Hacia finales de 2023, un investigador de seguridad israelí de Tel Aviv dijo que se le acercó en LinkedIn con una oportunidad de trabajar en el extranjero con «buena paga.» Dijo que el departamento de recursos humanos de la empresa le dijo que era una empresa de seguridad ofensiva «legítima» que estaba empezando desde cero en Barcelona, España. 

Pero durante todo el proceso de contratación, relató el investigador a TechCrunch, las cosas le parecieron un poco raras. 

«Todo el secretismo era muy raro. Algunos de los empleados que me entrevistaron no usaron sus nombres completos, tardaron muchísimo en revelar dónde estaba la empresa y mucho menos su nombre. ¿Por qué es tan secreto si todo es legítimo?», dijo el investigador a TechCrunch. «Parece una empresa que podría ser sancionada en el futuro, y las cosas podrían ensuciarse».

Cuando habló con el director de tecnología de la empresa, el investigador afirmó que le dijeron algo parecido a: «Sólo tendremos clientes legítimos y, a diferencia de otras empresas, no venderemos a naciones turbias.»

Alexey Levin, el director de tecnología contratante y antiguo investigador del fabricante de programas espía sancionado NSO Group, dijo al investigador que la empresa que intentaba contratarle se llamaba Palm Beach Networks y que desarrollaba desde los exploits de día cero utilizados para comprometer dispositivos hasta el propio implante de programas espía, refiriéndose al software de vigilancia que se instala en el dispositivo de un objetivo, según el investigador. 

El investigador afirmó que Levin también le dijo que Palm Beach Networks tenía al menos un cliente del gobierno estadounidense. (Levin no respondió a una solicitud de comentarios).

Pero, ¿por qué fundar una empresa de software espía en Barcelona, que sólo unos años antes había sido el centro de un escándalo político de gran alcance en el que funcionarios del gobierno español utilizaron software espía para atacar a políticos locales que defendían la independencia? El investigador dijo que los empleados de la empresa le dijeron que era porque vivir en la ciudad es similar a vivir en Israel, que hay buenas ventajas fiscales y buen clima. 

Éstas son algunas de las razones por las que en los últimos años Barcelona se ha convertido en un centro poco probable para las empresas de software espía, según varias personas que trabajan en la industria de la ciberseguridad ofensiva que hablaron con TechCrunch, así como los registros de negocios que hemos visto. 

El hecho de que Barcelona se haya convertido en un puesto regional crucial para las empresas de ciberseguridad ofensiva pone el problema del software espía directamente a las puertas de Europa, que tiene una relación díscola con la tecnología de vigilancia, debido a los escándalos de Chipre, Grecia, Hungría y Polonia, todos ellos relacionados con fabricantes israelíes de software espía.

«Es preocupante que una gran ciudad europea se convierta en un centro de fabricantes de programas espía», declaró a TechCrunch Natalia Krapiva, asesora jurídica de la organización sin ánimo de lucro Access Now, especializada en la investigación de programas espía. Krapiva dijo que el negocio del spyware «va de la mano de la corrupción y el abuso de poder».

«Los ciudadanos españoles, los medios de comunicación y los responsables políticos deberían examinar detenidamente estas empresas para saber si sus operaciones se ajustan a las leyes nacionales y de la UE y si el gobierno español puede estar implicado en el uso abusivo de sus herramientas de vigilancia, especialmente teniendo en cuenta los antecedentes de España con Pegasus», afirmó Krapiva.

John Scott-Railton, investigador principal del Citizen Lab, donde él y sus colegas llevan más de una década investigando los abusos cometidos con herramientas de espionaje, también expresó su preocupación. Scott-Railton señaló que, en el pasado, se han dado casos de abusos con programas espía no sólo contra activistas de derechos humanos y disidentes en países no democráticos como Etiopía y Arabia Saudí, sino también contra diplomáticos estadounidenses y personas concretas, incluidos políticos y ciudadanos dentro de las fronteras europeas. 

«Esto echará más leña al fuego de la crisis del espionaje en Europa. Si la experiencia nos sirve de guía, es sólo cuestión de tiempo que esta tecnología acabe siendo utilizada por los clientes contra los aliados de España y los socios de la UE», declaró Scott-Railton a TechCrunch. «Los gobiernos que permiten que esta industria florezca se juegan sus propias capacidades secretas y su capital humano. Estas capacidades tienden a drenarse hacia el exterior, incluso hacia futuros adversarios potenciales, una vez que los desarrolladores mercenarios de spyware y exploits llegan a la ciudad y empiezan a contratar.»

Sol, marisco y programas espía

Aparte de Palm Beach Networks (como se la conocía entonces), Barcelona alberga a otros fabricantes de exploits y programas espía que también aprovechan el clima soleado y templado de la ciudad, el marisco fresco y la vibrante comunidad de expatriados.

Entre ellos se encuentran Paradigm Shift, fundada por antiguos empleados de Variston tras la quiebra de la empresa el año pasado, y Epsilon, dirigida por Jeremy Fetiveau, un veterano del sector que trabajaba para una división del gigante estadounidense de defensa L3Harris creada tras la adquisición por parte de la empresa de la startup australiana Azimuth. Fetiveau no respondió a la solicitud de comentarios.

Se dice que la ciudad también alberga a un grupo anónimo de investigadores israelíes que se trasladaron a Barcelona desde Singapur para trabajar en el desarrollo de exploits de día cero. La existencia de este equipo anónimo, así como la presencia de Epsilon en Barcelona, fue comunicada por primera vez por el periódico israelí Haaretz, cuyo artículo suscitó cobertura en periódicos y sitios web de noticias locales.

Otras empresas de ciberseguridad tienen presencia en Barcelona, aunque no tengan allí su sede. Andrijana Šekularac, directora ejecutiva de la empresa austriaca de ciberseguridad SAFA, vive en la ciudad, según su perfil público de LinkedIn. SAFA ha patrocinado conferencias de ciberseguridad ofensiva, como OffensiveCon y Hexacon, y emplea al menos a dos investigadores de seguridad con experiencia previa en explotación de vulnerabilidades en empresas de seguridad ofensiva, según su perfil público de LinkedIn.

Šekularac no respondió a una solicitud de comentarios antes de la publicación. En un correo electrónico posterior, Šekularac dijo: «SAFA niega inequívocamente cualquier implicación con programas espía. Nos centramos únicamente en proporcionar servicios de investigación e inteligencia sobre amenazas a nuestros clientes, que son totalmente distintos del desarrollo o utilización de programas espía.» Šekularac añadió: «SAFA no tiene empleados con conexiones previas con empresas de spyware, y esta declaración tergiversa los antecedentes profesionales y la integridad de nuestro equipo.»

Estas empresas de día cero y spyware forman parte de un ecosistema más amplio de ciberseguridad y startups en Barcelona. El año pasado, según el gobierno regional catalán, había más de 10.000 personas trabajando para más de 500 empresas de ciberseguridad en Barcelona, es decir, alrededor de un 50% más de trabajadores que cinco años antes.

Fuentes:

https://techcrunch.com/2025/01/13/how-barcelona-became-an-unlikely-hub-for-spyware-startups/