Since Friday, July 19, over a dozen major U.S. technology companies and press organizations filed amicus curiae briefs in the Ninth Circuit Court of Appeals to voice support for 18 current and former members of El Faro currently appealing the March dismissal of their lawsuit against the Israel-based company NSO Group, developer and vendor of the spyware known as Pegasus. The digital surveillance tool was used extensively from 2020 to 2021 to hack the iPhones of at least 22 current and former journalists and employees of El Faro in an unprecedented attack against regional press freedom.
The Citizen Lab, of Toronto University, and Access Now documented in January 2022 a total of 35 Pegasus targets in this span against journalists, politicians, and human rights advocates in El Salvador, in what the former called “one of the most shocking and obsessive cases of targeting that we have investigated.” The deployment of the spyware against El Faro was the most egregious, with around two-thirds of the organization testing positive in independent analyses carried out in late 2021.
Represented by attorneys at the Knight First Amendment Institute at Columbia University, 18 members of El Faro filed the case against NSO Group in December 2021 in California, citing alleged violations of the U.S. Computer Fraud and Abuse Act (CFAA) and comparable state law, and petitioning the court to order NSO to return and delete information stolen from Apple servers and devices, as well as reveal its client in El Salvador.
NSO Group claims to only sell its signature spyware tool to governments under supervision of the Israeli Ministry of Defense, giving particular relevance to Citizen Lab and Access Now’s report of “a Pegasus customer operating almost exclusively in El Salvador since at least November 2019.”
On March 8 of this year, Judge James Donato, of the Northern District of California, dismissed the case on the grounds of forum non conveniens, stating that the litigation “belongs in a court in Israel or El Salvador, and not here.” “To conclude otherwise,” he continued, “would open the doors of the federal courts to lawsuits by foreign entities for conduct that occurred entirely outside the United States.”
“Burdening a jury in this District with all of this makes little sense,” wrote Donato. “[A] local jury would understandably struggle with being asked to sit for a long trial that involves purely foreign plaintiffs and defendants, and events in foreign lands.”
One amicus brief in support of El Faro, submitted on July 22 by companies including Microsoft and Google, rebutted the dismissal: “The United States and California have fundamental interests in protecting domestic technology companies from having NSO use their products and services as spyware vectors.”
Microsoft added in its own blog post that “[c]yber mercenaries like NSO Group have exploited our technology by attacking our users and we believe that those who have been victimized are entitled to legal recourse even if they are located outside the United States.”
A brief submitted Monday by press organizations including the Reporter’s Committee for Freedom of the Press, the National Newspaper Association, and The New York Times Company reads that “the decision below gives inadequate weight to the exceptionally strong federal policy favoring global press freedom.”
U.S. law professor Cassandra Burke Robertson, director of the Center for Professional Ethics at Case Western Reserve University in Ohio, drove the point further in her own amicus brief: “Plaintiff Nelson Rauda Zablah lived in the United States when this case was initiated and the amended complaint was filed; Plaintiff José Luis Sanz resides in the United States; and Plaintiff Roman Gressier is a U.S. citizen,” she noted in her own amicus.
“At stake are principles essential to democracy: the rights to privacy and freedom of expression and of the press without being curbed by tools so sophisticated and invasive that they are supposed to be exclusively used to fight issues as serious as terrorism,” says El Faro editor-in-chief Carlos Dada. “This goes much beyond the complaint of some members of El Faro against an Israeli company.”
Borderless spyware
The Electronic Privacy Information Center, a public-interest research center in Washington, D.C., pointed to the California location of servers violated in the Pegasus attacks on El Faro: “Failing to adequately enforce the CFAA against foreign hackers like NSO Group undermines the public trust in Apple’s infrastructure upon which most Americans rely.”
“The need to enforce the CFAA extraterritorially has only become more urgent as computer data and infrastructure has become increasingly borderless,” the center wrote in a Tuesday filing.
The Knight Institute filed its opening appeal brief on July 15, arguing the court had “directly contradicted its own analysis of the same factors in the Apple case.” Judge Donato has discarded NSO’s place-based defense in separate lawsuits presented by Apple and Meta —the parent company of WhatsApp— against the Pegasus developer.
