🇪🇸🇲🇦🇮🇱 PEGASUS, ESPAÑA Y MARRUECOS
Ciberespionaje, crisis diplomática, Ceuta, Sáhara Occidental y el gran interrogante de mayo de 2021
Análisis técnico, cronológico, geopolítico y de inteligencia | Actualización 2026
By DrRamonReyesMD ⚕️
EMS Solutions International
RESUMEN
Pegasus es una de las herramientas de vigilancia digital más sofisticadas conocidas públicamente. Desarrollado por la empresa israelí NSO Group, permite comprometer determinados teléfonos inteligentes y, una vez instalado con éxito, obtener acceso extraordinariamente amplio a la información contenida o procesada por el dispositivo.
El caso español posee especial relevancia geopolítica.
Los teléfonos oficiales del presidente del Gobierno español, Pedro Sánchez, y de varios ministros fueron comprometidos mediante Pegasus. Las intrusiones más importantes conocidas sobre el dispositivo del presidente se produjeron en mayo de 2021, coincidiendo temporalmente con una de las mayores crisis diplomáticas entre España y Marruecos de las últimas décadas.
Entre el 17 y 18 de mayo de 2021, miles de personas atravesaron la frontera hacia Ceuta después de una relajación del control fronterizo marroquí. El Parlamento Europeo consideró posteriormente que aquella crisis había sido desencadenada por Marruecos en el contexto del conflicto diplomático originado por la hospitalización en España del líder del Frente Polisario, Brahim Ghali.
Pocos días después se produjo una de las intrusiones más importantes conocidas en el teléfono de Sánchez.
Esta coincidencia cronológica, junto con antecedentes documentados del uso de herramientas de NSO contra objetivos relacionados con Marruecos, ha generado durante años sospechas sobre una posible responsabilidad marroquí.
Sin embargo, existe una diferencia fundamental entre:
INDICIOS + CAPACIDAD + CONTEXTO + COINCIDENCIA TEMPORAL
y
ATRIBUCIÓN FORENSE/JUDICIAL DEMOSTRADA.
Hasta agosto de 2026, ningún tribunal español ha establecido que Marruecos fuera responsable del espionaje a Pedro Sánchez.
La Audiencia Nacional archivó provisionalmente por segunda vez la investigación el 22 de enero de 2026, precisamente porque no pudo identificar al autor.
Esa distinción es esencial para analizar científicamente el caso Pegasus.
1. ¿QUÉ ES PEGASUS?
Pegasus es una plataforma de vigilancia desarrollada por la empresa israelí NSO Group.
No estamos hablando de un malware convencional destinado principalmente a robar contraseñas bancarias o ejecutar ransomware.
Estamos ante una herramienta concebida para vigilancia dirigida de dispositivos móviles.
Una infección exitosa puede proporcionar al operador acceso a cantidades extraordinarias de información.
Entre las capacidades documentadas se encuentran potencialmente:
- mensajes;
- correo electrónico;
- contactos;
- fotografías;
- archivos;
- llamadas;
- información almacenada;
- ubicación;
- activación o acceso a sensores;
- micrófono;
- cámara;
- comunicaciones del dispositivo.
Amnesty International documentó estas capacidades durante sus investigaciones sobre objetivos marroquíes.
2. EL SALTO TECNOLÓGICO: ZERO-CLICK
Los primeros ataques contra teléfonos inteligentes frecuentemente necesitaban alguna interacción de la víctima:
SMS → enlace → clic → explotación → infección.
Pero las plataformas de vigilancia evolucionaron.
Los ataques zero-click pueden comprometer un dispositivo sin que el usuario pulse conscientemente un enlace.
Citizen Lab documentó en 2023 una cadena denominada BLASTPASS, atribuida a NSO Group, capaz de comprometer iPhones actualizados mediante vulnerabilidades zero-day y sin interacción de la víctima.
Apple publicó actualizaciones de seguridad después del descubrimiento.
Esto cambia radicalmente el paradigma de protección.
Una persona puede:
- no abrir enlaces;
- utilizar contraseñas complejas;
- emplear biometría;
- utilizar aplicaciones cifradas;
y aun así ser potencialmente comprometida mediante una vulnerabilidad desconocida del sistema.
