Pegasus: quién lo creó, quién lo vende y cuánto cuesta de verdad
La historia de Pegasus no se explica solo con un software espía: hay contratos, intermediarios, servidores y soporte técnico. Qué está probado y qué no.
Revisado: · Investigación documental
Detrás de Pegasus hay más que un programa espía. Propuestas comerciales, documentos judiciales e investigaciones técnicas permiten reconstruir cómo se contrataba, qué servicios recibían los clientes y qué papel desempeñaban los intermediarios. El coste dependía de la licencia, de la infraestructura y de la asistencia técnica.
Qué es Pegasus y qué lo diferencia del malware habitual
Pegasus es un software espía de vigilancia selectiva desarrollado por la empresa israelí NSO Group. Su finalidad comercial declarada es ayudar a organismos de seguridad e inteligencia a investigar delincuencia grave y terrorismo. Pero investigaciones técnicas y judiciales han documentado su utilización contra periodistas, defensores de derechos humanos, políticos y otras personas que no estaban acusadas de esos delitos.
Pegasus se integra en una plataforma de vigilancia que combina herramientas de intrusión, servidores, análisis de datos, operadores y asistencia técnica. Amnistía Internacional reconstruyó esa arquitectura en julio de 2026 mediante documentos internos de NSO revelados en el litigio con WhatsApp.
Su peligrosidad no se limita a leer mensajes: si un teléfono resulta comprometido, el sistema puede acceder a información disponible en el dispositivo y activar funciones de captura. Por eso una conversación cifrada de extremo a extremo puede quedar expuesta si el atacante obtiene datos directamente del móvil antes o después del cifrado. Eso no significa que Pegasus haya descifrado matemáticamente WhatsApp o Signal.
Cómo nació Pegasus: el origen de NSO Group y su mercado
NSO Group Technologies Ltd. se constituyó en Israel el 25 de enero de 2010. Sus fundadores fueron Niv Carmi, Shalev Hulio y Omri Lavie; las iniciales de sus nombres dieron lugar a «NSO». La evolución de su estructura societaria ha sido estudiada por Privacy International.
La oportunidad comercial que identificó la empresa consistía en ofrecer a agencias públicas una forma de acceder a teléfonos inteligentes durante investigaciones, en un contexto de mayor uso de aplicaciones cifradas. NSO presentó esa capacidad como una herramienta para investigar delitos graves. Con los años, distintas investigaciones documentaron también ataques contra periodistas, activistas y dirigentes políticos.
El mundo conoció Pegasus de manera especialmente clara en agosto de 2016. El activista emiratí Ahmed Mansoor recibió mensajes con enlaces sospechosos y, en vez de abrirlos, los compartió con investigadores. Citizen Lab y Lookout estudiaron una cadena de tres vulnerabilidades desconocidas hasta entonces, conocida como «Trident», que habría permitido comprometer su iPhone. Mansoor no abrió los enlaces. Por eso, el episodio se documentó como un intento de infección detectado antes de que se ejecutara el ataque. Investigación original de Citizen Lab, 24 de agosto de 2016.
¿Quién vende Pegasus? Gobiernos, empresas privadas e intermediarios
NSO Group presenta Pegasus como una herramienta licenciada a organismos gubernamentales autorizados, bajo el marco de controles de exportación israelíes. La documentación comercial, judicial y periodística permite distinguir cuatro funciones que pueden intervenir en una contratación:
- Fabricante y proveedor tecnológico: NSO Group desarrolla el sistema y mantiene componentes críticos de su operación.
- Organismo comprador o usuario final: puede ser una agencia pública de inteligencia, seguridad o investigación identificada en un contrato.
- Empresa intermediaria: participa en licitaciones, facturación, venta o instalación sin convertirse necesariamente en el organismo que ordena una vigilancia.
- Operador: persona o equipo que usa el sistema; su identidad y su relación con el cliente no siempre son públicas.