Multiple briefs cited U.S. President Joe Biden’s declaration that countering illicit spyware is “a fundamental national security and foreign policy interest” or the Commerce Department’s 2021 sanctioning of NSO Group for “maliciously target[ing] government officials, journalists, businesspeople, activists, academics, and embassy workers.”
Members of the European Parliament have called the illicit use of commercial spyware a threat to democracy and made recommendations for legislation across Europe. Some four-dozen governments around the world have agreed to “guiding principles on the government use of surveillance technologies” and called for stronger regulation of the growing commercial spyware industry, including export controls.
“It is dubious how receptive Israeli courts would be to a lawsuit by foreign plaintiffs against their own corporate citizen, as NSO Group is based in Israel,” wrote the Electronic Frontier Foundation in its own submission on July 19. “[Israeli] courts have been very accommodating to NSO Group in particular. As such, U.S. courts must remain a viable forum for victims of unjustified digital surveillance to vindicate their human rights.”
“NSO Group’s technology has been implicated in hundreds of attacks on journalists, human rights advocates, and political dissidents,” said Jameel Jaffer, executive director of the Knight Institute. “These attacks took place around the world but many of them involved the subversion of American companies’ technology in the United States.”
Lack of guarantees
In the 26 years since its founding, El Faro has been recognized as one of the leading investigative news outlets in Latin America. Under the Nayib Bukele administration in El Salvador, and in addition to the Pegasus espionage, the organization has faced politicized tax audits, threats, and constant online harassment. In this context, El Faro moved its legal incorporation in April 2023 from San Salvador to San José, Costa Rica, registering under the non-profit Fundación Periódica.
“This is the culmination of a monthslong process driven by the lack of conditions for our company to remain in El Salvador,” wrote the editorial board after the transfer. “What chance for legal defense is there when the president makes accusations without evidence and controls the entire judicial apparatus and the three branches of government?”
While the newsroom continues to operate primarily in El Salvador, at the time of filing two plaintiffs lived in the United States, including a correspondent in Washington, D.C. and a student at the Columbia University School of Journalism. The plaintiffs are almost entirely Salvadoran, with the exception of Spanish citizen José Luis Sanz, the former editor-in-chief of El Faro; former Mexican editor Daniel Lizárraga; and U.S.-French citizen Roman Gressier, the current editor of El Faro English.
In April 2023, the Inter-American Commission on Human Rights called on the Salvadoran state to “reestablish rights and guarantees” stripped under the ongoing state of exception. President Nayib Bukele, who has maintained tight control over the judiciary since he illegally removed the Constitutional Chamber magistrates in May 2021, was elected to a second term in violation of the constitutional ban on reelection.
El Faro has denounced as baseless and politically motivated the multiple audits that in April 2021, during the window of Pegasus infections, accused the news organization of intentional tax evasion. In February of that year, the Inter-American Commission issued precautionary measures on behalf of 34 members of El Faro, citing “serious, urgent risk of suffering irreparable harm to their human rights.”
The editorial board has stated that “the only government interested in mounting such an espionage campaign against Salvadoran journalists is the government of El Salvador.”
Pegasus was deployed against the entire structure of El Faro, from the entire editorial board and top administrators to its newest reporters and photography, design, advertising, and accounting. 13 reporters were hacked at least five times, while current executive editor Óscar Martínez suffered 42 attacks.
Current editor-in-chief Carlos Dada and investigative reporter Carlos Martínez each suffered uninterrupted infections often for over a month. Dada was attacked 12 times for 167 days, while in the case of Martínez, who has bylined all of El Faro’s probes of the pacts between politicians and gangs since 2012, researchers detected an active intervention at the time of their analysis — an unprecedented finding that allowed them to pinpoint the location of the operator in El Salvador.
During the infections, El Faro journalists were working on investigations into a parallel cabinet of Venezuelan advisors, secret plans to create a state cryptocurrency, and embezzled pandemic relief. In September 2020, the month when Citizen Lab and Access Now documented the most infections, Bukele baselessly accused the outlet in a public television broadcast of being under investigation for “serious money laundering” — just days after the outlet published its first exposé into the government’s covert negotiations with gangs, which collapsed in 2022.