3. PEGASUS NO ES SIMPLEMENTE “ESCUCHAR UN TELÉFONO”
Existe otra característica fundamental.
Aplicaciones como Signal, WhatsApp o iMessage pueden emplear cifrado extremo a extremo.
Pero si el atacante controla el endpoint, es decir, el propio teléfono, puede potencialmente acceder a la información antes de que sea cifrada o después de que haya sido descifrada.
Conceptualmente:
INTERCEPTAR LA COMUNICACIÓN
no es lo mismo que:
CONTROLAR EL DISPOSITIVO DESDE EL QUE SE PRODUCE LA COMUNICACIÓN.
Por eso Pegasus representa una amenaza particularmente grave para:
- jefes de Estado;
- presidentes;
- ministros;
- diplomáticos;
- militares;
- servicios de inteligencia;
- periodistas;
- activistas;
- empresarios estratégicos.
4. MARRUECOS Y PEGASUS: EXISTEN ANTECEDENTES DOCUMENTADOS
Aquí debemos diferenciar nuevamente evidencia técnica de inferencia política.
Mucho antes del caso Sánchez existían investigaciones que vinculaban herramientas de NSO con operaciones contra personas relacionadas con Marruecos.
Amnesty International Security Lab realizó análisis forenses del teléfono del periodista marroquí Omar Radi.
Encontró evidencias de ataques de inyección de red entre 2019 y enero de 2020 y concluyó que existían fuertes evidencias técnicas que vinculaban los ataques con herramientas de NSO Group.
El Parlamento Europeo examinó posteriormente ampliamente el asunto.
Su informe PEGA señaló múltiples informaciones sobre el presunto uso de spyware por Marruecos y dedicó específicamente parte de su investigación al país.
Esto permite establecer razonablemente:
CAPACIDAD/ANTECEDENTES: DOCUMENTADOS.
Pero eso todavía no demuestra:
AUTORÍA DEL ATAQUE CONTRA EL GOBIERNO ESPAÑOL.
Son dos cuestiones diferentes.
5. ABRIL DE 2021: BRAHIM GHALI ENTRA EN ESPAÑA
El contexto geopolítico resulta esencial.
En abril de 2021 España permitió la entrada por razones humanitarias de Brahim Ghali, secretario general del Frente Polisario, gravemente enfermo de COVID-19.
Fue hospitalizado en Logroño.
Para Marruecos, el episodio adquirió inmediatamente una dimensión diplomática relacionada con el conflicto del Sáhara Occidental.
Las relaciones entre Madrid y Rabat comenzaron a deteriorarse.
6. 17–18 DE MAYO DE 2021: CEUTA
La crisis explotó.
Miles de personas comenzaron a atravesar la frontera marroquí hacia Ceuta.
El Parlamento Europeo documentó aproximadamente 9.000 entradas, entre ellas alrededor de 1.200 menores no acompañados, después de que las autoridades fronterizas marroquíes relajaran temporalmente sus controles.
El Parlamento Europeo fue especialmente explícito.
Su resolución consideró que la crisis había sido desencadenada por Marruecos en el contexto de la crisis política y diplomática provocada por la hospitalización de Ghali.
Además rechazó el empleo del control fronterizo, la migración y particularmente los menores como instrumento de presión política contra un Estado miembro.
España movilizó fuerzas policiales y militares.
Pedro Sánchez se desplazó a Ceuta y Melilla.
La crisis dejó de ser exclusivamente migratoria.
Había adquirido dimensiones de:
SEGURIDAD NACIONAL + DIPLOMACIA + FRONTERA EXTERIOR UE + SÁHARA OCCIDENTAL.
7. Y EN ESE MOMENTO APARECE PEGASUS
Aquí comienza el elemento más inquietante del caso.
La investigación judicial determinó posteriormente procesos maliciosos sobre el teléfono del presidente.
Una de las intrusiones principales ocurrió aproximadamente entre:
19–21 DE MAYO DE 2021.
Es decir:
inmediatamente después de la crisis fronteriza de Ceuta.
La información conocida judicialmente indicó una exfiltración de aproximadamente:
2,57 GB
del teléfono de Pedro Sánchez.
Posteriormente se produjo otra intrusión, el:
31 DE MAYO DE 2021
con aproximadamente:
130 MB
adicionales de información exfiltrada.
