La plaça 2 d’instrucció del tribunal d’instància de Barcelona ha decidit investigar judicialment dos exdirectors generals de la Guàrdia Civil en la causa sobre l’espionatge amb Pegasus a diversos directius i experts en tecnologia, impulsada per Sentinel Alliance. En concret, la magistrada investiga a Félix Vicente Azón, director del 2018 al 2020, i a María Gámez, directora del 2020 al 2023. També investiga a l’exdirectora del CNI Paz Esteban, ja investigada per altres jutjats per l’espionatge a independentistes, així com a cinc directius o exdirectius d’NSO, creador de Pegasus, i de Candiru, un altre programari espia. És el primer cop que la justícia espanyola investiga exresponsables de la Guàrdia Civil per aquest tipus d’espionatge. Els cinc querellants –Joan Arús, Joan Matamala, Jordi Baylina, Pau Escrich i Xavier Vives– comparteixen un perfil professional comú: són empresaris i desenvolupadors de protocols de codi obert per a governança descentralitzada, votació digital anònima i identitat digital sobirana. Sentinel Alliance sosté que l’espionatge va ser dirigit contra els querellants per la seva activitat professional.
La querella documenta que les autoritats espanyoles van al·legar el desenvolupament de les eines de vot digital de codi obert dels querellants com a justificació de l’espionatge: van considerar que l’ús potencial futur d’aquestes eines per tercers constituïa una amenaça a la “seguretat nacional”. Les seves identitats i informació confidencial dels seus projectes empresarials –extretes amb programari espia– van ser filtrades il·legalment a mitjans de comunicació, fet que Sentinel Alliance considera un intent deliberat de perjudicar comercialment les seves empreses tecnològiques i la seva reputació. Cap dels querellants va ser mai investigat en cap procediment penal, i per tant en cap moment van tenir possibilitat de defensar-se. Les investigacions que els afectaven van ser arxivades sense càrrecs.
Durant dos anys, des del 2019, els seus dispositius van ser atacats amb Pegasus i Candiru, programari espia de grau militar capaç d’extreure xats, correus, contrasenyes, fitxers i fotografies, i d’activar remotament el micròfon i la càmera. Citizen Lab va documentar almenys 78 atacs contra els querellants i el seu entorn, incloent-hi familiars. Entre les persones del seu entorn directe que van ser espiades hi ha Elies Campo, assessor dels querellants, i directiu de Telegram i de Whatsapp i autor de l’informe de CitizenLab sobre el ‘Catalangate’.
Campo va ser atacat amb Candiru. El 5 de desembre de 2019, abans de viatjar des de Silicon Valley a Catalunya per les festes de Nadal, va rebre un correu electrònic maliciós dissenyat per infectar els seus dispositius amb Candiru. Agents de paisà de la Guàrdia Civil l’esperaven a la zona d’arribades de l’aeroport de Barcelona el 17 de desembre de 2019. Sabien el vol i l’hora i el van fotografiar.
Segons la querella, la Unitat Central Especial (UCE3) de la Guàrdia Civil va vigilar els seus moviments durant tota l’estada: de l’aeroport a l’hotel, en una visita al Departament de Polítiques Digitals, en un coworking de Gràcia, en una reunió a Vallvidrera. Aquell mateix dia, el mòbil de la seva mare va ser infectat amb Pegasus. El dia anterior ho havia estat el de la seva germana. L’endemà, el del seu pare. La mare va rebre set infeccions més entre el 19 de desembre i el 9 de gener. La germana, tres infeccions més fins al 14 de gener. Cap d’ells era objecte de cap investigació judicial. Cap autorització judicial reconeguda inclou familiars.
La querella documenta una coincidència temporal entre el seguiment físic de la UCE3 i les infeccions amb Pegasus i Candiru. El 10 de gener de 2020, Elies Campo es va reunir amb tres dels querellants. Aquell mateix dia es van produir intents d’infecció amb Candiru contra Xavier Vives i Pau Escrich.
Les infeccions amb Candiru estan documentades forènsicament per Citizen Lab. El govern espanyol no ha reconegut mai l’adquisició ni l’ús d’aquest programari. Va ser la detecció d’una infecció activa de Candiru en un dels querellants el que va permetre a Microsoft llançar una actualització de seguretat que va protegir més de 1.300 milions de dispositius a tot el món.
