Cada pocos meses, España entierra a Pedro Sánchez. Lo enterró con el caso Koldo, con el caso Cerdán, con el caso Begoña Gómez, con el caso del fiscal general, con la financiación del PSOE. En cada ocasión, tertulianos, dirigentes de la oposición y titulares de portada coincidieron en que aquello era el final, el punto de no retorno, la línea que ningún gobierno sobrevive. Y en cada ocasión, a la semana siguiente, el Presidente comparecía sonriente, hablaba de una ofensiva judicial contra su Gobierno, invocaba a la ultraderecha internacional y seguía adelante. Pedro Sánchez tiene muchas tumbas pero no está enterrado en ninguna.
Ahora le toca el turno a Pegasus. Conviene explicar de entrada de qué hablamos: Pegasus es un programa espía desarrollado por la empresa israelí NSO Group que se instala en un teléfono móvil sin que su dueño haga absolutamente nada —ni pulsar un enlace, ni abrir un archivo— y concede al atacante control total sobre el dispositivo: mensajes, correos, fotografías, geolocalización permanente y activación remota del micrófono y la cámara. Al final de este artículo encontrará una explicación más detallada. Lo relevante ahora es que ese programa estuvo dentro del teléfono del presidente del Gobierno de España, y que de allí salieron gigabytes de información que nadie ha sido capaz de recuperar, identificar ni explicar.
Lo único que está acreditado: 2,57 gigabytes
El 2 de mayo de 2022, el Ministro Félix Bolaños compareció de urgencia en Moncloa para anunciar que los teléfonos del Presidente y de la Ministra de Defensa habían sido infectados con Pegasus. El Gobierno calificó los ataques de externos, ilícitos y ajenos a cualquier organismo del Estado, y anunció una denuncia ante la Audiencia Nacional. Los informes que sustentaban el anuncio procedían del Centro Criptológico Nacional, dependiente del CNI.
Las periciales posteriores, incorporadas después a la causa, acotaron el daño con precisión:
- Pedro Sánchez: intrusión entre el 19 y el 21 de mayo de 2021, con extracción de unos 2,57 GB; segunda intrusión el 31 de mayo de 2021, con otros 130 MB.
- Fernando Grande-Marlaska: dos accesos en junio de 2021, con unos 400 MB en el primero y aproximadamente 6,3 GB en el segundo, la mayor brecha del Ejecutivo.
- Margarita Robles: cuatro accesos entre mayo y octubre de 2021, con una extracción principal en torno a 9 MB.
- Luis Planas: ataque el 25 de junio de 2021, frustrado, con un volumen residual inferior a 1 KB.
- Arancha González Laya: dispositivo comprometido según un informe del CCN-CERT, pero excluido del procedimiento principal porque el terminal había sido sustituido tras su salida del Gobierno.
Estos son los hechos. Todo lo demás —qué había en esos archivos, quién los tiene, para qué se usaron— pertenece al terreno de la conjetura. Ni el juzgado ni el CCN han precisado jamás el contenido temático de lo sustraído. Cuatro años después, la información privada del jefe del Ejecutivo español está en manos desconocidas y nadie sabe qué contiene.
Una coincidencia de fechas que nadie ha querido explicar
Las intrusiones no se produjeron en un momento cualquiera. En abril de 2021, España acogió discretamente por razones humanitarias al líder del Frente Polisario, Brahim Gali. En mayo de 2021, miles de personas entraron masivamente en Ceuta ante la pasividad de la gendarmería marroquí, en lo que el Gobierno español acabó reconociendo como una maniobra de presión. Y es precisamente en mayo y junio de 2021 cuando se concentran las infecciones de los teléfonos del Presidente y de sus Ministros. En marzo de 2022, España dio un giro histórico a su posición sobre el Sáhara Occidental y respaldó la propuesta marroquí de Autonomía.
Ordenar esos hechos en una línea temporal no demuestra nada por sí solo, y conviene decirlo con claridad: la correlación no es causalidad y ningún tribunal español ha atribuido el espionaje a Marruecos. Pero la secuencia existe, es pública y es verificable, y ningún responsable político ha ofrecido hasta hoy una explicación de por qué el teléfono del presidente fue vaciado justo en las semanas en que se decidía la posición española sobre el asunto más sensible de nuestra política exterior.
