Un móvil puede seguir funcionando con normalidad mientras alguien accede a sus mensajes, ubicación, micrófono o cámara sin que su propietario lo perciba. Para entender qué es Pegasus conviene distinguirlo de un virus común, saber cómo puede infectar un dispositivo y conocer qué medidas tienen sentido si existe un riesgo real de vigilancia.
Las claves para entender el spyware Pegasus en pocos minutos
- Pegasus es un software espía desarrollado por NSO Group y vendido principalmente a gobiernos.
- Puede aprovechar ataques zero-click, que no requieren abrir un enlace ni instalar una aplicación.
- Una vez dentro, puede recopilar mensajes, llamadas, ubicación, archivos, audio y datos de aplicaciones.
- No es una amenaza masiva típica: se utiliza en operaciones dirigidas contra objetivos concretos.
- Un antivirus convencional no garantiza su detección. La investigación forense especializada es mucho más fiable.
Qué es Pegasus y qué lo hace tan peligroso
Pegasus es un spyware avanzado, es decir, un programa diseñado para espiar un dispositivo y extraer información de forma clandestina. Fue desarrollado por la empresa israelí NSO Group, que afirma venderlo a gobiernos para investigar delitos graves y amenazas terroristas.
No estamos ante una aplicación que cualquiera pueda descargar ni ante el típico virus que ralentiza el teléfono y muestra ventanas emergentes. Su valor está precisamente en lo contrario: busca ser silencioso, selectivo y difícil de atribuir. El sistema incluye herramientas para infectar móviles, controlar las operaciones y recibir los datos recopilados.
Yo lo separo claramente del malware comercial que suele afectar a miles de usuarios al mismo tiempo. Pegasus se asocia con campañas de vigilancia dirigidas contra periodistas, activistas, abogados, políticos, investigadores y otras personas con información de interés para un operador.
Cómo puede entrar en un móvil sin que el usuario lo note
El método de infección depende del modelo de teléfono, la versión del sistema operativo y las vulnerabilidades disponibles en cada momento. Pegasus ha utilizado tanto ataques que requieren una interacción mínima como técnicas zero-click, capaces de actuar sin que la víctima pulse ningún botón.
| Tipo de ataque | Qué ocurre | Riesgo principal |
|---|---|---|
| Zero-click | El dispositivo procesa contenido manipulado a través de servicios como mensajería o llamadas. | La víctima puede infectarse sin abrir un enlace. |
| One-click | La persona pulsa un enlace enviado por SMS, correo o una aplicación de mensajería. | El mensaje puede imitar una noticia, una alerta o un servicio legítimo. |
| Inyección de red | El tráfico de navegación se redirige hacia una infraestructura maliciosa. | El ataque puede parecer una navegación normal. |
| Acceso físico | El atacante manipula directamente el dispositivo durante un periodo de tiempo. | El bloqueo débil o la falta de protección física facilitan el abuso. |
Los ataques zero-click son especialmente preocupantes porque rompen una recomendación habitual: “no abras enlaces sospechosos”. Esa medida sigue siendo útil, pero no cubre todos los escenarios. Además, cada actualización de iOS o Android puede cerrar una vulnerabilidad y obligar a los operadores a buscar otra.
La investigación técnica de Amnistía Internacional ha documentado vectores asociados a servicios como iMessage y WhatsApp, aunque las técnicas cambian con el tiempo. Por eso no es responsable afirmar que un modelo concreto es completamente inmune o que un teléfono actualizado nunca puede ser atacado.
Qué puede hacer Pegasus después de infectar el dispositivo
El objetivo no es simplemente instalar un archivo, sino convertir el móvil en una fuente de información. Dependiendo de la versión y de las condiciones del ataque, el spyware puede acceder a mensajes, correos, contactos, fotografías, documentos, historial de navegación y ubicación.
También puede intentar activar el micrófono o la cámara, registrar comunicaciones y extraer datos de aplicaciones. En la práctica, esto significa que una conversación privada puede quedar expuesta incluso si la aplicación utilizada emplea cifrado, porque el contenido puede capturarse antes de cifrarse o después de descifrarse en el propio teléfono.
Hay que introducir un matiz importante. Pegasus no convierte automáticamente todos los dispositivos en una grabadora perfecta ni garantiza acceso ilimitado en cualquier circunstancia. Sus capacidades dependen del sistema operativo, de los permisos, de la vulnerabilidad aprovechada y del tiempo que el operador consiga mantener el control.
