Las nuevas revelaciones de Forbidden Stories refuerzan la hipótesis de que Rabat operó una arquitectura de vigilancia transnacional. Para España, el reto no consiste en elegir entre cooperación y contrainteligencia, sino en sostener ambas al mismo tiempo.
Introducción
Cinco años después del Pegasus Project, el debate ya no gira únicamente en torno a una lista de números telefónicos. Las investigaciones publicadas el 16 de julio de 2026 por Forbidden Stories y sus socios añaden testimonios internos, documentos de la inteligencia marroquí, detalles sobre la adquisición del sistema y nuevas correlaciones forenses entre las infraestructuras empleadas contra opositores marroquíes y las detectadas en objetivos extranjeros.
Para España, la cuestión es especialmente delicada. Está acreditado que los teléfonos del presidente del Gobierno y de varios ministros fueron infectados con Pegasus. Lo que no existe todavía es una atribución judicial de la autoría. Las nuevas publicaciones no sustituyen esa prueba penal, pero sí elevan de forma significativa la solidez de la hipótesis marroquí y obligan a revisar el equilibrio entre cooperación bilateral, protección de la información y confianza entre servicios.
Qué aportan las tres publicaciones
1. De la vigilancia física a Pegasus: una arquitectura de control por capas
La primera investigación describe un ecosistema de vigilancia mucho más amplio que un único programa. Según el antiguo agente de la Dirección General de Vigilancia del Territorio de Marruecos (DGST) citado con el seudónimo de Safir, los servicios combinaban seguimientos, micrófonos, cámaras, acceso físico a teléfonos, herramientas de extracción como Cellebrite, malware de Hacking Team, dispositivos previamente infectados y cibercafés comprometidos.
El caso del periodista Omar Radi sirve como hilo conductor. La información publicada sostiene que fue vigilado durante años y que Pegasus se utilizó después de que los métodos tradicionales no proporcionaran resultados suficientes. La expresión empleada por la fuente —Pegasus como «herramienta final»— resulta analíticamente importante: el spyware no sería el comienzo de la operación, sino la fase de explotación más intrusiva de un proceso previo de identificación, seguimiento y acceso.
Los documentos internos descritos incluyen una operación para colocar teléfonos Samsung Galaxy S6 Edge previamente infectados en el entorno de activistas del Rif y referencias a ordenadores comprometidos en cibercafés. Estas prácticas no han sido verificadas mediante el análisis forense de todos aquellos equipos, pero el testimonio aparece acompañado de material interno y de antecedentes documentados sobre el uso marroquí del Remote Control System de Hacking Team.
La aportación de mayor relevancia exterior es la nueva correlación técnica: Amnesty International habría identificado el mismo conjunto de cuentas de Apple en ataques contra periodistas y activistas marroquíes y contra periodistas franceses y políticos franceses y españoles. Forbidden Stories afirma que las investigaciones de la agencia francesa ANSSI localizaron también esos identificadores. Este tipo de coincidencia es más valioso para la atribución que la mera proximidad temporal o la existencia de un interés político.
2. «Morgan»: la adquisición, la intermediación emiratí y el papel israelí
La segunda publicación reconstruye la entrada de Pegasus en Marruecos. Sitúa a representantes de NSO Group realizando demostraciones durante diez días en una villa de Rabat vinculada a FSSYS Maroc a finales de 2017. El cliente marroquí habría recibido dentro de NSO el nombre en clave «Morgan», denominación que varias fuentes de la industria y documentación judicial estadounidense relacionan con Marruecos.
La investigación conecta tres niveles: la DGST como usuario; NSO Group como proveedor; y FSSYS Maroc, filial de una empresa emiratí, como posible intermediaria. La relación previa está mejor documentada en el caso de Hacking Team: los correos filtrados en 2015 identificaban a la DGST como usuario final y mostraban pagos de mantenimiento efectuados por Al Fahad desde Abu Dabi.
La hipótesis de que Emiratos Árabes Unidos financiara directamente el acceso marroquí a Pegasus permanece, sin embargo, abierta. Varias fuentes la consideran plausible, mientras que antiguos empleados o conocedores del sector dicen no tener constancia de ese pago. No se ha publicado un contrato o transferencia que cierre la cuestión.
El papel del Estado israelí tampoco puede reducirse a la actividad de una empresa privada. La exportación de Pegasus requería autorización y la investigación aporta indicios de una relación estrecha entre NSO y estructuras estatales israelíes. Esto no demuestra que Israel aprobara cada objetivo concreto, pero sí explica por qué la falta de cooperación israelí ha bloqueado investigaciones judiciales en otros países, incluida España.
