Meta eliminó en 2023 dos redes de cuentas falsas en Facebook e Instagram creadas por otras tantas empresas españolas de software espía, Mollitiam Industries y Variston IT. La compañía de Mark Zuckerberg lo revela en su más reciente informe sobre amenazas, publicado este mismo mes y donde da cuenta de la supresión de seis redes distintas de cuentas falsas pertenecientes a ocho empresas con domicilio social en España, Italia y Emiratos Árabes Unidos. Las cuentas suprimidas las empleaban estas compañías para poner a prueba sus propias capacidades para infectar y extraer información de posibles objetivos.
Tanto Mollitiam Industries como Variston IT ya han sido señaladas por Reporteros sin Fronteras y por Google por sus actividades de espionaje al servicio de gobiernos extranjeros. Según publicó el año pasado infoLibre, Mollitiam ha vendido programas espía tanto al Ejército de Colombia, que los utilizó para espiar a periodistas, activistas y políticos, como a la dictadura de Vietnam. Reporteros sin Fronteras la incluyó en 2020 entre los 20 depredadores digitales de la libertad de prensa. La revista colombiana Semana desveló ese mismo año las operaciones ilegales que los militares habían llevado a cabo en lo que se conoció como el escándalo carpetas secretas. Pero tres años después, el Ejército seguía utilizando el software espía de Mollitiam, según desveló una investigación del consorcio Forbidden Stories, basada en una filtración de correos internos del Comando General de las Fuerzas Militares de Colombia y en la que participó este periódico.
Otra investigación, llevada a cabo por la red de medios European Investigative Collaborations (EIC), a la que pertenece también infoLibre, destapó que Mollitiam había suministrado al régimen vietnamita, una dictadura comunista que persigue a los disidentes y muestra escaso respeto por los derechos humanos, uno de sus programas más publicitados, que lleva el nombre de Invisible Man.
Además, la empresa española firmó en 2019 un acuerdo de confidencialidad con la compañía francesa Nexa, que también había vendido su software estrella, Predator, al Gobierno de Vietnam. Al mismo tiempo, Mollitiam proporcionó a Nexa un folleto de presentación de sus sistemas de infección y control remoto invisible de objetivos conectados a internet. Es decir, le ofrecía las mismas herramientas de cibervigilancia en los que se había especializado la francesa y su socio israelí Intellexa. Esa fue una de las revelaciones de los PredatorFiles, la investigación de EIC que desveló la venta a dictaduras, con la complicidad europea, de material de vigilancia de estas empresas.
Mollitiam es una pequeña empresa con sede en Toledo, nacida en 2018 y con una facturación media de 1,12 millones de euros anuales entre 2019 y 2021. Sus promotores tienen una larga experiencia en el sector de la cibervigilancia. Los socios mayoritarios, Esther y Samuel Álvarez González, ya crearon en 2007 el Grupo In-Nova, que en 2016 trabajó para el Ejército de Brasil en la formación de un grupo de élite especializado en luchar contra el cibercrimen. Ya antes, en 2012, es la empresaria española en Perú, cuando la Fundación In-Nova, que ella preside, firmó un convenio de colaboración con el Consejo Nacional de Ciencia, Tecnología e Innovación Tecnológica (Concytec) peruano. En 2014 Esther Álvarez viajó a Ecuador, donde expuso sus conocimientos sobre ciberdefensa. Cuatro años después, In-Nova figuraba como habilitada en el Registro de Proveedores de Bienes Estratégicos del Gobierno ecuatoriano.
En Colombia, los hermanos Álvarez crearon la empresa In-Nova Colombia SAS, que dirige un proyecto de consultoría con el Comando de Apoyo Tecnológico del Ejército (COATE). Como publicó infoLibre, en 2016 In-Nova participó en un proyecto de cooperación tecnológica entre España y Colombia para la transferencia de conocimiento en relación con sistemas autónomos de navegación y plataformas aéreas, con aplicación en vehículos aéreos no tripulados (UAV o drones), dirigido a oficiales de las Fuerzas Armadas colombianas.
