La guerra entre WhatsApp y el fabricante de software espía NSO Group suma un nuevo capítulo. El pasado lunes, la plataforma propiedad de Meta anunció que había detectado y desbaratado una campaña de suplantación de identidad vinculada a la empresa israelí, violando una orden judicial que ya le prohibía atacar a los usuarios de la ‘app’. Como respuesta, WhatsApp ha solicitado a un tribunal de Estados Unidos que declare a NSO en desacato.

Una campaña de phishing con sello NSO

Según explicó la compañía en una publicación, la investigación se inició tras recibir reportes de usuarios. «Detectamos y desbaratamos intentos de spear phishing vinculados a NSO», afirmó WhatsApp. «Intentaron engañar a las personas para que hicieran clic en enlaces maliciosos y las dirigieran a sitios web externos a WhatsApp». Además, la empresa indicó que también descubrieron la creación de cuentas y grupos de prueba en la plataforma, que fueron eliminados inmediatamente.

Este modus operandi recuerda a otra campaña de phishing documentada en Jordania en 2024, donde también se utilizaron enlaces maliciosos para infectar dispositivos con el famoso spyware Pegasus, la herramienta estrella de NSO.

El contexto legal: una batalla que no cesa

La nueva agresión se produce apenas un año después de que un tribunal ordenara a NSO Group una orden de alejamiento permanente que le impedía atacar a WhatsApp y a sus usuarios. Dicha orden surgió de una demanda presentada por la propia WhatsApp en 2019, tras una campaña masiva de hackeo que afectó a más de 1.400 usuarios. En aquel juicio, un jurado condenó a NSO a pagar 167 millones de dólares en concepto de daños, aunque la cifra fue posteriormente reducida a 4 millones de dólares.

Ahora, WhatsApp considera que NSO ha violado esa orden y por ello ha presentado una moción de desacato. En sus declaraciones, la compañía fue tajante: «Cuando una empresa maliciosa incluida en la Lista de Entidades del gobierno de EE.UU. continúa desafiando a los tribunales estadounidenses, las restricciones existentes deben mantenerse firmemente. Suavizarlas socavaría la seguridad nacional de EE.UU. y pondría en riesgo a las empresas estadounidenses y a los miles de millones de personas que dependen de comunicaciones seguras».

NSO sigue en la cuerda floja

Cabe recordar que NSO Group fue incluido en la Lista de Entidades del Departamento de Comercio de EE.UU. en 2021, lo que le impide adquirir componentes de empresas estadounidenses. A pesar de ello, la compañía israelí ha intentado rehabilitar su imagen: el año pasado, un grupo de inversores estadounidenses compró NSO con la intención de limpiar su reputación y presionar al gobierno para que elimine las sanciones. Sin embargo, hasta ahora la administración estadounidense no ha retirado a NSO de la lista negra.

Por otro lado, NSO está apelando la orden de alejamiento permanente. El mes pasado, doce organizaciones de derechos civiles presentaron escritos de amicus curiae para oponerse a dicha apelación, apoyando la postura de WhatsApp.

La lucha contra el spyware no se detiene

En paralelo a la batalla legal, WhatsApp ha reforzado su compromiso con la seguridad. La empresa anunció una «contribución significativa» a la Spyware Accountability Initiative, un fondo destinado a ayudar a las organizaciones de la sociedad civil a combatir la amenaza del software espía.

Además, WhatsApp publicó tres dominios utilizados en la supuesta campaña de phishing de NSO, permitiendo que otros usuarios comprueben si también fueron objetivo. La compañía advierte que los ataques pueden llegar por correo electrónico, mensaje de texto, mensaje de WhatsApp «o cualquier otro medio».

La historia entre WhatsApp y NSO dista mucho de haber terminado. Por ahora, la ‘app’ de mensajería sigue optando por la exposición pública y la vía judicial como principales armas contra uno de los fabricantes de spyware más controvertidos del planeta.