3. Gabón: espiar a un aliado para reducir la incertidumbre
La tercera publicación se ocupa de Gabón. Durante la crisis sucesoria de marzo de 2019, alrededor de diez figuras gabonesas habrían sido seleccionadas como posibles objetivos: miembros del entorno de Ali Bongo, aspirantes a sucederlo y dirigentes de la oposición. Forbidden Stories advierte expresamente que, al no haberse examinado los teléfonos, no puede confirmar que las infecciones se produjeran.
El interés del caso no reside solo en los nombres, sino en la lógica estratégica. Marruecos mantenía una relación privilegiada con el régimen gabonés, formaba a personal militar y de seguridad y contaba con el apoyo de Libreville en la cuestión del Sáhara Occidental. Precisamente por ello necesitaba anticipar quién podía controlar el país y cómo podían reordenarse sus élites.
La lección es aplicable más allá de Gabón: la alianza no elimina el espionaje. A veces lo incentiva, porque el socio posee acceso, información y capacidad de decisión sobre asuntos que afectan directamente a los intereses del otro.
La red de actores: un sistema, no una relación bilateral simple
El mapa sintetiza una arquitectura en la que confluyen la dirección política, la inteligencia interior marroquí, una célula técnica, intermediarios comerciales, el proveedor israelí y el aparato de control de exportaciones. En el extremo receptor aparecen objetivos nacionales y extranjeros.
Las líneas continuas representan relaciones documentadas o técnicamente respaldadas; las discontinuas indican alegaciones o inferencias que todavía requieren verificación. Esta diferencia evita presentar como equivalentes la intermediación histórica de FSSYS(bien documentada en la etapa de Hacking Team) y la posible financiación emiratí de Pegasus, que sigue sin demostrarse.
Figura 1. Mapa de actores y relaciones evaluadas. Las conexiones discontinuas representan hipótesis o relaciones pendientes de verificación.
Una capacidad que precede a Pegasus y probablemente no terminó con él
La cronología muestra continuidad. La relación entre la DGST y el ecosistema de FSSYS/Al Fahad aparece ya en 2012; la filtración de Hacking Team hizo visible esa intermediación en 2015; las demostraciones de Pegasus se situarían en 2017; y la selección de objetivos se extendió después a activistas saharauis, élites africanas y figuras extranjeras.
Las últimas trazas públicas de Pegasus vinculadas a Marruecos se sitúan en noviembre de 2021. Esto no permite concluir que la capacidad desapareciera. Puede significar que se abandonó NSO, que se migró a otros proveedores, que mejoró la seguridad operativa o que las técnicas posteriores son más difíciles de detectar. Según la fuente de Forbidden Stories, otras empresas presentaron soluciones a la DGST a partir de 2022.
Figura 2. Cronología consolidada de la evolución de las capacidades de vigilancia y del caso Pegasus, 2012–2026.
España: hechos confirmados y atribución incompleta
La infección de los dispositivos españoles no es una hipótesis periodística. La Audiencia Nacional investigó el compromiso de los teléfonos de Pedro Sánchez, Margarita Robles, Fernando Grande-Marlaska y el intento contra Luis Planas. En enero de 2026, el juez José Luis Calama archivó provisionalmente la causa por segunda vez porque la falta de cooperación de Israel impedía atribuir los hechos a una persona concreta.
El archivo no equivale a una exoneración de Marruecos, NSO o cualquier otro actor. Significa que el proceso penal no consiguió superar una barrera probatoria decisiva. Del mismo modo, la nueva investigación de Forbidden Stories eleva la confianza analítica en la hipótesis marroquí, pero no reemplaza la identificación judicial de los operadores y responsables.
El contexto de las infecciones fue especialmente sensible. Los accesos más graves al teléfono del presidente se produjeron en mayo de 2021, durante la crisis de Ceuta y la confrontación diplomática provocada por la entrada en España de Brahim Ghali. La coincidencia aporta motivación y oportunidad, pero no constituye por sí sola prueba de autoría.
La convergencia actual descansa en cuatro elementos: el interés estratégico de Marruecos; la relación de más de doscientos números españoles con el cliente atribuido a Rabat en el Pegasus Project; las infecciones confirmadas en el Gobierno; y la correlación de infraestructura técnica divulgada en 2026 entre víctimas marroquíes y políticos españoles. Juntos forman una explicación coherente, aunque todavía incompleta.
Inteligencia: dos vecinos que se necesitan y se observan
España y Marruecos comparten frontera, espacio marítimo, amenazas terroristas, redes de delincuencia organizada, movimientos migratorios, intereses empresariales y la preparación del Mundial de 2030. Sus servicios necesitan intercambiar información y coordinar operaciones. Al mismo tiempo, mantienen desacuerdos estructurales sobre Ceuta, Melilla, el Sáhara Occidental, las aguas atlánticas, la política regional y la relación con Argelia.
