WhatsApp obliga al fabricante del spyware Pegasus a compartir su código secreto

Artículo original ↗ Discusión en Hacker News ↗

La batalla legal de WhatsApp contra NSO Group por el spyware Pegasus está suscitando preguntas sobre hasta dónde pueden llegar los tribunales de EE. UU. dentro de empresas extranjeras y si los estados poderosos protegerán discretamente las herramientas cibernéticas ofensivas de las que también se benefician. Los comentaristas examinan las sanciones, la jurisdicción extraterritorial y la supervisión de las agencias de inteligencia, contraponiendo la inclusión oficial de NSO en listas negras con el ecosistema más amplio de “proveedores comerciales de vigilancia” utilizado por gobiernos de todo el mundo. El hilo también destaca tensiones dentro del propio trabajo de ciberseguridad, donde la investigación ofensiva suele ser más lucrativa y celebrada que la ingeniería defensiva, lo que podría socavar la seguridad general.

Demanda, descubrimiento y ángulo de seguridad nacional

  • NSO intentó inicialmente bloquear todo el descubrimiento alegando restricciones estadounidenses e israelíes; algunos comentaristas señalan que los tribunales de EE. UU. generalmente no harán caso de los límites legales extranjeros.
  • Algunos especulan que las agencias de inteligencia de EE. UU. pueden depender del uso de Pegasus por parte de aliados en lugar de usarlo directamente, lo que complica cualquier argumento de “seguridad nacional” en los tribunales.
  • Otros esperan que cualquier auténtico problema de seguridad nacional aparezca en presentaciones bajo sello, no en un caso “misteriosamente desaparecido”.
  • Varios se preguntan por qué NSO entregaría código fuente real en lugar de material ofuscado; otros subrayan que los tribunales pueden imponer graves consecuencias legales y financieras por incumplimiento o fraude.

Jurisdicción, extraterritorialidad y el poder del dólar

  • Un hilo importante explica la jurisdicción de EE. UU. sobre empresas extranjeras a través de:
    • Hacer negocios que perjudiquen a partes en EE. UU.
    • El uso del sistema financiero estadounidense y la compensación en dólares.
  • Los comentaristas subrayan que incluso los bancos extranjeros deben cumplir o arriesgarse a ser excluidos de los mercados estadounidenses, lo que es económicamente devastador.
  • Algunos describen esto como “extraterritorialidad” y ponen ejemplos corporativos europeos; otros lo ven simplemente como el alcance práctico de un sistema financiero dominante.
  • Se debate si la jurisdicción proviene del uso del USD específicamente o de dependencias políticas y bancarias más amplias.

Sanciones, Israel y geopolítica

  • Varios comentarios señalan que NSO ha sido incluida en listas negras/sancionada, pero aparentemente sigue activa.
  • Algunos argumentan que la política explica por qué Israel y NSO no son castigados con más dureza, citando el papel de Israel como “intermediario” de seguridad y armamento para los intereses occidentales.
  • Otros sugieren que los estados occidentales pueden beneficiarse indirectamente de tener un proveedor amistoso que venda herramientas ofensivas, incluso a regímenes abusivos.

Trabajo de ciberseguridad e incentivos

  • Un subhilo critica la estructura de incentivos: la investigación ofensiva y las recompensas por fallos reciben dinero y prestigio, mientras que la ingeniería defensiva está menos recompensada y es difícil de medir.
  • Otros responden que gran parte del campo es defensivo y que muchas figuras conocidas trabajan en defensa, aunque equipos como Project Zero difuminan las líneas (métodos ofensivos para fines defensivos).

Aplicaciones de mensajería y exploits

  • Varios comentarios destacan que una vez que Pegasus obtiene acceso a nivel de dispositivo (root), la seguridad a nivel de aplicación (Signal, WhatsApp) ofrece poca protección; el spyware puede leer datos, capturas de pantalla, etc.
  • Algunos sostienen que Apple y Google podrían “desactivar Pegasus” cerrando vulnerabilidades conocidas; otros señalan que ciertos fallos relacionados con Pegasus ya han sido parcheados, pero pueden aparecer otros nuevos.

Digresión lingüística (“Could Care Less”)

  • Surge un gran debate lateral sobre la corrección de “could care less” frente a “couldn’t care less”, tocando modismos, perspectivas descriptivistas versus prescriptivistas de la gramática y cómo el significado se determina por el uso.