El 28 de junio de 2017, Privacy Internacional y R3D enviamos una carta y un informe al gobierno mexicano tras reportes indicando que autoridades mexicanas usaron el spyware Pegasus de NSO Group para atacar a periodistas y defensores de derechos humanos trabajando para exponer corrupción gubernamental y abusos de derechos humanos. NSO Group es una empresa de tecnología de vigilancia que vende productos y servicios, incluyendo malware, exclusivamente a clientes gubernamentales.

Estos ataques fueron diseñados para comprometer los teléfonos móviles de los objetivos, permitiendo a los atacantes prender micrófonos, cámaras, grabar llamadas, leer mensajes y rastrear movimiento de forma subrepticia. En estos documentos, Privacy International señala cómo el hackeo del gobierno mexicano, incluyendo el uso del spyware de NSO Group, plantea serias preocupaciones sobre los derechos humanos y lanza la pregunta sobre si México está cumpliendo sus obligaciones ante la legislación internacional de derechos humanos.

Estimado Presidente Peña Nieto,

Privacy International es una organización no gubernamental situada en el Reino Unido, que se dedica a proteger el derecho a la privacidad alrededor del mundo. Privacy International se compromete a garantizar que la vigilancia estatal cumpla con la regla de la ley y el marco internacional de derechos humanos. Como parte de este compromiso, Privacy International investiga la vigilancia del gobierno para sensibilizar al público sobre las tecnologías y las leyes que ponen en riesgo la privacidad.

La Red en Defensa de Los Derechos Digitales (R3D) es una organización mexicana dedicada a defender los derechos humanos en el ambiente digital. R3D utiliza diversas herramientas legales de comunicación para la investigación de políticas, litigios estratégicos, promoción y campañas con el objetivo de promover los derechos digitales en México y con especial atención a la libertad de expresión, privacidad, acceso al conocimiento y cultura libre.

El 19 de junio de 2017, Citizen Lab de la Escuela Munk de Asuntos Globales de la Universidad de Toronto, junto con R3D, SocialTIC y Article 19 México, publicaron los resultados de una investigación que indicaba que las autoridades mexicanas habían utilizado el software espía Pegasus del Grupo NSO contra periodistas y defensores de los derechos humanos que trabajan en exponer la corrupción del gobierno y los abusos de los derechos humanos. El Grupo NSO es una compañía de tecnología de vigilancia que vende productos y servicios, incluyendo malware, exclusivamente a clientes gubernamentales. Estos ataques fueron diseñados para comprometer los teléfonos móviles de los individuos, lo que permite a los atacantes a subrepticiamente encender cámaras y micrófonos, grabar llamadas, leer mensajes y seguir movimientos.

Esta investigación se expande en un informe de Citizen Lab de febrero de 2017, que sugirió que las autoridades mexicanas habían utilizado el software espía Pegasus del Grupo NSO para atacar de manera similar a personas involucradas en la campaña de alto perfil de “impuestos sobre soda” en México.

Tras la publicación del informe del 19 de junio de 2017, las víctimas de la campaña de software espía han pedido una investigación independiente por parte de un equipo internacional de expertos. Además, nueve de las víctimas han presentado una denuncia penal ante la Procuraduría General de Justicia de México. El 22 de junio de 2017, usted reconoció que el gobierno mexicano había comprado el software espía Pegasus del Grupo NSO pero negó su participación en los ataques contra periodistas y defensores de los derechos humanos.

Como se explica en el informe adjunto, ataques intrusivos (hacking) por el Gobierno mexicano, incluyendo el uso del programa espia del Grupo NSO, plantea graves preocupaciones sobre los derechos humanos y cuestiona si México cumple con sus obligaciones bajo la ley internacional de derechos humanos. Por lo tanto, instamos a las autoridades mexicanas a cesar inmediatamente todas las actividades de ataques intrusivos.

Además, Privacy International y R3D hacen las siguientes recomendaciones:

Al Presidente de los Estados Unidos Mexicanos:

• Hacer públicas los ataques intrusivos que las autoridades mexicanas han llevado a cabo hasta la fecha y por qué autoridades, incluyendo el uso del programa espía del Grupo NSO contra periodistas, defensores de derechos humanos y activistas;
• Aclarar la comprensión del gobierno mexicano sobre la base legal de sus de ataques intrusivos y qué reglas y salvaguardias, si las hay, regulan sus ataques intrusivos;
• Confirmar qué tipo de herramientas usadas en los ataques intrusivos, incluyendo malware, son empleadas por las autoridades mexicanas y cómo se regula y monitorea la adquisición y uso de estas tecnologías.

A la Procuraduría General de la Nación, al Congreso General de los Estados Unidos Mexicanos, a la Comisión Nacional de Derechos Humanos, al Mecanismo de Protección para Personas Defensoras de Derechos Humanos y Periodistas y al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales:

• Llevar a cabo investigaciones inmediatas, exhaustivas e independientes sobre:o La naturaleza y alcance de los ataques intrusivos por del gobierno, incluyendo si tales ataques son conformes con la ley internacional y nacional;o El uso del programa espía del Grupo NSO contra organizaciones de la sociedad civil, activistas de derechos humanos y periodistas, con intenciones de llevar ante la justicia a los autores y proporcionar reparación a las víctimas de estos abusos;

  o Los tipos de herramientas usadas en los ataques intrusivos, incluyendo el malware, empleados por agencias gubernamentales mexicanas, incluyendo si su adquisición y uso son conformes con la ley internacional y nacional.

• Hacer públicos todos los hallazgos relacionados con las investigaciones anteriores.

A todas las agencias mexicanas que están realizando o han llevado a cabo ataques intrusivos:

• Notificar a todos las personas que han sido objeto de ataques intrusivos hasta la fecha, incluyendo la base legal y normas pertinentes, si los hubiere, que rigen dichas actividades;
• Destruir todo el material obtenido a través de sus ataques intrusivos;
• Ofrecer a todos los personas que han sido objeto de sus ataques de intrusivos una vía de reparación.

Le agradecemos su atención en este asunto y esperamos una pronta respuesta.

Atentamente,

Dr. Gus Hosein

Director Ejecutivo

Privacy International

y

Luis Fernando García

Director Ejecutivo

R3D: Red en Defensa de los Derechos Digitales

CC:

Miguel Ángel Osorio Chong, Secretario de Gobernación

Raúl Cervantes Andrade, Procurador General de la Republica

Javier Bolaños Aguilar, Presidente de la Cámara de Diputados

Pablo Escudero Morales, Presidente del Senado de México

Luis Raúl González Pérez, Presidente de la Comisión Nacional de los Derechos Humanos

Francisco Javier Acuña Llamas, Comisionado Presidente del Instituto Nacional de Transparencia, Acceso a Información y Protección de Datos Personales