NSO Group condenada a pagar $167 millones por ataques con spyware en WhatsApp
Un jurado federal de Estados Unidos ha ordenado a NSO Group, empresa israelí desarrolladora de software espía, pagar una multa de $167,254,000 en daños punitivos y $444,719 en compensación a WhatsApp. La sentencia responde a una campaña de ataques en 2019 que afectó a 1,400 usuarios de la plataforma de mensajería cifrada.
Contexto técnico del ataque
El caso se centra en el uso de Pegasus, el spyware desarrollado por NSO Group, que explotó una vulnerabilidad crítica (CVE-2019-3568) en el protocolo de llamadas de WhatsApp. Esta falla permitía la ejecución remota de código (RCE) mediante paquetes maliciosos enviados a través de llamadas VoIP, incluso sin que el usuario contestara.
- Vector de ataque: Inyección de código vía stack overflow en el componente RTCP
- Impacto: Instalación silenciosa de Pegasus con acceso completo al dispositivo
- Objetivos: Periodistas, activistas y disidentes políticos en varios países
Implicaciones para la seguridad digital
Este fallo judicial establece un precedente significativo en la responsabilidad legal de empresas que desarrollan herramientas de vigilancia. Técnicamente confirma que:
- Las vulnerabilidades zero-day en aplicaciones de mensajería pueden tener consecuencias legales masivas
- Los proveedores de spyware pueden ser considerados responsables incluso cuando venden a gobiernos
- Las compañías de tecnología tienen derecho a proteger su infraestructura contra intrusiones maliciosas
Medidas técnicas implementadas post-ataque
Tras descubrir la campaña, WhatsApp implementó varias contramedidas técnicas:
- Parche de emergencia para la vulnerabilidad RTCP
- Mejoras en el sandboxing de procesos VoIP
- Sistema de monitoreo mejorado para detectar patrones de tráfico sospechosos
- Implementación de verificación en tiempo real de integridad de paquetes
Este caso subraya los riesgos técnicos y legales asociados con el mercado de exploits y herramientas de vigilancia. También destaca la importancia de la respuesta rápida ante vulnerabilidades críticas en sistemas de comunicación cifrada.