En México, las investigaciones sobre Pegasus mostraron la intervención de empresas privadas además de organismos públicos. En 2021, la Fiscalía General de la República identificó a KBH TRACK como empresa operadora y comunicó que realizaba actividades de espionaje telefónico para distintos solicitantes cuya identidad todavía no estaba plenamente establecida a efectos judiciales. El caso permite distinguir la fabricación del sistema, la contratación, su operación técnica y la decisión de utilizarlo.
Más documentación oficial y periodística: Gobierno de México, contratos e intermediarios (2021) y la información de la Fiscalía sobre KBH TRACK recogida por EL PAÍS (2021).
Cuánto cuesta Pegasus: tarifas históricas frente a contratos reales
Los importes conocidos proceden de propuestas comerciales y contratos de años anteriores. En octubre de 2026 no hay una tarifa pública verificada que permita calcular el precio de un nuevo despliegue. Para entender esas cifras conviene separar el coste de instalación, las licencias, el mantenimiento y los servicios contratados.
Una propuesta comercial divulgada en 2016 recogía 500.000 dólares de instalación inicial y 650.000 dólares por capacidad para diez objetivos iPhone (también se citaba un lote equivalente de diez Android). Se mencionaba además un mantenimiento anual del 17 % del importe del sistema. Las cantidades corresponden a aquella oferta concreta. Columbia Journalism Review recopila la documentación de tarifas publicada entonces. El mantenimiento del 17 % también está documentado en The Indian Express (2021).
| Referencia | Importe | Qué representa |
|---|---|---|
| Propuesta divulgada en 2016 | 500.000 USD | Instalación inicial |
| Propuesta divulgada en 2016 | 650.000 USD | Licencia/capacidad para diez objetivos de un sistema operativo |
| Propuesta divulgada en 2016 | 17 % anual | Mantenimiento indicado en aquella propuesta |
| Contrato examinado en Ghana (2015–2016) | 8 millones USD | Importe contractual investigado judicialmente, con participación de un intermediario |
El caso de Ghana muestra la diferencia entre el importe de un contrato y los pagos documentados al fabricante. Una sentencia de 2020 examinó un contrato por ocho millones de dólares relacionado con la Autoridad Nacional de Comunicaciones y un intermediario. En la reconstrucción judicial se describen cuatro millones transferidos al intermediario y un millón remitido posteriormente a NSO. Las cantidades muestran la importancia de los intermediarios en aquella contratación concreta. Sentencia de la Alta Corte de Ghana, 12 de mayo de 2020 (PDF).
Qué incluye una contratación: instalaciones, formación y asistencia técnica
El software por sí solo no explica el coste. Documentos de NSO utilizados en el juicio con WhatsApp, analizados en 2026 por Amnistía Internacional, muestran una arquitectura con servidores y consola de análisis en el país del cliente, más componentes de envío y retransmisión mantenidos por el fabricante. La empresa disponía de un centro de operaciones de red que monitorizaba incidencias y alertas técnicas.
La asistencia podía combinar formación de operadores, mantenimiento y actualizaciones. Una descripción contractual de 2015 vinculada al caso de Ghana citaba cuatro niveles de soporte, desde resolución de problemas comunes hasta escalado a ingenieros de investigación y desarrollo. Investigaciones periodísticas también documentaron casos de técnicos de NSO desplazados a instalaciones del cliente. El alcance del soporte y la presencia de técnicos variaban según las condiciones pactadas. Documentación contractual analizada por VICE.
Una investigación publicada en julio de 2026 explica una dependencia importante: cuando Apple, Google o proveedores de mensajería corrigen vulnerabilidades, determinados métodos de infección dejan de funcionar. Mantener una plataforma de ese tipo exige nuevos desarrollos y soporte continuado. Un contrato puede pagar capacidades y servicios durante varios años, no solo una copia de software. Amnistía Internacional, 2026.