Dos archivos y una impotencia investigadora
La causa se abrió en el Juzgado Central de Instrucción número 4 de la Audiencia Nacional, a cargo del magistrado José Luis Calama, por delitos de descubrimiento y revelación de secretos. La vía principal de investigación era Israel, sede de NSO Group, la única empresa capaz de identificar a qué cliente estatal se le vendieron los vectores de ataque empleados contra los números españoles.
Israel no contestó. Ni una vez, ni dos: el juzgado cursó hasta cuatro comunicaciones formales de auxilio judicial a lo largo de un año y no obtuvo respuesta alguna. El 10 de julio de 2023, Calama archivó provisionalmente la causa. Su auto merece ser leído con atención, porque no es el texto de un juez indiferente: sostuvo que los hechos investigados habían puesto «en jaque la propia seguridad del Estado», reprochó al Estado de Israel una conducta contraria al principio de buena fe de la Convención de Viena, describió su propia situación como de «impotencia investigadora» y concluyó que, agotada la vía judicial, la única salida era la vía diplomática, que corresponde ejercitar al Gobierno de España, que es a la vez el perjudicado por el delito.
El 23 de abril de 2024, el caso se reabrió gracias a una Orden Europea de Investigación remitida por los juzgados de París, que instruían su propio procedimiento por el espionaje con Pegasus a periodistas, parlamentarios y miembros del Gobierno francés. Francia aportó indicadores técnicos: direcciones IP, dominios, firmas criptográficas. El Juez encargó al CCN un informe comparativo con los datos de la agencia francesa ANSSI para determinar si ambos ataques compartían la misma firma operativa.
No bastó. El 22 de enero de 2026, Calama volvió a archivar la causa provisionalmente por los mismos motivos: el cruce pericial franco-español no permitió individualizar autoría alguna, Israel seguía sin cooperar y el procedimiento regresaba a su estado de latencia. Un sobreseimiento provisional no absuelve a nadie: reconoce que el delito existe y que no se sabe quién lo cometió. Para reabrirlo hace falta un hecho nuevo con fuerza incriminatoria suficiente. Pueden pedirlo el Ministerio Fiscal, la Abogacía del Estado o el propio Juez de oficio.
El ofrecimiento que la Fiscalía prefirió no mirar
Y aquí llega el episodio más incómodo de toda esta historia, el que a mi juicio merecería una comisión de investigación por sí solo. Según la información publicada por ABC y reproducida por otros medios, en octubre de 2024 —con la causa aún viva— un emisario del exoficial de inteligencia marroquí Mehdi Hijaouy se reunió con el Fiscal jefe de la Audiencia Nacional, Jesús Alonso, para ofrecer material sobre el espionaje a los teléfonos del Gobierno. A cambio pretendía que se paralizara el procedimiento de extradición que pesaba sobre su representado.
La Fiscalía rechazó el ofrecimiento. Según el relato del emisario recogido por la prensa, el Fiscal jefe habría respondido que aquello no interesaba porque suponía «un problema para Marruecos». Días después, el mismo intermediario formalizó el ofrecimiento por correo electrónico; la respuesta, tres semanas más tarde, fue que lo comunicase al juzgado instructor. Así lo han recogido varios medios.
Hay que ser justos con los matices, porque son importantes. Quien ofrecía no era un testigo altruista: era un hombre detenido que negociaba su propia extradición, y eso obliga a examinar con lupa cada dato que aportara. La frase atribuida al fiscal procede del relato de una de las partes interesadas y no de una transcripción verificada. Y remitir un asunto judicializado al juzgado instructor es, formalmente, lo procesalmente correcto.
Pero el fondo permanece intacto: en una causa bloqueada precisamente por falta de pruebas sobre la autoría, alguien se presentó ofreciendo pruebas sobre la autoría y el sistema no quiso ni verlas. Comprobar si aquel material era auténtico o una fabulación habría costado unas horas de trabajo pericial. Nadie las invirtió.
El caso Hijaouy: una revelación que se deshizo en 48 horas
El 7 de septiembre de 2026, la periodista Ketty Garat adelantó en el programa Horizonte una exclusiva que ABC publicó al día siguiente: Mehdi Hijaouy, presentado como ex número dos de la inteligencia exterior marroquí y arquitecto técnico del operativo, estaría en disposición de entregar los 2,6 GB extraídos del teléfono de Sánchez. Garat exhibió en directo lo que describió como su hoja de servicios original en la DGED. La información puede consultarse íntegra en Cuatro. El Debate publicó en paralelo que Hijaouy vive escondido en España, entre Madrid y una finca de Cáceres, con una red de apoyo local.
