La excepción de Urkullu y Erkoreka: móviles más protegidos y protocolos de seguridad en tiempos de Pegasus

“Estoy seguro de ello”, contesta en privado un influyente dirigente político vasco a la pregunta de si también siente que ha sido espiado. En público, el portavoz del PNV, Aitor Esteban, lo ha verbalizado en varias ocasiones. Su partido, en los últimos años, medió en el proceso independentista de Catalunya y decantó la moción de censura que sacó a Mariano Rajoy de La Moncloa. La constatación de que el presidente del Gobierno, Pedro Sánchez, su ministra de Defensa, Margarita Robles, los últimos presidentes autonómicos de Catalunya, más de medio centenar de personas del entorno del soberanismo y dos miembros de EH Bildu habrían sido espiados a través del sistema Pegasus, que infecta los terminales de telefonía para extraer sus datos, ha situado el debate sobre el espionaje político en la primera línea de la política vasca. El Ejecutivo de Iñigo Urkullu, quien ejerció en primera persona como mediador en Catalunya, se pronunciará públicamente este martes aunque ya este lunes ha ordenado un barrido de los equipos del propio lehendakari y de todo su gabinete, una coalición de los nacionalistas con el PSE-EE.

El análisis -cuyos primeros resultados han descartado el espionaje- se ha realizado con medios propios y no siguiendo el ofrecimiento realizado por el ministro de la Presidencia, Félix Bolaños. Los datos sobre el robo de datos a Sánchez y Robles lo ha hecho el Centro Criptológico Nacional, dependiente del mismo CNI que había sido cuestionado por los independentistas tras conocerse la primera lista de afectados por Pegasus. Las fuentes consultadas recalcan que Euskadi dispone de competencias y capacidades suficientes para llevar a cabo este análisis del mismo modo que se encarga del servicio ordinario de telecomunicaciones.

En el Gobierno autonómico hay dos personas con equipos especiales. Son el lehendakari y el consejero de Seguridad, Josu Erkoreka, que además tiene el rango de vicelehendakari primero. Son terminales del Departamento de Seguridad. Ha habido momentos en los que incluso han utilizado modelos diferentes al resto de consejeros: cuando llegaron los primeros iPhone los móviles de Seguridad eran de BlackBerry. Los protocolos de seguridad informática de esos equipos están reforzados, aunque nadie en el Ejecutivo se aviene a precisar qué rutinas tiene que seguir Urkullu para preservar el blindaje de su teléfono o del resto de aparatos conectados a Internet que emplea con regularidad. Sí se da por hecho que el lehendakari habrá renovado su equipo desde que, en 2017, participara de modo activo para declarar la independencia unilateral catalana y la aplicación del 155. Las fuentes consultadas señalan que el problema no es tanto el uso de redes abiertas como WhatsApp o Telegram -el gabinete, de hecho, comparte reflexiones en un grupo en una de esas redes llamado 'Eusko Sailburuak'- sino la protección que se da a los documentos almacenados en nubes o cuentas de correo electrónico, todas ellas instaladas ya en los móviles. Explican en el Gobierno que estos equipos, así como las comunicaciones generales de la Ertzaintza o Emergencias, tienen una “segunda capa de protección”. De ello se encarga la Dirección de Gestión de Telecomunicaciones y Sistemas Informáticos, cuya titular desde septiembre de 2020 es Olatz Arabiourrutia Loroño, ingeniera informática.

El resto de consejeros, desde la vicelehendakari segunda, Idoia Mendia, hasta el titular de Turismo, Comercio y Consumo, Javier Hurtado, disponen de equipos gestionados por la sociedad de informática autonómica, conocida por sus siglas en euskera Ejie. Su director general es el exparlamentario del PNV Álex Etxeberria. No obstante, en Seguridad destacan la estrecha colaboración que mantienen con Ejie, hasta el punto de que este organismo tiene algunas de sus instalaciones en la base central de la Ertzaintza, en Erandio. Según la información oficial, ha sido Ejie la que ha iniciado este lunes una revisión de los terminales de todo el gabinete “para tratar de detectar posibles intervenciones externas en las comunicaciones de sus cargos”. Las primeras conclusiones no han hallado ningún indicio de intrusión ilegítima, según las fuentes consultadas.

Explica el Gobierno vasco que Ejie “realiza un seguimiento habitual y controles constantes de sus sistemas y tecnologías de la comunicación, redes y servidores informáticos para garantizar la seguridad y la confidencialidad de las comunicaciones de las personas y cargos que trabajan en el Ejecutivo” pero entienden que Pegasus hacía necesario “ahora mismo” un “seguimiento de la cuestión”. Se garantiza que los miembros del Gobierno “cuentan con los mejores sistemas de intrusiones a los que se puede acceder” -y reforzados en el caso del lehendakari- aunque “ello no obsta para que haya sistemas de espionaje indetectables” en esos equipos. “Los teléfonos móviles de las consejeras y los consejeros del Ejecutivo vasco tienen incorporado un sistema de protección de última generación, pero hay que considerar que un sistema de espionaje como Pegasus es difícilmente detectable”, insiste el Ejecutivo autonómico para justificar sus pasos.