La magnitud del primer volumen es extraordinariamente relevante.
Pero hay que introducir otra precisión fundamental.
8. 2,57 GB NO SIGNIFICA QUE SEPAMOS QUÉ ROBARON
No sabemos exactamente qué información contenían esos datos.
El propio procedimiento judicial ha dejado claro este punto.
Los informes del Centro Criptológico Nacional concluyeron que Pegasus no conserva registros suficientes que permitan determinar posteriormente qué información concreta fue obtenida por el atacante.
Por tanto:
SABEMOS QUE EXISTIÓ EXFILTRACIÓN.
CONOCEMOS APROXIMADAMENTE SU VOLUMEN.
NO SABEMOS QUÉ CONTENÍA.
La Audiencia Nacional reiteró esta limitación técnica en 2025.
9. LA COINCIDENCIA TEMPORAL ES EXTRAORDINARIA
La secuencia merece observarse cronológicamente:
Abril 2021
España hospitaliza a Brahim Ghali.
↓
17–18 mayo
Crisis fronteriza de Ceuta.
↓
18 mayo
Pedro Sánchez se desplaza a Ceuta y Melilla.
↓
19–21 mayo
Proceso malicioso e importante exfiltración del teléfono presidencial.
↓
31 mayo
Nueva intrusión/exfiltración.
↓
31 mayo
Marruecos hace pública una declaración situando la crisis dentro de una cuestión política más amplia relacionada con la posición española respecto al Sáhara Occidental.
Desde una perspectiva de análisis de inteligencia, la correlación temporal es indudablemente relevante.
Pero:
CORRELACIÓN TEMPORAL ≠ ATRIBUCIÓN.
10. ¿POR QUÉ SE SOSPECHÓ DE MARRUECOS?
La hipótesis marroquí no surgió únicamente por proximidad geográfica.
Existían varios elementos circunstanciales:
1. MOTIVACIÓN POTENCIAL
España y Marruecos atravesaban una grave crisis diplomática.
2. OBJETIVOS DE ALTO VALOR
El presidente del Gobierno y ministros responsables de Defensa e Interior constituyen objetivos extraordinariamente relevantes durante una crisis bilateral.
3. CAPACIDAD PREVIA
Investigaciones internacionales habían vinculado herramientas de NSO con operaciones contra objetivos marroquíes.
4. TIMING
Las intrusiones coinciden prácticamente con el epicentro de la crisis de Ceuta.
5. PEGASUS
El software utilizado era una herramienta comercializada internacionalmente para organismos estatales.
El informe final del Parlamento Europeo sobre Pegasus llegó a recoger que Marruecos había sido señalado públicamente como posible autor, pero también reconoció que la investigación seguía abierta y que existía poca información pública sobre el ataque.
11. LO QUE NO PODEMOS AFIRMAR
Ésta es probablemente la sección más importante del artículo.
No existe evidencia judicial pública que permita escribir responsablemente:
“Marruecos espió a Pedro Sánchez con Pegasus”.
Eso convertiría una hipótesis en un hecho.
La formulación científicamente correcta es:
Los teléfonos del presidente Pedro Sánchez y varios ministros españoles fueron comprometidos mediante Pegasus durante un período de intensa crisis diplomática con Marruecos. La coincidencia temporal, el contexto geopolítico y antecedentes relacionados con Pegasus han alimentado la hipótesis de una posible participación marroquí; sin embargo, hasta agosto de 2026 no existe atribución judicial ni técnica pública concluyente que identifique a Marruecos como autor.
12. EL PROBLEMA FORENSE: PEGASUS DIFICULTA LA ATRIBUCIÓN
Este aspecto resulta fascinante desde el punto de vista de inteligencia.
Puede demostrarse:
QUE HUBO UN ATAQUE.
Puede identificarse:
QUÉ FAMILIA DE SPYWARE FUE UTILIZADA.
Puede estimarse:
CUÁNTA INFORMACIÓN FUE EXTRAÍDA.
Pero identificar:
QUIÉN ESTABA DETRÁS DEL TECLADO
es mucho más difícil.
El Centro Criptológico Nacional concluyó que el empleo de spyware comercial hace prácticamente imposible identificar técnicamente al actor responsable únicamente mediante los rastros encontrados en el dispositivo.