Era, en apariencia, la bomba definitiva. Duró cuarenta y ocho horas.
El 9 de septiembre, el despacho parisino Bourdon & Associés, que ejerce la defensa de Hijaouy, difundió un comunicado desmintiendo la información de forma categórica: su cliente nunca transmitió bases de datos ni archivos de agentes a los hackers de Jabaroot ni a nadie, y nunca ha tenido contacto alguno, directo ni indirecto, con el diario ni con la periodista. Los abogados reprochan al periódico haberse apoyado en fuentes de inteligencia anónimas sin aportar un solo elemento verificable, y han solicitado formalmente una rectificación. El comunicado ha sido recogido por varios medios internacionales.
A ese desmentido se suman objeciones técnicas nada menores planteadas por periodistas especializados en el Magreb. Pegasus no lo operaba la DGED, el servicio exterior donde sirvió Hijaouy, sino la DGST, la inteligencia interior dirigida por Abdellatif Hammouchi. Hijaouy causó baja en la DGED en 2014 y la DGST no desplegó Pegasus hasta 2017. Y la base de 70.381 identidades filtrada por Jabaroot en agosto de 2026 no corresponde a espías, sino al personal administrativo de la policía marroquí ordinaria. La propia credencial mostrada en televisión ha sido cuestionada por errores en su redacción en árabe y por una fecha de validez incompatible con el relato.
Nada de esto está judicialmente resuelto, y conviene recordar que buena parte de los medios que amplifican el desmentido son marroquíes y próximos al Majzén, con intereses evidentes. Pero un comunicado de la defensa del propio protagonista no es un detalle que se pueda ignorar. A día de hoy no existe constancia de que ningún volcado del teléfono del Presidente haya sido depositado ante juzgado o fiscalía alguna en España. Ni uno solo de esos gigabytes ha llegado a una sede judicial.
Las muchas tumbas de Pedro Sánchez
Y así volvemos al principio. Desde estas páginas hemos documentado en nuestro diccionario de la corrupción socialista veintiséis casos abiertos, con más de cuarenta entidades y cerca de doscientas personas implicadas. Cualquiera de ellos, tomado por separado, habría derribado a un gobierno del Partido Popular en cuestión de semanas: lo vimos con Gürtel, lo vimos con Bárcenas, lo vimos con la moción de censura de 2018. Aquí no ha caído nadie.
El patrón se repite con puntualidad casi litúrgica. Estalla la revelación. Se proclama el final. Llega el desmentido, el matiz, la contradenuncia, el desgaste. La opinión pública se agota antes que el escándalo. Y a las tres semanas ya nadie recuerda de qué hablábamos. Los muertos que vos matáis, en efecto, gozan de muy buena salud.
Pegasus iba a ser distinto, y en cierto sentido lo es. En los otros veintiséis casos, Sánchez y su entorno figuran como investigados. Aquí el presidente es la víctima de un ataque perpetrado presumiblemente por un Estado extranjero. Esa es exactamente la razón por la que este asunto debería haber recibido la respuesta institucional más contundente de todas y ha recibido, en cambio, la más tibia. Un juez que reconoce su impotencia y remite el asunto a la vía diplomática. Un Gobierno que, siendo el perjudicado, no ha ejercido esa vía diplomática ni ha señalado jamás a nadie. Una Fiscalía que rechaza mirar unas pruebas que le ofrecen. Y unos gigabytes de la vida privada del presidente del Gobierno de España circulando por ahí, en manos de alguien que nadie ha identificado.
La pregunta que sigue sin respuesta
No sé qué hay en esos 2,57 gigabytes. Nadie que escriba honestamente sobre este asunto puede afirmar que lo sabe, y quien lo asegure sin aportar el material está haciendo otra cosa distinta del periodismo. Puede que no haya nada. Puede que haya cuestiones estrictamente personales sin trascendencia pública. Puede que haya deliberaciones de Estado.
