vez más proveedores de software espía a instalarse en ciudades europeas como bases de operaciones seguras”, explica Rand Hammoud, responsable global de vigilancia en Access Now.

Sobre el papel, las empresas que participarán en el evento se dedican a identificar vulnerabilidades en sistemas informáticos y dispositivos móviles, pero diversos expertos consultados afirman que esta descripción es un “eufemismo” para definir empresas que venden spyware a gobiernos y fuerzas de seguridad.

Tal y como desveló esta redacción, el encuentro está organizado por una compañía de spyware con sede en Barcelona pero fundada por un investigador israelí. La empresa, llamada Epsilon, está especializada en identificar vulnerabilidades de “día cero” —que nadie sabe que existen previamente— en teléfonos móviles y se jacta de ofrecer productos “zero-click”. Es decir, que pueden instalarse sin que la víctima tenga que clicar en ningún enlace ni aplicación. 

Lo que preocupa a las entidades es el hecho de que estas compañías hayan elegido Barcelona para instalar sus bases de operaciones, en una tendencia iniciada tras la pandemia y que ha llevado a decenas de ciberespías —buena parte de ellos israelíes— a instalarse y registrar sus empresas en la capital catalana.

Según algunas fuentes, uno de los objetivos de este traslado a Europa es la posibilidad de exportar sus productos a otros Estados miembro con menos restricciones que si lo hicieran desde Israel. Otras señalan que los Gobiernos europeos y sus agencias de seguridad son los mejores clientes de estas compañías al no tener desarrolladas por ellos mismos este tipo de herramientas. 

“Barcelona se ha convertido en los últimos años en un centro destacado para investigadores en seguridad”, apunta Donncha Ó Cearbhaill, responsable del Laboratorio de Seguridad de Amnistía Internacional. “Como ocurre habitualmente en el sector, se sabe poco sobre los clientes finales —gubernamentales o de otro tipo— de estas empresas”.

Desde Amnistía reclaman a los Estados Miembros de la UE y a las autoridades españolas “transparencia” sobre cualquier licencia de exportación concedida para la venta o exportación de productos de cibervigilancia de alto riesgo, como el spyware, y recuerdan que están sujetos a la normativa de exportaciones de armamento. 

“La aplicación débil de los controles de exportación genera un entorno permisivo en el que las empresas pueden operar desde Europa mientras exportan herramientas de vigilancia a gobiernos con graves vulneraciones de los derechos humanos”, incide Hammoud, de Access Now.

Empresas con un pasado turbio

Al frente de la compañía que organiza el evento aparece el francés Jeremy Fetiveau, un veterano del sector que trabajó anteriormente en Trenchant, una división de ciberseguridad del gigante de defensa estadounidense L3Harris.

Ni Fetiveau ni Epsilon han respondido a la solicitud de elDiario.es para comentar este artículo. El Ayuntamiento de Barcelona, por su parte, tampoco ha hecho ninguna declaración sobre la reunión que se celebra en la ciudad.

Otra compañía que estará en el evento es la israelí Radiant Research. Con sedes en Tel Aviv y Barcelona, emplea a veteranos de la unidad de ciberinteligencia militar de élite 8200, perteneciente a las Fuerzas de Defensa de Israel, junto con antiguos trabajadores de NSO, la empresa que desarrolló el software Pegasus.

La compañía vende sus productos a actores estatales en Occidente o a través de contratistas de defensa. “Desarrollamos capacidades cibernéticas avanzadas para un grupo selecto de agencias militares, de inteligencia y de aplicación de la ley”, señalan en su web. “Asumimos los desafíos de los que otros podrían apartarse”, añaden.

También participará en la reunión Paradigm Shift, sociedad registrada en 2024 por tres socios italianos que ofrece sus servicios a agencias de seguridad y fuerzas del orden.

Todos los fundadores de Paradigm Shift son antiguos empleados de Variston, una compañía señalada en 2023 por Google por proveer desde Barcelona software espía a un grupo de hackers que atacaba a ciudadanos de Emiratos Árabes Unidos.