El programa Pegasus espió a independentistas que ya estaban siendo investigados por la Justicia. Así se desprende de la lista de catalanes víctimas del 'software' malicioso difundida por los forenses canadienses de Citizen Lab. Son pinchazos por duplicado. Unos, acordados por un juez, acotados en el tiempo y recurribles en los tribunales por parte de los afectados. Los otros, de autoría y alcance desconocidos a día de hoy, y por lo tanto mucho más difíciles de combatir.
Al empresario y exconseller de ERC Xavier Vendrell, miembro del grupo de dirigentes soberanistas que organizó el referéndum del 1-O, Pegasus lo espió por lo menos en dos ataques, el 4 de noviembre de 2019 y el 14 de abril de 2020, este último en pleno confinamiento por la COVID-19. La primera de las fechas coincide con la visita de Felipe VI a Catalunya tras la sentencia del procés y el llamamiento de Tsunami Democràtic a la protesta que bloquearía la AP-7 cinco días después.
Por aquellas fechas, Vendrell ya tenía las comunicaciones intervenidas por orden del juzgado de instrucción 1 de Barcelona en el marco de la investigación del caso Voloh, una macrocausa que agrupa el supuesto desvío de fondos en favor del procés y la presunta corrupción del exconseller de ERC y de otro miembro del denominado 'estado mayor' del procés, el exconvergente David Madí, también espiado con Pegasus.
A falta de que se pueda aclarar el origen y la autoría del encargo del espionaje con el programa Pegasus, la utilización en Madí y Vendrell del 'software' espía profundizó en la intensa intervención de comunicaciones que ya sufrían por orden judicial, exponen fuentes jurídicas. Como el resto de espiados, ni Vendrell ni Madí conocen formalmente a día de hoy los motivos que les llevaron a ser dianas del programa malicioso, mientras que –aunque disienten de ellas– las razones de los pinchazos del caso Voloh aparecen en el sumario de la causa.
La Guardia Civil pidió el 27 de agosto de 2019 al juez Joaquín Aguirre la interceptación total del teléfono de Vendrell, Madí y el presidente de la plataforma proselecciones catalanas, Xavier Vinyals (quien no consta como espiado mediante Pegasus). Un año después, de Madí y Vendrell el Instituto Armado también solicitó “la instalación de un 'software' para examinar de forma remota y telemática los dispositivos ya intervenidos”. La diferencia principal es que Pegasus, a la intervención del teléfono, suma la capacidad de activar el micrófono o la cámara.
El motivo alegado por la Guardia Civil para la intervención fueron sendas grabaciones halladas un año antes en el teléfono del exresponsable de relaciones internacionales de Convergència Víctor Terradellas en el marco de la investigación por desvío de subvenciones de la Diputación de Barcelona que lleva a cabo el mismo juez. Los audios eran conversaciones de Terradellas con Madí y Vendrell –que Terradellas niega haber grabado– sobre la supuesta trama rusa del procés y el uso de 'bitcoins' para financiar la estancia de Carles Puigdemont en Waterloo.
El 29 de agosto de 2019, el juez instructor acordó por dos meses el pinchazo de las llamadas mediante el sistema SITEL de la Guardia Civil y requirió a las operadoras telefónicas “todos los datos asociados a la interceptación de comunicaciones”, como por ejemplo registros de voz o SMS. La intervención se prorrogó hasta octubre de 2020.
El control de las comunicaciones de Madí y Vendrell acordado por el juez no solo afectó sus teléfonos. El juez también decidió la instalación de micrófonos y localizadores en los coches de ambos empresarios, lo que permitió grabar algunas conversaciones que sustentan la causa. Tras el recurso de las defensas, la Audiencia de Barcelona avaló todas las medidas al considerarlas necesarias para investigar las “sospechas fundadas de corrupción” de Madí y Vendrell y porque ambos utilizaban la aplicación telefónica Signal, “que no es susceptible de intervención por la autoridad judicial a causa de motivos técnicos”.
Los sucesivos informes sobre las conversaciones de Madí y Vendrell desembocaron en la petición de la Guardia Civil, en octubre de 2020, para registrar sus domicilios y empresas y para copiar todo el contenido de sus dispositivos móviles. Así lo acordó el juez, que encargó al Instituto Armado “el volcado y análisis” de los dispositivos “con objeto de verificar si contienen información relevante y relacionada” con la investigación. Los informes sobre los móviles de Madí y Vendrell todavía no se han entregado al juez. El juzgado tampoco ha devuelto a Madí su móvil intervenido en los registros, lo que ha impedido concretar la fecha –en cualquier caso entre 2018 y 2020, según Citizen Lab– del ataque con Pegasus. Pero toda esa información ya estaría disponible mucho antes para quien hubiera encargado el espionaje con el programa de la empresa NSO Group.
El mismo 28 de octubre de 2020, fecha de los registros del caso Voloh, el juez también ordenó a la Guardia Civil volcar todo el contenido del teléfono del director de la oficina de Carles Puigdemont, Josep Lluís Alay. A diferencia de Madí y Vendrell, Alay no tenía pinchado previamente el teléfono por orden del juez Aguirre en el caso Voloh. Del análisis del teléfono de Alay los investigadores hallaron un filón del que tirar gracias a los viajes a Rusia del asesor del expresident, que motivaron un enfrentamiento entre el juez y el fiscal del caso a raíz de un supuesto negocio con petróleo.
En el caso de Alay, el ataque de Pegasus se produjo tres meses antes de los registros del caso Voloh. Pero Citizen Lab no descarta que antes o después se hubieran producido más intromisiones. Lo mismo ocurre con otros investigados en otras causas del procés con comunicaciones intervenidas también espiados por Pegasus, como Josep Maria Jové, que ya se había cruzado con anterioridad con una tecnología de origen israelí en su teléfono móvil.
¿Cómo saber cuando el pinchazo es 'tradicional' o con un sistema tipo Pegasus? ¿La Guardia Civil pudo conocer el 'hackeo' de Pegasus mientras tenía monitorizados los terminales por orden judicial? Las defensas de los afectados tienen intención de intentar hallar las respuestas a estas preguntas en los próximos meses. No es algo sencillo. Los pinchazos del caso Voloh fueron entregados a las defensas y son recurribles ante la Audiencia de Barcelona y en el eventual juicio que se celebre en un futuro. Si, como sospecha parte de los espiados, el encargo a Pegasus corrió a cargo del Centro Nacional de Inteligencia (CNI), el resultado de esos pinchazos es un informe de inteligencia con destino al presidente del Gobierno. La única forma de acceder a ellos es por acuerdo del Consejo de Ministros para su desclasificación como materia reservada, o que un juez pida al Ejecutivo levantar el secreto.