Lo que sí sé es que hay un Gobierno al que le vaciaron el teléfono de su presidente y que en cuatro años no ha ejercido la única vía que un juez le señaló expresamente por escrito. Y que esa pasividad, sostenida durante cuatro años y dos archivos judiciales, es en sí misma el hecho político más grave de todo el caso.
Puede que Pegasus no sea el epitafio de Pedro Sánchez. Probablemente no lo sea: ya hemos visto esta película demasiadas veces. Pero sí es el epitafio de algo. De la idea de que en España las instituciones investigan hasta el final cuando el ofendido es el propio Estado. De la presunción de que un Gobierno defiende la soberanía nacional aunque le resulte diplomáticamente incómodo. De la confianza en que, cuando aparece una prueba, alguien al menos la mira antes de decidir que no interesa.
Anexos
Qué es Pegasus
Pegasus es un programa de ciberespionaje desarrollado por la empresa israelí NSO Group, fundada en 2010. Su venta está sometida a licencia de exportación del Ministerio de Defensa de Israel, lo que significa que cada contrato con un Estado extranjero cuenta con el visto bueno del Gobierno israelí. Oficialmente, NSO solo comercializa su producto con gobiernos y para la lucha contra el terrorismo y el crimen organizado.
Su característica técnica más temida es la infección zero-click: no requiere que la víctima haga nada. Explotando vulnerabilidades desconocidas por el fabricante del teléfono —lo que en el sector se denomina día cero—, normalmente en los sistemas de mensajería, el programa se instala de forma remota y silenciosa. Una vez dentro, obtiene privilegios de administrador sobre el dispositivo: puede leer mensajes de aplicaciones cifradas como WhatsApp o Signal, acceder al correo, a las fotografías y a los contactos, registrar la localización de forma continua y activar el micrófono y la cámara sin que se encienda ningún indicador. Está diseñado además para borrar sus propios rastros, motivo por el cual las infecciones suelen detectarse mucho después de haberse producido.
Otros casos relevantes
- Proyecto Pegasus (2021): un consorcio de diecisiete medios internacionales coordinado por Forbidden Stories y Amnistía Internacional reveló una lista de unos 50.000 números seleccionados como posibles objetivos por clientes de NSO en todo el mundo.
- Jamal Khashoggi: se documentó la infección de teléfonos de su círculo próximo antes y después de su asesinato en el consulado saudí de Estambul en 2018.
- CatalanGate (2022): el Citizen Lab de la Universidad de Toronto documentó la vigilancia de unos 65 dispositivos de dirigentes independentistas catalanes, abogados y activistas. El caso provocó el cese de la directora del CNI, Paz Esteban. Parte de aquellas intervenciones contaban con autorización judicial y parte nunca ha sido esclarecida.
- México, Hungría, Polonia y Grecia: en todos ellos se documentó el uso de software espía comercial contra periodistas, jueces y opositores políticos, lo que llevó al Parlamento Europeo a crear en 2022 la comisión de investigación PEGA.
- Sanciones y litigios: Estados Unidos incluyó a NSO Group en su lista negra comercial en 2021. WhatsApp y Apple han litigado contra la empresa por el uso de sus plataformas como vector de infección.
Artículo de opinión. Las afirmaciones sobre la autoría del espionaje y sobre el caso Hijaouy recogidas en este texto se atribuyen expresamente a los medios que las han publicado y no han sido establecidas judicialmente. La causa de la Audiencia Nacional permanece sobreseída provisionalmente sin autoría determinada.
Cómo se ha documentado este artículo
La documentación de este texto se ha realizado siguiendo la metodología de investigación asistida por inteligencia artificial que empleo habitualmente en mis trabajos: un primer ciclo con Claude para delimitar el objeto de estudio y construir un protocolo de investigación con exigencias explícitas de verificación; una fase de investigación documental profunda con Gemini, que rastrea y contrasta las fuentes disponibles; y un ciclo final de vuelta en Claude para auditar los hallazgos, comprobar las afirmaciones críticas contra las publicaciones originales y separar con rigor lo acreditado judicialmente de lo meramente publicado y de lo especulativo. Ese cruce de modelos es precisamente lo que permitió detectar que la exclusiva sobre el exagente marroquí había sido desmentida por su propia defensa, un dato que habría pasado inadvertido en una lectura apresurada de la actualidad. Explico esta metodología con más detalle en la sección de inteligencia artificial de mi blog.