Mientras, en España, Mollitiam vendió a la Guardia Civil en 2019 y por 302.500 euros un sistema de monitorización remota de comunicaciones desde móviles. También una herramienta para monitorizar redes sociales por 18.059, según publicó en su día El Salto. A In-Nova, el Ministerio de Defensa le adjudicó en 2015 el suministro de un prototipo de red de comunicaciones tácticas y, entre 2018 y 2022, cuatro contratos más por un importe total de 134.950 euros. Una de esas licitaciones fue para un sistema de interceptación.
Contra periodistas, activistas y opositores en España, Colombia y Perú
Pues bien, según Meta, Mollitiam creó el año pasado una serie de cuentas falsas en Facebook e Instagram con las que ponía a prueba la capacidad de sus propias herramientas para infectar y extraer información de posibles objetivos. El informe detalla que la empresa toledana utiliza enlaces para loguear IP que le permiten rastrear las direcciones IP, la serie numérica que identifica a un ordenador u otro dispositivo en internet. También se dedica al phishing y a otras técnicas de ingeniería social –con las que se manipula a los usuarios para que revelen información confidencial, transfieran dinero o se descarguen programas maliciosos, por ejemplo– contra “opositores políticos, periodistas, activistas anticorrupción y contra los abusos policiales en España, Colombia y Perú”, asegura la compañía de Zuckerberg.
infoLibre ha preguntado a Meta por los periodistas, opositores y activistas que han sido objeto del espionaje de Mollitiam Industries tanto en España como en los otros dos países citados, pero la compañía estadounidense se ha negado a ampliar los datos incluidos en su informe. También le ha preguntado si ha presentado alguna denuncia en los tribunales de esos tres países, porque la ingeniería social es un delito. Facebook empezó a enviar en 2015 alertas de seguridad a los usuarios víctimas de ataques de este tipo de empresas o directamente de algún gobierno. También lo hace ahora con los usuarios de Instagram. Las actividades ilegales de Mollitiam Industrias en Colombia y Perú ya habían quedado al descubierto, pero no las llevadas a cabo en España, que Meta no ha querido concretar.
Tampoco Mollitiam y Variston han contestado a las preguntas que sobre el informe de Meta les ha enviado infoLibre.
Propiedad de un alemán y un indio
La operativa de Variston IT es similar a la de Mollitiam Industries. “Usa cuentas falsas para desarrollar y probar exploits [programas que aprovechan las vulnerabilidades de una aplicación o sistema informático], compartiendo enlaces maliciosos y haciendo llamadas entre ellas en lo que parece un intento de validar su capacidad de ataque a iOS y Android”.
Variston IT es una empresa con sede en Barcelona cuyos propietarios y administradores son el alemán Ralf Dieter Wegener y el indio Ramanan Jayaraman. Según el ranking de empresas exportadoras de la empresa semipública Cesce –Compañía Española de Seguros de Crédito a la Exportación, que asegura las operaciones internacionales de las empresas españolas–, Variston exportó por valor de 14,36 millones de euros en 2021, casi un 10% más que el año anterior. Todas sus ventas fueron al extranjero. Fundada en 2018, tiene un capital social de 100.000 euros y una plantilla de 87 trabajadores. Según Meta, posee una filial en Italia, TrueLIT, también implicada en la creación de las cuentas falsas de Facebook e Instagram.
Sus actividades quedaron al descubierto cuando el Grupo de Amenazas de Google publicó en noviembre de 2022 que uno de los productos de Variston IT, Heliconia, explotaba vulnerabilidades de Chrome, Firefox y Microsoft Defender. En marzo de 2023 reveló que Variston o uno de sus clientes o socios había utilizado enlaces maliciosos enviados por SMS a usuarios ubicados en Emiratos Árabes Unidos. La página de destino a la que eran dirigidos los usuarios atacados era idéntica a la de Heliconia que había denunciado Google cuatro meses antes. En el descubrimiento de este ataque intervino también el Security Lab de Amnistía Internacional.