“La conversación más segura por teléfono es aquella que no se tiene”, recomienda un experto en Seguridad en Euskadi a la luz de los acontecimientos. Urkullu, de hecho, mantiene como costumbre transcribir a mano muchas reuniones. El lehendakari, que tenía un acto público este lunes, ha tirado de ironía para no responder a las preguntas sobre Pegasus de los medios de comunicación. “No, que me están grabando”, se ha limitado a señalar.

Sitel, USOT y BOA, las siglas de la Información

La Ertzaintza tiene tecnología para realizar escuchas telefónicas pero no para monitorizar un teléfono móvil como haría Pegasus. Para los pinchazos, se utiliza una aplicación llamada Sitel que es la misma que usan las Fuerzas de Seguridad del Estado, que también operan en Euskadi en este tipo de investigaciones. Solamente se activan con autorización judicial y los magistrados son restrictivos para darles luz verde. No constan públicamente críticas por alguna operación de estas características y, por el contrario, han permitido resolver numerosos delitos.

Ya no hace falta acudir al domicilio para efectuar la intervención, sino que se opera con un sistema de 'celdas' con la colaboración de las compañías telefónicas. Existe una unidad en la Policía vasca conocida como USOT (Unidad de Soporte Operativo y Técnico) que es la que controla Sitel y cuyos resultados luego recaen en las unidades de investigación que estén asignadas al caso. Captura llamadas por redes 3G, 4G o 5G pero no ofrece geolocalización en caso de emplear un terminal antiguo. Por eso, muchos grupos organizados recurren a viejos terminales para comunicarse. No detecta llamadas por WhatsApp o Telegram. Si la Policía quiere rastrear una cuenta de WhatsApp, por ejemplo, tendría que pedirlo a un juez, que éste haga una comisión rogatoria a Estados Unidos y esperar a que sea aceptada. Los datos, como mínimo, llegarían medio año después, mientras que Pegasus ofrece un seguimiento instantáneo del aparato infectado.

El presupuesto para fondos reservados de la Ertzaintza es de apenas 250.000 euros en la actualidad, muy reducido en relación a los años en los que el terrorismo de ETA aún estaba activo. El dinero, todo él en efectivo, se guarda en una caja fuerte en una dependencia oficial del consejero Erkoreka y se lleva una contabilidad interna de su uso. También existe un control externo en forma de comisión en el Parlamento Vasco, un grupo de trabajo que ni siquiera aparece como tal en la página web de la Cámara. Está coordinada por el presidente de la comisión de Seguridad, en la actualidad José Antonio Suso, también líder del PNV de Álava. En ella hay un representante por cada grupo parlamentario. Su última sesión fue el 10 de marzo y en ella se ofreció una panorámica breve y genérica del dinero total gastado de esta caja, sin entrar en detalles. Todo el contenido de este foro es confidencial. La Ertzaintza paga con ello a confidentes de los servicios de Información y, por ejemplo, ofrece alojamiento a integrantes de posibles tramas que denuncian los delitos desde dentro y se convierten en testigos protegidos. Otros cuerpos también gratifican a sus colaboradores.

Las polémicas en torno a posibles espionajes no son nuevas en Euskadi. El primer lehendakari tras la aprobación del Estatuto de 1979, Carlos Garaikoetxea, fue objeto de un intento de escuchas telefónicas. En este caso, fueron elementos de la entones recién creada Ertzaintza los que orquestaron el espionaje a su presidente, que se había ido distanciando del PNV dirigido por Xabier Arzalluz hasta el punto de que en 1986 se escindió y creó EA. De hace una década es otro caso que reveló el funcionamiento interno de los servicios de Información de la Policía vasca. El conocido como 'caso Tellería' fue un sumario derivado de material aparecido dentro del 'caso De Miguel' de corrupción. Se juzgó -y quedaron absueltos por falta de pruebas- a dos agentes de la entonces conocida como UIA (Unidad de Información y Análisis, ahora OCI) y al dirigente del PNV Aitor Tellería por haber espiado supuestamente a rivales políticos. No hubo condenas pero en el juicio apareció material sensible cómo la forma en que la Ertzaintza clasificaba a sus fuentes en función de su fiabilidad (las A eran las mejores y las C las no tan efectivas) y las identidades de algunos de esos confidentes.

En Euskadi no solamente operan los servicios de Información de la Ertzaintza. Lo hacen también los de la Policía Nacional y la Guardia Civil, dotados durante años con medios humanos y materiales para la lucha contra ETA y que ahora mantienen competencias en áreas como el yihadismo. A veces, esta multiplicidad genera casos llamativos con supuestos agentes dobles. La presencia del CNI es una nebulosa. Aparentemente no tiene ninguna sede física pero quienes conocen su forma de actuar indican que alquila pisos en los centros de las ciudades y que va rotando de ubicación. Se nutre de militares y guardiaciviles aunque tiene agentes propios y existe una unidad dentro de la Policía Nacional llamada BOA (Brigada Operativa de Apoyo) con efectivos en Euskadi y que trabajan directamente en esas sedes camufladas. Lo que antes se conocía como CESID ya fue polémico hace varias décadas cuando trascendió que tenía alquilada la vivienda de encima de la sede de Herri Batasuna (HB) en Vitoria y que, desde allí, realizaban escuchas ilegales a la izquierda abertzale. Sobre el terreno también hay presencia de servicios de Inteligencia extranjeros, particularmente de Marruecos.