L’organizzazione messicana per i diritti digitali R3D (Red en los Defensa de los Derechos Digitales) ha identificato infezioni di Pegasus contro giornalisti e un difensore dei diritti umani avvenute nel periodo 2019-2021.
Le infezioni sono avvenute anni dopo le prime rivelazioni sugli abusi di Pegasus in Messico. Si sono verificate anche dopo che l’attuale presidente messicano, Andrés Manuel López Obrador, aveva assicurato all’opinione pubblica che il governo non utilizzava più lo spyware e che non ci sarebbero stati ulteriori abusi.
Il contesto
Nel 2017, il Citizen Lab, insieme ai partner R3D, SocialTic e Article19, ha pubblicato una serie di otto rapporti sul diffuso targeting di Pegasus in Messico. Molti settori della società civile messicana sono stati presi di mira, compresi i giornalisti investigativi e gli avvocati delle famiglie delle vittime dei cartelli, i gruppi anticorruzione, i legislatori di spicco, gli investigatori internazionali che esaminano le sparizioni forzate e persino il coniuge di un giornalista ucciso in un’uccisione da parte dei cartelli.
Quando è stato rivelato l’obiettivo di Pegasus, si è scatenato uno scandalo pubblico che ha portato a un ampio esame delle pratiche di sorveglianza delle autorità messicane, in particolare dei pubblici ministeri. In Messico è stata aperta anche un’indagine penale tuttora in corso.
Nel 2021, nell’ambito delle rivelazioni del Progetto Pegasus (una collaborazione tra Forbidden Stories, il Security Lab di Amnesty International e una coalizione di organizzazioni mediatiche), è stato riferito che almeno 50 persone della cerchia di Andrés Manuel López Obrador, l’attuale presidente messicano, erano tra gli individui potenzialmente selezionati per la sorveglianza con Pegasus tra il 2016-2017. Tra gli obiettivi c’erano i figli e il coniuge dell’attuale presidente. Lo stesso rapporto indica che almeno 45 governatori ed ex governatori messicani potrebbero essere stati selezionati in modo simile per la sorveglianza.
Il Progetto Pegasus ha inoltre rilevato che un’ampia fascia della società civile messicana, dagli insegnanti ai giornalisti, agli avvocati e agli investigatori internazionali che esaminano le sparizioni forzate, potrebbe essere stata selezionata per la sorveglianza.
Nel 2019, dopo aver preso il potere, López Obrador ha assicurato ai messicani in una conferenza stampa televisiva che non ci sarebbero più stati abusi Pegasus in Messico:
“Non siamo coinvolti in questo. Qui abbiamo deciso che non ci sarebbe stata alcuna persecuzione contro nessuno. Quando eravamo all’opposizione venivamo spiati (…) ora questo è vietato. Non abbiamo acquistato sistemi per le intercettazioni, tra l’altro a causa della corruzione che è stata coinvolta nell’acquisto di tutte queste attrezzature a prezzi molto elevati, a società straniere, sistemi di spionaggio, sono stati spesi molti soldi, ci sono ancora attrezzature inutilizzate acquistate nel precedente governo. Noi non lo facciamo. E non lo facciamo perché è una questione di principio”.
Nel 2021, il presidente del Messico ha ribadito che il governo messicano non stava spiando con Pegasus, rispondendo a una domanda: “Questo non succede. Il governo non spia nessuno”. [traduzione informale]
Le ultime scoperte di R3D indicano che gli abusi di Pegasus sono continuati in Messico. Il loro rapporto evidenzia anche le prove di recenti contratti tra il Segretario alla Difesa Nazionale del Messico (SEDENA) e aziende collegate a precedenti vendite di Pegasus al governo messicano.
Nuove scoperte
R3D, con il supporto tecnico del Citizen Lab, ha determinato che giornalisti messicani e un difensore dei diritti umani sono stati infettati da Pegasus tra il 2019 e il 2021.
Questi casi differiscono dai risultati precedenti per due aspetti importanti:
- Convalidiamo le infezioni Pegasus del 2019-2021 utilizzando l’analisi forense degli artefatti raccolti dai dispositivi. Le precedenti scoperte di Citizen Lab in Messico confermavano solo il targeting di Pegasus (come evidenziato da un messaggio dannoso inviato a un dispositivo).
- Le infezioni del 2019-2021 hanno sfruttato attacchi zero-click: non è stato necessario alcun inganno per indurre le vittime a cliccare. I precedenti rapporti del Citizen Lab sui casi messicani hanno rilevato messaggi di testo dannosi progettati per indurre i bersagli a cliccare su un link che avrebbe innescato l’infezione.
