El Jutjat d'Instrucció número 2 de Barcelona ha imputat per primera vegada dos exdirectors de la Guàrdia Civil per espiar diversos directius i experts en tecnologia catalans en el marc del cas Pegasus. Són Félix Vicente Azón i María Gámez, que van liderar el cos entre el 2018 i 2023, i la jutgessa Julia Tortosa García-Vaso els ha citat a declarar com a investigats juntament amb l'exdirectora del CNI Paz Esteban, que ho farà per cinquena vegada. A més, s'asseuran al banc dels acusats cinc directius o exdirectius d'NSO, creador de Pegasus, i de Candiru, un segon programari espia.
Els cinc querellants, Joan Arús, Joan Matamala, Jordi Baylina, Pau Escrich i Xavier Vives; comparteixen un perfil professional comú: són empresaris i desenvolupadors de protocols de codi obert per a governança descentralitzada, votació digital anònima i identitat digital sobirana. El grup d'afectats que els representa, Sentinel Alliance, sosté que l'espionatge va ser dirigit contra ells per la seva activitat professional.
La querella documenta que les autoritats espanyoles van al·legar el desenvolupament de les eines de vot digital de codi obert dels querellants com a justificació de l'espionatge: van considerar que l'ús potencial futur d'aquestes eines per tercers constituïa una amenaça a la "seguretat nacional". Les identitats i informació confidencial dels seus projectes empresarials, extretes amb programari espia, van ser filtrades il·legalment a mitjans de comunicació, fet que Sentinel Alliance considera un intent deliberat de perjudicar comercialment les seves empreses tecnològiques i la seva reputació.
Cap dels querellants va ser investigat en cap procediment penal i, per tant, en cap moment van tenir possibilitat de defensar-se. Les investigacions que els afectaven van ser arxivades sense càrrecs, però durant dos anys, des del 2019, els seus dispositius van ser atacats amb Pegasus i Candiru, programari espia de grau militar capaç d’extreure xats, correus, contrasenyes, fitxers i fotografies, i d’activar remotament el micròfon i la càmera.
Espionatge també contra els familiars
Citizen Lab va documentar almenys 78 atacs contra els querellants i el seu entorn, incloent-hi familiars. Entre les persones del seu entorn directe que van ser espiades amb Candiru hi ha Elies Campo, assessor dels afectats, així com directiu de Telegram i de WhatsApp i autor de l'informe de CitizenLab sobre el Catalangate.
El 5 de desembre de 2019, abans de viatjar des de Silicon Valley a Catalunya per les festes de Nadal, Campo va rebre un correu electrònic maliciós dissenyat per infectar els seus dispositius amb Candiru. Agents de paisà de la Guàrdia Civil l'esperaven a la zona d'arribades de l'aeroport de Barcelona el 17 de desembre i el van fotografiar.
Segons la querella, la Unitat Central Especial (UCE3) de la Guàrdia Civil va vigilar els seus moviments durant tota l'estada: de l'aeroport a l'hotel, en una visita al Departament de Polítiques Digitals, en un coworking de Gràcia i en una reunió a Vallvidrera. Aquell mateix dia, el mòbil de la mare va ser infectat amb Pegasus, el dia anterior també ho havia estat el de la germana i l'endemà, el del pare. La mare va rebre set infeccions més entre el 19 de desembre i el 9 de gener i la germana, tres més fins al 14 de gener. Cap d'ells era objecte de cap investigació judicial i no existeix cap autorització judicial reconeguda que inclogui els familiars.
A més, la querella documenta una coincidència temporal entre el seguiment físic de la UCE3 i les infeccions amb Pegasus i Candiru. Per exemple, el 10 de gener de 2020, Campo es va reunir amb tres dels querellants. Aquell mateix dia es van produir intents d’infecció amb Candiru contra Vives i Escrich.
Les infeccions amb Candiru estan documentades forènsicament per Citizen Lab, tot i que el govern espanyol no ha reconegut mai l’adquisició ni l’ús d’aquest programari. De fet, va ser la detecció d’una infecció activa de Candiru en un dels querellants el que va permetre a Microsoft llançar una actualització de seguretat que va protegir més de 1.300 milions de dispositius a tot el món.
