Así fue como la PGR compró Pegasus, el malware de espionaje que usó el gobierno mexicano

El pasado mes de Junio el New York Times sacó un artículo donde reveló que varios activistas y periodistas mexicanos han sido objeto de ataques cibernéticos por parte del gobierno mexicano a través de un software malicioso conocido como Pegasus, el cual fue desarrollado por la empresa israelí NSO Group. Como parte de una investigación periodística, El Universal realizó una investigación para rastrear cómo fue que la Procuraduría General de la República adquirió Pegasus.

Una cronología criminal

1. La PGR compró el malware espía Pegasus al Grupo Tech Bull S. A. de C. V. y pagó 32 millones de dólares a la empresa por el software. Sin embargo, Carlos Cayetano Miguel, dueño y administrador de Tech Bull, aseguró que no recibió ni un solo peso de la PGR y que nunca se enteró de la transacción, misma que el exdirector de la Agencia Criminal de la PGR –Tomás Zerón- realizó.

2. Grupo Tech Bull se constituyó como una empresa el 10 de octubre de 2013, de acuerdo con datos recabados por Mexicanos contra la Corrupción y la Impunidad (MCCI), como una empresa “especializada en seguridad”. Lo más curioso es que la empresa se constituyó el mismo día que Carlos Cayetano se tituló como contador público del Instituto Politécnico Nacional (IPN) y que tan sólo un año después ñel 24 de octubre de 2014- la PGR adquirió Pegasus. ¿Cómo es posible que alguien que acaba de recibirse como contador público puede poner una empresa capaz de vender un sistema de espionaje tan complejo al gobierno mexicano?

3. De acuerdo con el diario mexicano, el 29 de octubre de 2014, Grupo Tech Bull firmó un contrato con la PGR para otorgar un servicio de 500 unidades de teléfonos celulares infectados con Pegasus.

4. En una de las recientes filtraciones de Wikileaks se puede constatar que Grupo Tech Bull es una filial de Balam Seguridad Privada, empresa fundada por Asaf Zanzuri el 15 de mayo de 2012, un año antes de la constitución de Tech Bull. Ahora, un sujeto llamado Rodrigo Ruiz de Teresa Treviño, quien resultó ser sobrino de Guillermo Ruiz de Teresa –coordinador de Puertos y Marina Mercante de la SCT y ex dirigente del sector popular del PRI-, se volvió socio de Balam el 23 de enero de 2013. En ese momento Balam y Tech Bull consiguieron contratos con todas las dependencias de seguridad del gobierno federal y se presume que tenían contratos con el gobierno de cinco estados más.

5. En un intercambio de correos con la empresa italiana Haking Team -otra empresa dedicada a vender equipo de espionaje-, la misma persona que firmó el contrato entre Tech Bull y la PGR escribe: “Nuestros mejores clientes son la Marina mexicana, la PGR, el Cisen, la Policía Federal y una gran cantidad de procuradurías, incluyendo el Estado de México… Acabamos de vender a la PGR (contrato ya firmado y ellos ya enviaron el dinero) el sistema NSO Pegasus”.

6. NSO Group –creadores de Pegasus- quiso incrementar la cuota por el uso del malware para infectar 500 unidades 50%, por eso Balam, a través de Bull Tech recurrió a Haking Team, para negociar la adquisición de un software similar. A pesar de que los correos detallan que Rodrigo Ruiz era el negociador directo con la PGR, él asegura que Tech Bull nunca ha pertenecido a Balam Seguridad, a pesar de que existen documentos que comprueban lo contrario.

7. En el contrato firmado entre la PGR y Grupo Tech Bull se especificó que la compra de Pegasus se haría –como señal el universal- bajo los criterios de “riesgo y urgencia”.

8. El reportaje revela información valiosa para el seguimiento de este caso, lo más interesante es preguntarse ¿desde dónde se crearon esas “empresas exprés” para adquirir Pegasus? Tomás Zerón de Lucio, el ex director de la Agencia Criminal de la Procuraduría General de la República y encargado de realizar la transacción con Grupo Bull Tech, es actualmente secretario técnico del Consejo de Seguridad Nacional y eso dice mucho.