The Columbia University Graduate School of Journalism recently awarded reporter Carlos Martínez, one of the journalists subject to the most extensive Pegasus hacks, the Maria Moors Cabot Prize. He is the third member to receive this prestigious recognition. The jury wrote that “his coverage of the expansion of gang activity is mandatory reading for anyone who wants to understand how criminal networks are devastating Central America, and how their influence is spreading across Mexico and the United States.”
El Faro English: https://elfaro.net/en/202407/el_salvador/27512/Tech-and-Press-Giants-Boost-El-Faro’s-Appeal-in-US-Pegasus-Case.htm
Gigantes de tecnología y prensa dan espaldarazo a la apelación de El Faro en caso Pegasus
Desde este viernes 19, más de una docena de empresas de tecnología y organizaciones de prensa en Estados Unidos han entregado escritos de amicus curiae al Noveno Tribunal de Apelaciones para apoyar la demanda de 18 miembros del periódico El Faro contra la empresa israelí NSO Group, desarrolladora y vendedora del software de espionaje Pegasus, que fue desestimada en marzo y ahora está en fase de apelación. A lo largo de 2020 y 2021, un operador de Pegasus en El Salvador vulneró los iPhones de al menos 22 miembros de El Faro en un ataque sin precedentes a la libertad de prensa en la región.
Citizen Lab, de la Universidad de Toronto, y Access Now revelaron en enero de 2022 un total de 35 blancos de Pegasus en este lapso en El Salvador, entre ellos periodistas, políticos y defensores de derechos humanos. Un representante de Citizen Lab lo llamó “uno de los casos de espionaje más impactantes y obsesivos que hemos investigado”. El despliegue de este software contra El Faro fue el más flagrante, infectando alrededor de dos tercios de la redacción, según un análisis independiente llevado a cabo a finales de 2021.
En representación de los 18 miembros de El Faro, abogados del Knight Institute de la Universidad de Columbia en Nueva York anunciaron en diciembre de 2021 la demanda contra NSO Group en el Distrito Norte de California. Acusaron a la empresa de haber violado la Ley de Fraude y Abuso Informático (CFAA) de Estados Unidos, además de una ley similar a nivel estatal, y pidieron a la corte una orden que obligara a NSO a devolver y borrar la información robada de los servidores y dispositivos de Apple, así como revelar a su cliente en El Salvador.
NSO dice sólo vender su herramienta insignia de espionaje a estados y con el aval del Ministerio de Defensa de Israel, lo cual hace más relevante que Citizen Lab y Access Now hayan reportado a inicios de 2022 la existencia de “un cliente de Pegasus que ha operado casi exclusivamente en El Salvador desde al menos noviembre de 2019”.
El pasado 8 de marzo, el juez federal James Donato desestimó la demanda bajo el argumento de forum non conveniens; declaró que el litigio “debe realizarse a una corte en Israel o El Salvador, y no aquí”. “De concluirse lo contrario”, siguió, “se estaría abriendo la puerta de las cortes federales a demandas de entes extranjeros por conductas que ocurrieron completamente fuera de Estados Unidos”.
“Tiene poco sentido cargar a un jurado en este distrito con todo esto”, escribió Donato. “Sería entendible que a un jurado local le pareciera complicado que se les pidiera sentarse para un largo juicio que involucra a querellantes y acusados meramente extranjeros y sobre eventos en tierras extranjeras”.
En una declaración de apoyo a El Faro entregado a la corte el lunes 22, empresas de tecnología lideradas por Microsoft y Google respondieron a ese argumento central del juez: “Los Estados Unidos y California tienen un interés fundamental en proteger empresas domésticas de tecnología de que NSO use sus productos y servicios como vector de espionaje”.
Microsoft agregó en una publicación en su blog que “los mercenarios cibernéticos como NSO Group han explotado nuestra tecnología al atacar a nuestros usuarios y creemos que las víctimas tienen derecho a un recurso legal aunque se ubiquen fuera de Estados Unidos”.