Cómo puede infectar un iPhone o un Android
Pegasus utiliza diferentes técnicas, según el año, la versión del sistema y las vulnerabilidades disponibles. Los investigadores han documentado ataques que necesitan que la persona abra un enlace (one-click), otros que aprovechan condiciones de red y otros llamados zero-click, que no requieren tocar el mensaje ni abrir archivos.
En un ataque de tipo zero-click, el fallo se encuentra en el procesamiento automático de determinado contenido o servicio del dispositivo. La eficacia de esos ataques depende de vulnerabilidades concretas y de la versión instalada en cada dispositivo. Los métodos cambian al corregirse los fallos; tampoco todas las técnicas descritas históricamente funcionan en las versiones actuales de iOS o Android. Las investigaciones de Amnistía Internacional (2026) documentan distintas generaciones de vectores.
En términos sencillos, la secuencia de riesgos es identificar un objetivo → intentar comprometer el dispositivo → obtener acceso a datos → mantener y gestionar el sistema. Ese recorrido permite distinguir un intento de ataque de una infección que llega a completarse.
Qué puede ver Pegasus y por qué el cifrado no basta
Los documentos internos analizados por investigadores describen acceso potencial a mensajes, llamadas, correos, contactos, fotografías, calendario, archivos, navegación y localización del teléfono comprometido. También documentan funciones para activar el micrófono o tomar imágenes mediante la cámara, sujetas al éxito del ataque y a las capacidades de esa versión del spyware.
El cifrado de extremo a extremo protege la información en tránsito entre las partes. Si un atacante logra acceder al contenido en el dispositivo antes de enviarlo o una vez descifrado para mostrarlo, puede obtenerlo sin romper el algoritmo de cifrado. La vulnerabilidad está en el dispositivo comprometido; el cifrado sigue protegiendo el mensaje mientras viaja entre sus participantes.
La documentación de 2026 también examina el riesgo de que información recuperada, como credenciales, permita intentar acceder a cuentas asociadas. Las funciones disponibles dependen de la versión de Pegasus, del dispositivo y de las vulnerabilidades aprovechadas en cada ataque. Fuente: Security Lab, sección de recopilación de datos y consola.
Cronología documentada: de 2010 a los nuevos casos de 2026
- 2010. Constitución de NSO Group en Israel.
- Agosto de 2016. Citizen Lab publica el intento de ataque contra Ahmed Mansoor y la cadena de vulnerabilidades «Trident».
- 2021. Pegasus Project reúne investigaciones periodísticas y análisis forenses sobre vigilancia de interés público, con infecciones verificadas y números seleccionados como posibles objetivos.
- 2022. Citizen Lab documenta en «CatalanGate» infecciones y objetivos de spyware mercenario; su análisis distingue las evidencias técnicas de los indicios de atribución.
- Enero de 2026. Un juez español acuerda el sobreseimiento provisional de la causa sobre el espionaje a miembros del Gobierno al no poder establecer responsabilidades por falta de cooperación judicial.
- Julio de 2026. Amnistía Internacional publica un análisis basado en documentación interna de NSO revelada durante el litigio con WhatsApp.
- 19 de octubre de 2026. Citizen Lab publica una investigación forense que considera acreditada, con alta confianza, una infección Pegasus en el iPhone del rector de la Universidad de Belgrado.
Referencias: CatalanGate, 2022; EFE, enero de 2026; Citizen Lab, octubre de 2026.
Pegasus en España: infecciones investigadas y autoría sin resolver
En España hay que distinguir diferentes investigaciones. Por un lado, el Gobierno informó en 2022 de infecciones detectadas en teléfonos de Pedro Sánchez y varios ministros. La Audiencia Nacional investigó los hechos, pero el 22 de enero de 2026 volvió a acordar un sobreseimiento provisional por la falta de cooperación de Israel y las dificultades para identificar responsables. La autoría de aquellas operaciones continuó sin establecerse judicialmente. Información de EFE sobre la resolución.