La infraestructura puede reutilizarse, compartirse o estar deliberadamente diseñada para dificultar la atribución.
13. LA AUDIENCIA NACIONAL
España abrió una investigación judicial.
El magistrado José Luis Calama intentó obtener cooperación de Israel para solicitar información a NSO Group y tomar declaración a responsables de la compañía.
La investigación fue archivada provisionalmente en julio de 2023.
Pero la historia no terminó allí.
14. 2024: EL CASO RESUCITA
El 23 de abril de 2024, la Audiencia Nacional reabrió la investigación.
¿Por qué?
Porque Francia aportó nuevos datos procedentes de sus propias investigaciones sobre infecciones con Pegasus de teléfonos pertenecientes a periodistas, abogados, personalidades públicas, organizaciones y miembros del Gobierno francés.
España volvió a investigar.
15. 2025: FRANCIA E ISRAEL
En febrero de 2025, Calama volvió a solicitar información a Francia.
Paralelamente reiteró a Israel la comisión rogatoria destinada a obtener información de NSO Group y poder interrogar como testigo a su CEO.
El objetivo era fundamental:
IDENTIFICAR AL OPERADOR.
Pero apareció un enorme obstáculo.
Las solicitudes españolas dirigidas a Israel no obtuvieron la cooperación necesaria.
16. ENERO DE 2026: SEGUNDO ARCHIVO
Esta es la actualización fundamental.
El:
22 DE ENERO DE 2026
la Audiencia Nacional volvió a archivar provisionalmente el caso.
El juez José Luis Calama explicó que la falta de ejecución de las comisiones rogatorias dirigidas a Israel impedía atribuir los hechos investigados a una persona concreta.
Los datos procedentes de Francia tampoco permitieron determinar la autoría.
El juez describió la situación como una:
“impotencia investigadora”.
El sobreseimiento es provisional, por lo que nuevas pruebas podrían permitir reabrir nuevamente la investigación.
17. ISRAEL: UNA PIEZA IMPRESCINDIBLE DEL PUZLE
Aquí también debemos evitar conclusiones incorrectas.
Pegasus fue desarrollado por una empresa israelí.
Eso:
NO demuestra que Israel ordenara el espionaje.
Pero Israel se convirtió en una pieza esencial de la investigación porque NSO Group está radicada allí y la cooperación judicial resultaba necesaria para avanzar sobre determinados datos internos de la empresa.
La Audiencia Nacional señala que sus solicitudes de cooperación fueron reiteradas, ampliadas y recordadas durante años sin obtener la ejecución necesaria.
El resultado práctico fue enorme:
sin cooperación → sin determinados datos de NSO → sin identificación del operador → sin atribución judicial.
18. ¿PUDO PEGASUS INFLUIR EN LA POLÍTICA ESPAÑOLA SOBRE MARRUECOS?
Esta pregunta requiere máxima prudencia.
En marzo de 2022 se produjo un cambio histórico en la posición española sobre el Sáhara Occidental.
Posteriormente, Pedro Sánchez viajó a Rabat.
El 7 de abril de 2022, Sánchez y Mohamed VI anunciaron una nueva etapa de las relaciones bilaterales.
La Moncloa describió una hoja de ruta basada en comunicación permanente, transparencia, respeto mutuo y cooperación.
La secuencia inevitablemente plantea una hipótesis:
¿PUDO LA INFORMACIÓN OBTENIDA MEDIANTE PEGASUS HABER GENERADO CAPACIDAD DE PRESIÓN SOBRE ESPAÑA?
La respuesta científica en 2026 es:
NO LO SABEMOS.
No existe evidencia pública suficiente que demuestre que:
PEGASUS → INFORMACIÓN COMPROMETEDORA → PRESIÓN MARROQUÍ → CAMBIO SOBRE EL SÁHARA.
Construir esa cadena causal sería especulativo.
Puede formularse como hipótesis de inteligencia.
No puede presentarse como hecho.
19. ANÁLISIS DE HIPÓTESIS COMPETIDORAS
Un análisis serio no trabaja con una única explicación.
HIPÓTESIS A
Actor vinculado a Marruecos.
Elementos favorables: motivación + crisis + antecedentes + timing.
Limitación: ausencia de atribución técnica/judicial definitiva.
HIPÓTESIS B
Otro Estado cliente de Pegasus.