Otro escrito entregado este lunes por organizaciones de prensa estadounidenses como el Comité de Reporteros para la Libertad de Prensa, la Asociación Nacional de Periódicos y la New York Times Company afirma que “la decisión no toma suficientemente en cuenta la excepcionalmente fuerte política federal a favor de la libertad de prensa mundial”.
La profesora de derecho estadounidense Cassandra Burke Robertson, directora del Centro para la Ética Profesional en Case Western Reserve University, una universidad privada de investigación en Ohio, llevó el punto al siguiente nivel: “El querellante Nelson Rauda Zablah vivía en Estados Unidos cuando se inició este caso y se entregó la querella enmendada; el querellante José Luis Sanz reside en Estados Unidos; y el querellante Roman Gressier es un ciudadano estadounidense”, escribió a título personal en su propio amicus.
“Lo que está en juego es la defensa de principios esenciales para la democracia: el derecho a la privacidad, a la libertad de expresión y al ejercicio de la libertad de prensa sin que sea coartada por herramientas tan sofisticadas e invasivas que se supone que son de uso exclusivo para combatir asuntos tan serios como el terrorismo”, dice Carlos Dada, director de El Faro. “Esto va mucho más allá de una denuncia de algunos miembros de El Faro contra una empresa israelí”.
Espionaje sin fronteras
El Electronic Privacy Information Center, un instituto de investigación en el interés público radicado en Washington, D.C., subrayó que los servidores vulnerados en los ataques de Pegasus contra El Faro están en California: “Al no hacer valer la CFAA contra hackers extranjeros como NSO Group, se socava la confianza pública en la infraestructura de Apple de la que depende la mayoría de los estadounidenses”.
“La necesidad de hacer valer la CFAA en lo extraterritorial sólo se ha vuelto más urgente a medida que los datos y la infraestructura informática ha sobrepasado las fronteras”, escribió el centro el martes 23.
En su apertura de argumentos de apelación, el Knight Institute afirmó el lunes 15 que la corte “contradijo directamente su propio análisis de los mismos factores en el caso de Apple”. El juez Donato había desestimado el argumento de NSO basado en geografía y jurisdicción en demandas previas presentadas por Apple y Meta, la sociedad matriz de WhatsApp, contra el desarrollador de Pegasus.
Múltiples amici citaron al presidente estadounidense Joe Biden, que en 2023 declaró que la lucha contra el uso ilícito de las herramientas de espionaje representa un “interés fundamental de seguridad nacional y política exterior”. También recordaron las sanciones del Departamento de Comercio contra NSO en 2021 por “ataques maliciosos contra funcionarios públicos, periodistas, empresarios, activistas, académicos y trabajadores en las embajadas”.
Miembros del Parlamento Europeo han dicho que el uso ilegal de herramientas de espionaje atenta contra la democracia y han hecho recomendaciones para la legislación europea. Más de cuatro decenas de gobiernos alrededor del mundo han acordado “directrices sobre el uso gubernamental de tecnologías de vigilancia” y pedido regulaciones más robustas para la creciente industria de espionaje comercial, incluyendo controles sobre las exportaciones.
“Es dudoso que las cortes israelíes estén abiertas a una demanda hecha por querellantes extranjeros contra un ciudadano corporativo, ya que NSO Group está radicado en Israel”, escribió la Electronic Frontier Foundation en una declaración a la corte el viernes 19. “Las cortes [de Israel] han sido muy complacientes con NSO Group en particular. Por ende, las cortes estadounidenses deben seguir siendo un foro viable para que las víctimas de la vigilancia digital injustificada reivindiquen sus derechos humanos”.
“La tecnología de NSO Group ha sido implicada en cientos de ataques a periodistas, defensores de derechos humanos y disidentes políticos”, dice Jameel Jaffer, director ejecutivo del Knight Institute. “Si bien estos ataques sucedieron alrededor del mundo, muchos incluyeron una subversión en Estados Unidos de las tecnologías de empresas estadounidenses”.
Sin garantías
En los 26 años desde su fundación, El Faro ha sido reconocido como uno de los principales medios de periodismo de investigación en América Latina. Bajo la administración de Nayib Bukele en El Salvador, el espionaje contra el periódico se ha sumado a auditorías politizadas, amenazas y hostigamiento constante en redes sociales. En este contexto, El Faro trasladó su personería jurídica en abril de 2023 desde San Salvador a San José, Costa Rica, y ahora está registrada bajo la figura de la Fundación Periódica, una organización sin fines de lucro.