Por otro lado, Citizen Lab publicó CatalanGate en 2022, con indicios de ataques a miembros de la sociedad civil y del entorno político catalán, incluidas infecciones verificadas forensicamente. Su informe describió indicios que apuntaban a un nexo gubernamental español, pero indicó expresamente que no atribuía de manera concluyente todas esas operaciones a un gobierno concreto.
Son investigaciones diferentes, con víctimas y actuaciones distintas. Las conclusiones sobre cada operación dependen de sus propias pruebas técnicas y judiciales.
Qué sabemos en octubre de 2026: hallazgos recientes y lo que queda abierto
La investigación de 16 de julio de 2026 de Amnistía Internacional aporta información técnica nueva sobre la relación entre NSO y sus clientes: infraestructura anonimizada gestionada por la empresa, servidores locales, herramientas de análisis y un servicio de soporte que mantiene componentes esenciales. También relaciona datos técnicos de pruebas internas con conjuntos de información estudiados en Pegasus Project.
El 19 de octubre de 2026, Citizen Lab y SHARE Foundation publicaron indicios forenses evaluados con alta confianza de una infección Pegasus en el iPhone del rector de Belgrado, Vladan Đokić, mediante un ataque sin interacción. En la misma investigación se documenta que Rade Bajić recibió una notificación de amenazas de Apple. La infección de Đokić fue corroborada mediante análisis forense; en el caso de Bajić, lo documentado era la alerta de Apple y una investigación todavía abierta. Documento original de Citizen Lab.
Los casos muestran que Pegasus continúa siendo una amenaza de vigilancia dirigida. Las vulnerabilidades utilizadas, los dispositivos afectados y la atribución de cada operación requieren análisis específicos.
Cómo saber si tu móvil ha sido atacado: señales y límites reales
La descarga rápida de la batería, el calentamiento o el aumento del consumo de datos tienen muchas explicaciones. Por sí solos no permiten detectar Pegasus. Tampoco un antivirus que no detecta nada demuestra que el teléfono está limpio.
En iPhone y Android, las investigaciones fiables recurren a análisis forenses consentidos y a indicadores técnicos que cambian según cada campaña. El proyecto abierto Mobile Verification Toolkit (MVT) y las herramientas de Amnistía Internacional ayudan a especialistas a buscar rastros, pero no están diseñadas como un test doméstico definitivo. Un resultado negativo no excluye por completo una infección reciente o desconocida.
Si recibes una notificación de amenaza de Apple, verifica su autenticidad iniciando sesión directamente en account.apple.com, sin pulsar enlaces de mensajes sospechosos. Apple explica que estas alertas tienen alta fiabilidad para ataques de vigilancia dirigida, pero no atribuyen por sí mismas la acción a Pegasus o a un país determinado. Instrucciones oficiales de Apple.
Si crees que eres objetivo de vigilancia sofisticada por tu actividad, trabajo o situación, solicita ayuda especializada y consensuada. Access Now ofrece una línea de ayuda para sociedad civil. No entregues copias de tu móvil ni registros íntimos a supuestos expertos encontrados al azar.
Cómo reducir el riesgo en iPhone y Android
La inmensa mayoría de los usuarios no serán objetivos de ataques tan costosos y selectivos, según Apple. Para la población general, la prioridad sigue siendo protegerse frente a riesgos mucho más comunes; las personas expuestas a amenazas dirigidas pueden necesitar medidas adicionales.
- Actualiza iOS, Android y aplicaciones. Los parches pueden cerrar vulnerabilidades usadas para ataques; comprueba también hasta cuándo recibe soporte tu modelo.
- Utiliza bloqueo seguro y cuentas reforzadas. Un buen código, autenticación multifactor y passkeys ayudan frente a otras formas de intrusión, pero no sustituyen las actualizaciones.
- Comprueba enlaces y permisos. Evita instalar perfiles o aplicaciones de procedencia desconocida. No obstante, recuerda que los ataques zero-click pueden no requerir que hagas clic.