Tampoco es lo mismo que un ransomware. No busca bloquear tus archivos para pedir dinero, sino obtener inteligencia de forma discreta. Esa diferencia explica por qué los síntomas visibles suelen ser poco fiables. Un consumo anormal de batería, un teléfono caliente o una aplicación desconocida no demuestran por sí solos la presencia de Pegasus.
Por qué Pegasus ha causado tanta alarma en España
El llamado Pegasus Project puso el foco internacional en una lista de aproximadamente 50.000 números de teléfono seleccionados como posibles objetivos. Esa cifra no equivale a 50.000 infecciones confirmadas, pero mostró la escala potencial del sistema y la amplitud de las personas incluidas.
En España, Citizen Lab investigó ataques contra políticos, periodistas, abogados, activistas y familiares vinculados al movimiento independentista catalán entre 2015 y 2020. El laboratorio de seguridad de Amnistía Internacional revisó muestras forenses y confirmó evidencias compatibles con Pegasus en varios de esos casos.
El caso español importa porque demuestra que la vigilancia con spyware no es un problema lejano reservado a conflictos internacionales. También plantea preguntas sobre control judicial, proporcionalidad, transparencia y protección de fuentes periodísticas. Que una herramienta se presente como útil contra el crimen no elimina la obligación de impedir su uso abusivo.
Mi criterio es sencillo: una acusación de infección debe apoyarse en pruebas técnicas, no en una captura de pantalla, una llamada extraña o una sensación de vigilancia. La atribución requiere analizar registros, indicadores de compromiso y, cuando sea posible, una copia forense del dispositivo.
¿Puede detectarlo un antivirus?
La respuesta corta es que un antivirus de consumo no ofrece una garantía suficiente. Pegasus utiliza vulnerabilidades sofisticadas, puede operar sin dejar una aplicación visible y cambia sus técnicas cuando los fabricantes corrigen sus sistemas.
Las medidas habituales siguen siendo importantes porque reducen el riesgo general, aunque no convierten un móvil en inexpugnable. Recomiendo mantener una combinación de hábitos técnicos y una respuesta proporcional al nivel de amenaza:
- Instalar cuanto antes las actualizaciones de seguridad de iOS, Android y las aplicaciones.
- Utilizar un código de desbloqueo largo y activar la autenticación multifactor en las cuentas importantes.
- Revisar permisos, perfiles de configuración, dispositivos vinculados y sesiones abiertas.
- Evitar enlaces inesperados, incluso cuando procedan de un contacto conocido.
- Usar los modos de protección reforzada disponibles en el sistema cuando exista un riesgo elevado.
- No instalar supuestas herramientas de “detección de Pegasus” descargadas de páginas desconocidas.
Si la persona es periodista, defensora de derechos humanos, cargo público, abogada o gestiona información especialmente sensible, el procedimiento debe ser más cuidadoso. Conviene no borrar ni reiniciar el móvil de inmediato, limitar su uso para conversaciones delicadas y solicitar ayuda a especialistas en análisis forense digital.
Un restablecimiento de fábrica puede eliminar parte del malware, pero también destruir evidencias útiles y no siempre resuelve el problema de las cuentas comprometidas. En España, INCIBE ofrece orientación a través del 017. Si existen indicios serios, también puede ser necesario acudir a las autoridades y conservar el dispositivo para una investigación técnica.
La diferencia entre una sospecha común y un riesgo real
La mayoría de los problemas de seguridad móvil no tienen relación con Pegasus. Aplicaciones maliciosas, robo de credenciales, duplicado de la tarjeta SIM y fraudes mediante ingeniería social son amenazas mucho más frecuentes para el usuario medio.
La preocupación debería aumentar cuando hay un motivo claro para un ataque dirigido, mensajes muy personalizados, intentos repetidos de acceso, alertas de seguridad de Apple o Google, o indicios técnicos detectados por un análisis profesional. Aun así, la ausencia de síntomas no descarta una infección y la presencia de síntomas genéricos tampoco la confirma.
La idea práctica que conviene conservar es esta: Pegasus no es un antivirus, una aplicación de control parental ni un “virus del móvil” corriente. Es una plataforma de vigilancia altamente especializada, con ataques que pueden ser invisibles y con consecuencias graves para la privacidad.
Para la mayoría de las personas, actualizar el teléfono, proteger las cuentas y evitar engaños cubre buena parte del riesgo cotidiano. Para quienes pueden convertirse en objetivos concretos, la prioridad es contar con un plan de seguridad, asistencia especializada y una forma de preservar pruebas antes de tomar medidas irreversibles.