“Es la culminación de un proceso que emprendimos hace unos meses ante la falta de condiciones para seguir operando en El Salvador”, escribió la mesa editorial en 2023. “¿Qué posibilidades de defensa hay cuando el presidente que acusa sin pruebas controla todo el aparato judicial y los tres poderes del Estado?”.
Si bien la redacción sigue operando principalmente en El Salvador, a la hora de presentar la demanda en California dos de los querellantes vivían en Estados Unidos, incluyendo al corresponsal en Washington y uno que cursaba una maestría en periodismo en la Universidad de Columbia. La gran mayoría de los querellantes son de nacionalidad salvadoreña, con la excepción del español José Luis Sanz, quien en 2020, durante los ataques en su contra, era director de El Faro; el ex editor del periódico, el mexicano Daniel Lizárraga; y el franco-estadounidense Roman Gressier, actual editor de El Faro English.
En abril de 2023 la Comisión Interamericana de Derechos Humanos hizo un llamado al Estado salvadoreño a que “restableciera los derechos y garantías” anulados bajo el régimen de excepción vigente. El presidente Nayib Bukele ejerce un férreo control sobre el sistema judicial desde que removió ilegalmente en mayo de 2021 a los magistrados de la Sala de lo Constitucional, un control absoluto que allanó el camino a que asumiera un segundo mandato en junio de este año en violación a la constitución.
El Faro ha denunciado una persecución fiscal a raíz de una serie de auditorías que, en abril de 2021, durante la ventana de infecciones de Pegasus, llevaron a acusaciones de evasión intencional de impuestos. En febrero de ese año, la Comisión Interamericana otorgó medidas cautelares a 34 miembros del periódico en base a “una situación de gravedad y urgencia de riesgo de daño irreparable a sus derechos”.
El Faro ha dicho que “el único gobierno interesado en crear una operación de espionaje de semejante magnitud en contra de periodistas de medios salvadoreños es el gobierno salvadoreño”.
Se utilizó Pegasus en contra de la estructura entera de El Faro, desde la mesa editorial y sus principales administradores hasta sus reporteros nuevos y las secciones de fotografía, diseño, publicidad y contabilidad. 13 reporteros fueron vulnerados al menos cinco veces, mientras que el jefe de redacción Óscar Martínez sufrió un total de 42 ataques.
El director Carlos Dada y el periodista de investigaciones especiales Carlos Martínez sufrieron infecciones ininterrumpidas que a menudo duraron más de un mes. Dada fue sujeto de 12 vulneraciones de su celular durante 167 días, mientras que en el caso de Martínez, que ha firmado todas las revelaciones de pactos entre políticos y pandillas desde 2012, los investigadores de Citizen Lab y Access Now encontraron una infección viva a la hora de su análisis, una situación inédita que permitió ubicar al operador en El Salvador.
Durante estas fechas, El Faro investigaba al gabinete paralelo de venezolanos en el Gobierno de Bukele, los planes secretos para crear una criptomoneda nacional o el robo de alimentos destinados a atender la pandemia. En septiembre de 2020, tres días después de la publicación de la primera entrega sobre las negociaciones secretas del Gobierno de Bukele con las pandillas, el presidente acusó al periódico en cadena nacional de estar bajo investigación por supuesto lavado de dinero. Según el análisis de Citizen Lab, fue el mes de mayor número de infecciones con Pegasus.
Hace pocos días, la Escuela de Periodismo de la Universidad de Columbia otorgó el Premio María Moors Cabot al periodista Carlos Martínez, uno de los periodistas que más tiempo estuvo bajo ataque de Pegasus. Martínez es el tercer miembro de El Faro en ganar ese prestigioso galardón. El jurado escribió que “su cobertura de la expansión de las actividades de las pandillas es de lectura obligatoria para quienes quieran entender la manera en que las redes criminales están devastando a Centroamérica, y cómo su influencia está expandiendo a México y los Estados Unidos”.