Pegasus ha sido comercializado internacionalmente.
Un tercer Estado podría haber tenido interés en conocer las decisiones españolas.
Limitación: sin evidencia pública concluyente.
HIPÓTESIS C
Operación diferente aprovechando el contexto.
La coincidencia con Marruecos podría ser precisamente eso: coincidencia.
Limitación: tampoco existe evidencia que permita demostrar esta alternativa.
HIPÓTESIS D
Operación multinivel o intermediada.
En inteligencia cibernética la infraestructura comercial permite separar:
fabricante → licencia → operador → objetivo.
Eso dificulta enormemente atribuir responsabilidades.
20. ESCALA DE EVIDENCIA
Podemos representar el caso de esta forma:
NIVEL 10/10 — HECHO DEMOSTRADO
Los teléfonos del Gobierno español fueron comprometidos con Pegasus.
NIVEL 10/10 — HECHO DEMOSTRADO
Se produjo extracción de información.
NIVEL 10/10 — HECHO DEMOSTRADO
Las intrusiones relevantes ocurrieron durante 2021.
NIVEL 10/10 — HECHO DEMOSTRADO
España atravesaba simultáneamente una gravísima crisis diplomática con Marruecos.
NIVEL ALTO — INDICIO CONTEXTUAL
Existían antecedentes documentados relacionados con herramientas de NSO y Marruecos.
NIVEL MEDIO — HIPÓTESIS ANALÍTICA
Marruecos pudo tener motivación y capacidad para intentar obtener inteligencia española.
NO DEMOSTRADO
Que Marruecos fuera el operador responsable del ataque contra Sánchez.
NO DEMOSTRADO
Que Mohamed VI ordenara personalmente la operación.
NO DEMOSTRADO
Que la información obtenida mediante Pegasus provocara el posterior cambio español respecto al Sáhara Occidental.
Esta jerarquización es fundamental.
21. PEGASUS COMO INSTRUMENTO DE PODER GEOPOLÍTICO
El caso trasciende España y Marruecos.
El Parlamento Europeo concluyó después de una investigación de un año que el abuso de spyware representaba una amenaza para la democracia, los derechos fundamentales y el Estado de derecho.
Pegasus demuestra una transformación profunda del espionaje.
Históricamente, penetrar el círculo de un presidente podía exigir:
- agentes humanos;
- micrófonos;
- acceso físico;
- interceptaciones;
- operaciones clandestinas complejas.
Ahora el objetivo puede ser:
EL SMARTPHONE.
Porque el smartphone concentra:
voz + mensajes + documentos + agenda + contactos + fotografías + ubicación + reuniones + decisiones.
El teléfono de un jefe de Gobierno puede convertirse, potencialmente, en uno de los objetivos de inteligencia más valiosos de un Estado.
22. PEGASUS + MIGRACIÓN + DIPLOMACIA: ¿GUERRA HÍBRIDA?
La expresión debe utilizarse con cuidado.
Pero el caso España–Marruecos de 2021 demuestra cómo diferentes instrumentos de poder pueden coexistir dentro de una crisis:
PRESIÓN DIPLOMÁTICA
CONTROL FRONTERIZO/MIGRATORIO
INFORMACIÓN
CIBERINTELIGENCIA
NARRATIVA/DESINFORMACIÓN
PRESIÓN ECONÓMICA
La UE consideró explícitamente que Marruecos utilizó el control fronterizo y la migración como presión política durante la crisis de Ceuta.
Lo que no está demostrado es que Pegasus formara parte coordinada de aquella misma estrategia.
Esa diferencia no es semántica.
Es la frontera entre análisis y desinformación.
CONCLUSIÓN
Pegasus representa una de las transformaciones más importantes del espionaje contemporáneo.
En España, el caso alcanzó el máximo nivel institucional: fueron comprometidos dispositivos pertenecientes al presidente del Gobierno y varios ministros.
La coincidencia temporal resulta extraordinaria.
Mientras España atravesaba en mayo de 2021 una grave confrontación diplomática con Marruecos por Brahim Ghali, el Sáhara Occidental y la crisis de Ceuta, el teléfono de Pedro Sánchez sufrió intrusiones mediante Pegasus y se produjo una importante exfiltración de información.
