En enero de 2026, la Audiencia Nacional archivó por segunda vez la investigación sobre el espionaje con Pegasus a los teléfonos de Pedro Sánchez, Margarita Robles y Fernando Grande-Marlaska. El motivo, según informó el Consejo General del Poder Judicial: falta de cooperación de Israel, sede de NSO Group, la empresa que desarrolla el software. Cuatro años después de que el Gobierno confirmara la infección, España sigue sin una atribución judicial oficial de quién estuvo detrás del mayor caso de espionaje telefónico a su cúpula política en democracia.
Lo que sí está confirmado
El Gobierno español confirmó en mayo de 2022 la infección de los teléfonos de Sánchez y Robles con Pegasus, con una extracción de 2,6 gigabytes de datos del dispositivo del presidente y nueve megabytes del de la entonces ministra de Defensa. Poco después se sumó el caso de Grande-Marlaska. El Parlamento Europeo situó los ataques contra Sánchez y Robles entre mayo y junio de 2021, calificándolos de procedentes presuntamente de fuera de la Unión Europea, y recogió que un reportaje de 2022 había identificado a Marruecos como posible responsable del espionaje de más de doscientos teléfonos españoles. Marruecos rechazó de plano cualquier implicación.
Es importante ser precisos sobre lo que esto significa y lo que no: existen indicios sólidos, investigaciones periodísticas serias y un señalamiento del Parlamento Europeo, pero no existe una sentencia judicial ni una atribución oficial definitiva por parte de las autoridades españolas. Esa distinción no es un matiz técnico menor; es la diferencia entre lo que se puede afirmar como hecho y lo que se puede señalar como sospecha fundada.
Lo que sí queda fuera de toda duda es la gravedad del riesgo que un caso como este revela. El verdadero peligro de una infección con Pegasus en el teléfono de un jefe de Gobierno no es la exposición de conversaciones privadas; es la posibilidad de que una potencia extranjera reconstruya cómo se toman las decisiones de Estado en materias tan sensibles para la relación bilateral como el Sáhara Occidental, Ceuta, Melilla o el control migratorio del Estrecho.
El episodio más reciente: JabaROOT
El 12 de agosto, el grupo hacktivista conocido como JabaROOT afirmó haber accedido a bases de datos vinculadas a los servicios de inteligencia marroquíes, potencialmente la DGST, encargada de la seguridad interior, o la DGED, responsable del espionaje exterior, y amenazó con revelar documentación sobre agentes, colaboradores y, de forma especialmente sensible para España, presuntos planes de espionaje marroquí contra España y Argelia, además de supuestas operaciones conjuntas con Francia, Israel y Estados Unidos. Ahora este grupo ha comenzado a hacer público esta información.
Aquí la cautela tiene que ser máxima, y conviene decirlo con toda claridad: no existe, a día de hoy, confirmación oficial marroquí de la intrusión, ni verificación técnica independiente de los archivos que JabaROOT dice poseer. El grupo tiene además un historial que exige escepticismo: se atribuyó en 2025 el ataque contra la Caja Nacional de Seguridad Social marroquí, que reconoció haber sufrido ciberataques, pero advirtió de que parte de la información filtrada era inexacta o incompleta. Investigaciones posteriores han detectado, además, que distintos canales han reutilizado el nombre JabaROOT después del cierre de su cuenta original de Telegram, una práctica habitual en el hacktivismo para amplificar mensajes o atribuirse operaciones ajenas.
La existencia de vínculos públicos entre Marruecos, Francia, Israel y Estados Unidos (Rabat restableció relaciones oficiales con Israel en 2020 mediante una declaración conjunta con Washington) tampoco prueba, por sí sola, la existencia de operaciones clandestinas conjuntas contra España. Podrían ser, sencillamente, contactos institucionales o análisis de fuentes abiertas dentro de una base de datos. Sin verificación técnica, JabaROOT es una reivindicación, no un hecho confirmado.
Lo que conecta ambos casos
Pegasus y JabaROOT no son la misma historia, y tratarlos como si lo fueran sería un error de bulto. Uno es un caso con confirmación gubernamental parcial y una causa judicial real, aunque archivada sin atribución. El otro es, por ahora, una afirmación no verificada de un grupo de identidad incierta. Pero ambos episodios, situados en el contexto de una relación bilateral marcada por tensiones recurrentes sobre el Sáhara Occidental, Ceuta y Melilla, y la crisis migratoria, apuntan a algo que trasciende a cualquiera de los dos casos individuales: la frontera sur de España se ha convertido también en un frente digital, y en ese frente cada vez es más difícil saber con certeza quién ataca a quién.
Ese es, probablemente, el riesgo real que hay que retener de todo esto; no que Marruecos como Estado esté librando una campaña de ciberataques directos y confirmados contra España, algo que ninguna de las dos fuentes permite afirmar con la contundencia que a veces se le atribuye en algunos titulares. El riesgo es la proliferación de actores de atribución incierta: grupos hacktivistas, colectivos que reivindican operaciones sin poder demostrarlas, nombres reciclados y reutilizados; operando en el espacio gris entre el activismo digital, el interés estatal y la manipulación informativa. Cuanto más se normaliza ese ecosistema de ataques y filtraciones no verificables, más difícil resulta para cualquier Gobierno —el español o el marroquí— distinguir una amenaza real de una operación de desinformación diseñada para parecerlo.
Eso, y no la atribución de un ataque concreto, es lo que España debería estar vigilando con más atención de la que hasta ahora ha demostrado.
Deja una respuesta