El Tribunal Suprem va autoritzar l’any 2019 que el CNI espiés amb el programari Pegasus els expresidents de l’Assemblea Nacional Catalana (ANC), Jordi Sànchez i Elisenda Paluzie. Ho ha confirmat l’actual directora del Centre Nacional d’Intel·ligència espanyol, Esperanza Casteleiro, durant la seva compareixença davant el jutjat d’instrucció número 23 de Barcelona, que l’ha citat a declarar com a testimoni per l’espionatge als dos independentistes. Malgrat la confirmació de l’espionatge des del 2019, Casteleiro no ha volgut aclarir res sobre les intromissions que els Mossos d’Esquadra van detectar el 2015 al telèfon mòbil de Jordi Sànchez, quan no hi havia cap autorització per a espiar-lo.
La desclassificació d’una part dels documents reservats relacionats amb l’espionatge als independentistes és el que ha permès a Casteleiro, que dirigeix el CNI des del 2022, confirmar davant el jutjat que Sànchez i Paluzie havien estat espiats des del 2019. La seva estratègia, però, ha estat calcada a la que va fer servir uns mesos enrere en el cas de l’espionatge als diputats d’ERC Josep Maria Jové i Diana Riba, quan Casteleiro també va limitar-se a confirmar l’autorització judicial de l’espionatge, però sense confirmar els detalls ni els mètodes d’espionatge.
El maig del 2022, l’ANC va querellar-se per l’espionatge d’Estat contra els seus dirigents, però no la dirigia contra cap càrrec o organisme espanyol concret. En aquell moment, i amb l’informe de Citizenlab, es va establir que els afectats eren Paluzie, amb quatre atacs i una infecció provada entre el 2019 i 2020; Sànchez (26 atacs entre 2015 i 2017 i quatre infeccions provades), i els secretaris nacionals Sònia Urpí (dos atacs amb SMS el juny del 2020 i una infecció provada) i Arià Bayé (un SMS el 2020); i el membre de base de l’entitat Jordi Domingo (víctima via WhatsApp el 2019). A més, un informe dels Mossos certifica que Sànchez va rebre almenys 19 atacs.
El primer atac que va rebre Sànchez va ser el setembre del 2015, quan acabava de ser elegit president de l’ANC, però encara no s’havia ni acordat un referèndum independentista. La majoria d’atacs van ser entre aleshores i l’octubre del 2017, quan va ser empresonat juntament amb el president d’Òmnium, Jordi Cuixart. De fet, la policia assegura que el mòbil de Sànchez va ser víctima d’un procés maliciós amb Pegasus i va patir extracció d’informació entre el setembre i el 13 d’octubre del 2017, just en el moment àlgid del referèndum de l’1-O i abans d’ingressar a presó. Tanmateix, totes aquestes infeccions estan fora del període pel qual hauria existit l’autorització judicial del Tribunal Suprem; a més, la legislació espanyola només contempla aquest tipus d’espionatge en casos de “procediment criminal i seguint els principis d’excepcionalitat, necessitat i proporcionalitat”. L’últim atac va ser entre juny i juliol del 2020 quan va tenir un permís penitenciari, aquest ja sota l’empara del permís del Suprem.
De Paluzie s’han analitzat dos telèfons mòbils. En el primer va rebre dos atacs per SMS l’agost del 2019, poc abans de la sentència del judici al Suprem contra la cúpula independentista, i un segon a finals d’octubre d’aquell any, just després de la sentència i de les mobilitzacions en contra. El segon SMS era de tipus ‘zero-click’, on l’usuari no cal que entri al vincle rebut però pot ser infectat igualment. Paluzie va canviar de mòbil aleshores i el maig i el juny del 2020, en plena pandèmia i al voltant de les eleccions al secretariat de l’entitat que presidia. Va rebre per SMS dos ‘links’ a suposades notícies de dos mitjans de comunicació diferents on parlava de l’ANC i les seves eleccions. Urpí va ser atacada, com Paluzie, el juny del 2020, al voltant de les eleccions al secretariat nacional de l’entitat, quan va ser escollida membre de l’òrgan de direcció però encara sense cap càrrec concret.