La nostra convalida tecnica degli artefatti forensi raccolti dai dispositivi di queste persone con il loro consenso ci porta a concludere con grande sicurezza che:
- Il difensore dei diritti umani Raymundo Ramos è stato hackerato con Pegasus almeno tre volte tra agosto e settembre 2020.
- Il giornalista e autore Ricardo Raphael è stato hackerato con Pegasus almeno tre volte tra ottobre e dicembre 2019 e di nuovo nel dicembre 2020. In precedenza era stato preso di mira e infettato anche nel 2016 e nel 2017.
- Un giornalista anonimo dell’importante media online Animal Politico è stato hackerato nel giugno 2021.
Riteniamo con elevata sicurezza che questi individui siano stati hackerati con lo spyware Pegasus. I dati tecnici disponibili per questi casi recenti (2019-2021) non ci consentono al momento di attribuire l’hacking a un particolare cliente del Gruppo NSO. Tuttavia, ognuna delle vittime potrebbe essere di grande interesse per entità del governo messicano e in alcuni casi, in modo preoccupante, per i cartelli.
Tempistica dell’attacco
Il rapporto pubblicato da R3D fornisce un contesto utile per comprendere i potenziali fattori scatenanti del targeting e delle infezioni di Pegasus, che riassumiamo qui di seguito:
Raymundo Ramos Vázquez
Ramos ha trascorso anni a documentare le violazioni dei diritti umani commesse dall’esercito e dalla marina messicani nello stato di Tamaulipas:
- Ramos è stato infettato da Pegasus nell’agosto e nel settembre 2020. R3D ha scoperto che le infezioni si sono verificate dopo la pubblicazione di un video che mostrava l’uccisione extragiudiziale di civili da parte dell’esercito messicano in Tamaulipas. Ramos aveva parlato del caso ai media.
- Nel periodo in cui è stato preso di mira, Ramos si è incontrato con rappresentanti dell’Ufficio dell’Alto Commissario delle Nazioni Unite per i Diritti Umani (OHCHR), della Commissione Nazionale per i Diritti Umani del Messico (CNDH), con funzionari della Marina e del Segretario alla Difesa del Messico e con membri dei media.
Ricardo Raphael
Raphael, un importante giornalista e autore che si occupa di temi quali la corruzione ufficiale e il nesso tra il governo messicano e i cartelli, è stato ampiamente preso di mira e infettato dallo spyware Pegasus:
Raphael è stato preso di mira e infettato per la prima volta nel 2016 e di nuovo nel 2017, durante un periodo di reportage critico sulle indagini relative alle sparizioni di massa di Iguala (i 43 studenti scomparsi ad Ayotzinapa nel 2014).
Attribuiamo l’obiettivo del 2017 a un operatore che chiamiamo RECKLESS-1, che ha preso di mira anche il coniuge e i colleghi di un giornalista messicano assassinato, oltre a ricercatori messicani nel campo della salute pubblica. Prove circostanziali collegano RECKLESS-1 al governo messicano, poiché l’operatore spiava esclusivamente in Messico.
Nel 2019, è stato ripetutamente infettato da Pegasus mentre era in tournée per un libro che fornisce un resoconto romanzato del Cartello Los Zetas e delle sue origini nell’esercito messicano.
Nel 2020 è stato infettato dopo aver scritto di detenzioni extragiudiziali e impunità ufficiale, come questo editoriale del Washington Post. Poco prima di essere contagiato, nel dicembre 2020, aveva accusato il procuratore generale del Messico di grave cattiva condotta nelle indagini sul caso delle sparizioni di massa di Iguala. Questa critica è stata citata dall’importante organo di informazione Aristegui Noticias il giorno prima dell’hackeraggio.
Secondo il rapporto di R3D, Raphael ha dichiarato che, nel 2022, frammenti di una comunicazione privata sono stati estrapolati dal contesto e condivisi con i suoi contatti in un apparente tentativo di screditarlo.
Giornalista anonimo presso Animal Politico
Animal Politico è un importante sito di notizie online che si occupa di temi quali la corruzione ufficiale, le esecuzioni extragiudiziali e la responsabilità:
- Un giornalista dell’outlet è stato infettato lo stesso giorno in cui ha pubblicato un rapporto sulle violazioni dei diritti umani da parte delle forze armate messicane.
- Necessità di un’indagine indipendente
- Questi ultimi casi, che giungono a distanza di anni dalle prime rivelazioni sui problemi di targeting di Pegasus in Messico, illustrano il potenziale di abuso del software di spionaggio mercenario in un contesto di scarsa responsabilità e trasparenza pubblica. Anche di fronte allo scrutinio globale, alle proteste nazionali e a una nuova amministrazione che si è impegnata a non utilizzare mai i software spia, in Messico si è continuato a colpire giornalisti e difensori dei diritti umani con i software spia Pegasus.