Esta combinación convierte al otro país en socio operativo y objetivo natural de inteligencia. Marruecos quiere conocer las intenciones españolas antes de que se conviertan en decisiones: cambios sobre el Sáhara, posiciones europeas, gestión de crisis fronterizas, agendas ministeriales o evaluaciones de seguridad. España, por su parte, necesita anticipar la política marroquí, sus equilibrios internos, sus relaciones con terceros Estados y el posible uso instrumental de la migración o de la presión diplomática.
La relación no debe interpretarse con categorías binarias. No es plenamente hostil ni plenamente confiada. Es una relación competitiva y cooperativa a la vez, en la que el valor del intercambio aumenta precisamente porque también aumentan los riesgos de penetración.
Contrainteligencia: el problema de la confianza asimétrica
En relaciones de alta interdependencia, la protección debe reforzarse, no relajarse. El riesgo afecta a más personas que los miembros del Consejo de Ministros. Incluye a agentes desplazados, enlaces policiales, diplomáticos, militares, periodistas, empresas tecnológicas, activistas saharauis, opositores marroquíes residentes en España y personas cercanas a fuentes sensibles. La vigilancia del entorno puede ofrecer un acceso indirecto más sencillo que el ataque contra el objetivo principal.
La respuesta adecuada es una confianza limitada y verificable: compartimentar la información; aplicar estrictamente el principio de necesidad de conocer; utilizar terminales de misión en desplazamientos; separar identidades digitales; realizar análisis forenses antes y después de viajes; limitar la información histórica almacenada; reforzar la seguridad de contactos periféricos; y tratar las infraestructuras de intermediarios y proveedores como parte de la superficie de riesgo.
También resulta necesario evitar una visión centrada exclusivamente en Pegasus. El informe describe una combinación de acceso físico, vigilancia humana, telecomunicaciones, ingeniería social y malware. Proteger un teléfono sin revisar los demás vectores deja intacta buena parte del problema.
Cooperación: por qué España no puede simplemente romper la relación
La respuesta política más sencilla, suspender la cooperación, sería también la menos realista. La declaración conjunta de la Reunión de Alto Nivel de diciembre de 2025 calificó de «ejemplar» la cooperación antiterrorista y migratoria, destacó los éxitos operativos conjuntos y proyectó una ampliación de la colaboración en seguridad, defensa, ciberseguridad, aduanas y preparación del Mundial de 2030.
El dilema, por tanto, no consiste en cooperar o protegerse. Consiste en cooperar de forma profesional con un socio que conserva intereses propios y capacidades ofensivas. Los servicios de inteligencia mantienen habitualmente relaciones de enlace con países que también les espían. La madurez institucional se mide por la capacidad de obtener beneficios operativos sin confundir el canal de cooperación con una garantía de lealtad absoluta.
España necesita preservar la cooperación en terrorismo, narcotráfico, trata, fronteras y crimen organizado. Pero esa cooperación debe descansar en controles, trazabilidad, compartimentación y mecanismos de revisión. El volumen de información compartida no debe depender del clima político, sino del riesgo, la necesidad y la protección efectiva de fuentes y operaciones.
Tres conclusiones que no permiten las nuevas revelaciones
No permiten afirmar que todos los cerca de 13.000 números atribuidos al cliente marroquí fueran infectados. Parte de ellos pudo ser utilizada para pruebas o comprobaciones de vulnerabilidad.
No demuestran que el espionaje determinara el cambio de posición española sobre el Sáhara Occidental en 2022. La proximidad temporal puede justificar una línea de investigación, pero no una conclusión sobre chantaje o causalidad.
No convierten el archivo judicial en una prueba de inocencia ni la atribución periodística en una sentencia. El punto razonable se sitúa entre ambos extremos: existe una hipótesis técnicamente reforzada que todavía necesita acceso a datos de NSO, licencias, servidores y registros de cliente.
Las nuevas investigaciones no cambian la geografía. España seguirá compartiendo con Marruecos fronteras, amenazas, comercio, movilidad y responsabilidades regionales. Sí cambian, o deberían cambiar, la manera de entender la confianza.
La relación bilateral exige cooperación porque los riesgos comunes son reales. También exige contrainteligencia porque los intereses no son idénticos. La respuesta madura no es dramatizar cada contacto ni ignorar cada indicio: es mantener canales operativos, exigir protección, investigar las intrusiones y asumir que un aliado puede ser simultáneamente un socio, un competidor y un recolector de inteligencia.
En ese equilibrio se juega algo más que la seguridad de varios teléfonos. Se juega la capacidad del Estado para cooperar sin quedar expuesto y para protegerse sin renunciar a una relación indispensable.
Fuentes consultadas
Forbidden Stories, «How Morocco allegedly spies on an African ally», 16 de julio de 2026
Parlamento Europeo, recomendaciones sobre Pegasus y programas equivalentes, 15 de junio de 2023