Una industria en auge y con ayuda estatal
Meta y Google coinciden a la hora de advertir ante el enorme y rápido crecimiento de la industria del software espía. Estas empresas “han desarrollado capacidades que antes sólo estaban disponibles para gobiernos con mucho dinero y experiencia técnica”, destacaba Google en su informe de noviembre de 2022. La cibervigilancia puede ser legal dependiendo de las leyes nacionales de cada país, pero, añade, “a menudo se utiliza de manera perjudicial para llevar a cabo espionaje informático contra determinados grupos” de personas: periodistas, activistas de derechos humanos, opositores políticos o disidentes.
Incluso puede tener el apoyo financiero de los Estados. Es el caso de Mollitiam Industries. Para desarrollar una de sus herramientas, llamada Phoenix y que la propia empresa define como “un prototipo para la detección de posibles radicales en las redes sociales”, la empresa de Toledo contó con una subvención de 641.827 euros, abonados a partes iguales por la Unión Europea –a través del Fondo Europeo de Desarrollo Regional (Feder)– y por el Gobierno español, a través del CDTI (Centro para el Desarrollo Tecnológico y la Innovación, dependiente del Ministerio de Ciencia e Innovación). La subvención le fue concedida en 2019 y el resultado fue “un sistema modular de monitorización masiva para producir inteligencia a partir de la descarga anónima de datos no estructurados procedentes de redes sociales, darknets y deepwebs”, tal y como se publicita en su página web.
Pero no fue la única ayuda pública que recibió Mollitiam Industries. En mayo de 2021, el CDTI le concedió 450.000 euros en una operación para promover la innovación empresarial en la que también invirtió el fondo del Gobierno vasco Easo Ventures. La subvencionó con otros 410.394 euros a través de los proyectos Cien y Eureka, según figura en las cuentas de 2021 de Mollitiam.
Mollitiam: la empresa que crea con dinero público herramientas para un ciberespionaje total
Además, una ayuda de 59.636 euros sirvió a Mollitiam Industries para desarrollar el proyecto Electro I+D, que mide el nivel de “resiliencia en redes OT (civiles y defensa) frente a ciberataques”. El 80% del dinero vino de Europa, vía Feder, y el resto lo puso la Junta de Castilla-La Mancha. Esas mismas instituciones le otorgaron 50.751 euros para el proyecto Cibermarkint, “una plataforma Osint de inteligencia artificial”. Finalmente, recibió del Gobierno manchego una nueva ayuda de 15.941 euros a través del programa Adelante Inversión.
En total, se embolsó más de 1,6 millones de dinero de los contribuyentes en cinco años.
Meta explica en el informe que sus hallazgos permiten rastrear dónde están enfocando ahora las empresas de software espía el desarrollo de sus herramientas. La creación de cuentas falsas para probar sus nuevas armas de infección es sólo una primera fase de lo que el informe de Zuckerberg llama “cadena de ataque” de los programas espía. “Aunque el debate público suele centrarse en la fase de explotación [la última, tras las de reconocimiento e intervención, cuando los dispositivos y cuentas de los usuarios ya han sido comprometidos], es fundamental interrumplir el ciclo de vida completo del ataque en las primeras fases”, advierte Meta.
Meta eliminó en 2023 dos redes de cuentas falsas en Facebook e Instagram creadas por otras tantas empresas españolas de software espía, Mollitiam Industries y Variston IT. La compañía de Mark Zuckerberg lo revela en su más reciente informe sobre amenazas, publicado este mismo mes y donde da cuenta de la supresión de seis redes distintas de cuentas falsas pertenecientes a ocho empresas con domicilio social en España, Italia y Emiratos Árabes Unidos. Las cuentas suprimidas las empleaban estas compañías para poner a prueba sus propias capacidades para infectar y extraer información de posibles objetivos.