Existen antecedentes documentados que justifican investigar seriamente una posible conexión marroquí.
Pero después de años de investigaciones:
LA AUTORÍA SIGUE SIN ESTAR DEMOSTRADA.
Y éste es el dato más importante de la actualización 2026.
La Audiencia Nacional volvió a archivar provisionalmente el procedimiento el 22 de enero de 2026 porque no pudo identificar al responsable, destacando particularmente la falta de cooperación judicial de Israel.
Por tanto, la conclusión técnicamente defendible es:
Marruecos constituye una hipótesis relevante dentro del análisis geopolítico del espionaje sufrido por el Gobierno español, especialmente por la extraordinaria coincidencia temporal con la crisis bilateral de mayo de 2021 y los antecedentes relacionados con Pegasus. Sin embargo, a agosto de 2026 no existe prueba judicial pública concluyente que permita atribuir a Marruecos las intrusiones contra Pedro Sánchez y sus ministros.
En inteligencia, una hipótesis puede ser poderosa.
En ciencia y justicia, una hipótesis continúa siendo una hipótesis hasta que la evidencia permite demostrarla.
FUENTES PRIMARIAS Y DOCUMENTACIÓN
Audiencia Nacional / CGPJ — segundo archivo del caso Pegasus, 22 enero 2026:
https://www.poderjudicial.es/cgpj/es/Poder-Judicial/Noticias-Judiciales/El-juez-de-la-Audiencia-Nacional-archiva-por-segunda-vez-el--caso-Pegasus--ante-la-obstruccion-de-Israel-a-cooperar-con-la-investigacion
Audiencia Nacional / CGPJ — reapertura de la investigación en 2024:
https://www.poderjudicial.es/cgpj/ca/Poder-Judicial/Novetats/La-Audiencia-Nacional-reabre-la-causa-Pegasus-ante-nuevos-datos-aportados-por-Francia
Audiencia Nacional / CGPJ — solicitud de información a Francia e Israel, 2025:
https://www.poderjudicial.es/cgpj/en/Judiciary/Pressroom/News-archive/El-juez-de-la-Audiencia-Nacional-pide-a-Francia-mas-informacion-sobre-la-investigacion-del-programa-Pegasus-y-reitera-su-solicitud-a-Israel
Parlamento Europeo — Informe final de la Comisión PEGA:
https://www.europarl.europa.eu/doceo/document/A-9-2023-0189_ES.html
Parlamento Europeo — Resolución sobre Pegasus y spyware:
https://www.europarl.europa.eu/news/en/press-room/20230609IPR96217/spyware-meps-call-for-full-investigations-and-safeguards-to-prevent-abuse
Parlamento Europeo — Crisis fronteriza España–Marruecos/Ceuta:
https://www.europarl.europa.eu/news/en/press-room/20210604IPR05533/human-rights-breaches-at-the-spanish-moroccan-border-in-russia-and-in-sri-lanka
EUR-Lex — Resolución sobre la crisis de Ceuta:
https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:52021IP0289
Amnesty International Security Lab — investigación técnica sobre Pegasus y Marruecos:
https://www.amnesty.org/en/latest/research/2020/06/moroccan-journalist-targeted-with-network-injection-attacks-using-nso-groups-tools/
Citizen Lab — BLASTPASS / explotación zero-click de Pegasus:
https://citizenlab.ca/blastpass-nso-group-iphone-zero-click-zero-day-exploit-captured-in-the-wild/
Gobierno de España / La Moncloa — confirmación de terminales gubernamentales infectados:
https://www.lamoncloa.gob.es/consejodeministros/resumenes/paginas/2022/100522-rp-cministros.aspx
La Moncloa — nueva etapa de relaciones España–Marruecos, abril de 2022:
https://www.lamoncloa.gob.es/presidente/actividades/Paginas/2022/070422-sanchez-marruecos.aspx
By DrRamonReyesMD ⚕️
EMS Solutions International
Actualización: agosto de 2026
#Pegasus #NSOGroup #España #Marruecos #Israel #Ciberseguridad #Ciberespionaje #Inteligencia #Ceuta #Melilla #SaharaOccidental #Geopolitica #CyberIntelligence #CyberSecurity #HybridWarfare #DrRamonReyesMD #EMSSolutionsInternational
No hay comentarios:
Publicar un comentario