- En iPhone de alto riesgo, valora el Modo de aislamiento. Apple lo diseñó para reducir determinadas superficies de ataque, aunque limita funciones y no garantiza protección absoluta. Consulta nuestra guía de configuración y limitaciones.
- En Android, revisa actualizaciones y compatibilidad. Un modelo sin soporte puede requerir un plan de sustitución si maneja datos especialmente sensibles. Sigue nuestra lista de diez comprobaciones básicas.
- Si hay una alerta creíble, pide asistencia. Evita borrados precipitadamente, porque podrían eliminar rastros forenses. Un profesional puede ayudarte a preservar pruebas y adaptar las medidas.
Consulta también las guías de iPhone en diez minutos, passkeys y prevención del secuestro de cuentas. Una VPN no proporciona inmunidad frente a Pegasus.
Preguntas frecuentes sobre Pegasus
¿Quién puede contratar Pegasus?
NSO Group presenta Pegasus como una tecnología destinada a organismos gubernamentales autorizados. En contrataciones e investigaciones conocidas también aparecen empresas privadas que intervienen como intermediarias u operadoras.
¿Cuánto cuesta Pegasus actualmente?
En octubre de 2026 no se dispone de una tarifa oficial pública verificada. Los importes de 500.000 y 650.000 dólares, junto al 17 % de mantenimiento, proceden de propuestas difundidas en 2016. Cada contrato puede incluir infraestructura, capacidades y servicios adicionales.
¿Existen distintos niveles de servicio?
Sí. Documentos contractuales históricos describen varios niveles de asistencia técnica y, en algunos casos, apoyo presencial. Las denominaciones comerciales y condiciones vigentes no figuran en una tarifa pública contrastada de 2026.
¿Puede infectar iPhone y Android?
Sí, existen ataques históricos documentados contra ambos sistemas. Las técnicas y los modelos afectados cambian con los años y las actualizaciones.
¿Es necesario abrir un enlace?
No siempre. Se han acreditado técnicas de infección sin interacción, llamadas zero-click. Eso no significa que cualquier llamada o mensaje pueda infectar cualquier móvil.
¿Una notificación de Apple confirma que tengo Pegasus?
Una notificación de Apple alerta de un posible ataque de vigilancia dirigida con spyware mercenario. Por sí sola no identifica el programa empleado ni confirma una infección concreta.
¿Puedo saberlo con un antivirus?
Una aplicación de seguridad puede detectar algunas amenazas, pero no garantiza la detección de Pegasus. El diagnóstico requiere metodología forense, indicadores actualizados y especialistas cuando existe riesgo fundado.
¿Una VPN o WhatsApp cifrado bloquean Pegasus?
No. Una VPN modifica la ruta de parte del tráfico y el cifrado protege comunicaciones, pero no resuelven por sí solos el compromiso del dispositivo.
Fuentes documentales, límites y última revisión
Revisión editorial: . El artículo reúne documentación comercial histórica, investigaciones forenses, declaraciones empresariales y resoluciones judiciales. Los importes citados están asociados a contratos y fechas concretos. Las infografías son explicaciones editoriales originales.
- Amnistía Internacional Security Lab: análisis técnico basado en documentos internos (16/07/2026)
- Citizen Lab: casos examinados en Serbia (19/10/2026)
- Citizen Lab: intento contra Ahmed Mansoor (24/08/2016)
- Columbia Journalism Review: cifras de una oferta comercial histórica (2016)
- VICE: contratos, asistencia técnica y niveles de soporte (2019)
- Alta Corte de Ghana: sentencia sobre la contratación (12/05/2020, PDF)
- Gobierno de México: contratación mediante intermediarios (2021)
- EFE: sobreseimiento provisional del caso del Gobierno español (22/01/2026)
- Apple: notificaciones de vigilancia dirigida y protección (2026)
- MVT: alcance y limitaciones del análisis forense consentido
- Privacy International: estructura y origen corporativo de NSO Group
Para más contenidos verificados, entra en el Centro de Seguridad de RUSADIX Tools.