La caja de Pegasus estaba en Luxemburgo: cero empleados y 209,8 millones de dólares en un año

En 2020, una empresa de Luxemburgo no declaró ni un solo empleado a tiempo completo y facturó 209.791.558 dólares. Se llama Q Cyber Technologies y es la filial de NSO Group, el fabricante israelí del programa espía Pegasus, por la que pasaban las ventas del grupo fuera de Israel: firmaba los contratos, emitía las facturas y cobraba.

Pegasus es el programa que infectó el teléfono del presidente del Gobierno español, Pedro Sánchez, según confirmó el propio Gobierno en mayo de 2022, y los de periodistas en México, según Citizen Lab y la organización mexicana R3D.

Los datos de Q Cyber están en un peritaje que Irídia, el Centro por la Defensa de los Derechos Humanos, entregó el 6 de noviembre al Tribunal de Instancia de Barcelona. Irídia ejerce la acusación particular en la causa por el espionaje con Pegasus al abogado Andreu Van den Eynde, una de las del llamado Catalangate. Según la organización, el teléfono del abogado fue infectado en mayo de 2020. El informe lo hizo una organización internacional sin ánimo de lucro especializada en estructuras societarias y financieras, y analiza el grupo en 2019 y 2020.

Una filial casi sin trabajadores

Según el peritaje, Q Cyber declaró un trabajador equivalente a tiempo completo en 2019 y ninguno en 2020. Facturó 229.839.361 dólares en 2019 y 209.791.558 en 2020, según sus cuentas en el registro mercantil de Luxemburgo. Con los datos de Bloomberg News que cita el informe, esas cifras equivalen al 79 % de los ingresos de todo NSO Group en 2019 y al 93 % en 2020. Son ventas de todo el grupo, no solo de Pegasus.

El informe añade que la filial, al parecer, hacía su trabajo operativo a través de sociedades vinculadas o subcontratadas. Y recoge cómo lo explicó Yaron Shohat, ex director ejecutivo de NSO Group, en el juicio de WhatsApp contra NSO en Estados Unidos, cuando le preguntaron si importaba que un contrato de Pegasus lo firmara Q Cyber o la NSO de Israel: «En realidad no importa. Importa para los contables y para el equipo financiero, porque es más trabajo, pero en realidad no nos importa con qué entidad firmamos el contrato».

Los contratos que firmó

El peritaje identifica tres casos, en documentos judiciales o de gobiernos, en los que Q Cyber aparece como la parte vendedora:

• Una licencia de usuario final de Pegasus del 11 de noviembre de 2018, con un cliente cuyo nombre está tachado, en los documentos del juicio de WhatsApp contra NSO.
• Un documento de licitación de junio de 2020 para vender un IMSI catcher y una plataforma de inteligencia web a la Policía Federal de Brasil en São Paulo.
• Un acuerdo de noviembre de 2020 con la Fiscalía Nacional de Polonia para vender Hermes, un sistema de vigilancia de NSO Group, según el Tribunal de Cuentas polaco.

El informe cita además el informe final de la comisión del Parlamento Europeo que investigó Pegasus (PEGA), de 2023: según la comisión, el Ministerio del Interior de Hungría compró Pegasus en 2017 por 6 millones de euros, de forma indirecta, a través de Communication Technologies Ltd, a la sociedad de NSO Group en Luxemburgo.

Quién mandaba en Luxemburgo

La otra filial luxemburguesa, OSY Technologies, era la principal sociedad holding del grupo. Desde septiembre de 2019, un comité de su consejo, el Comité de Gobernanza, Riesgo y Cumplimiento (GRCC), auditaba a los clientes en materia de derechos humanos y, según el propio grupo, debía dar el visto bueno a las ventas y podía rechazarlas o condicionarlas. También investigaba las denuncias de uso indebido de Pegasus. Según Irídia, hay indicios de que ese comité revisó el espionaje del Catalangate, pero en la causa no consta ninguna investigación de NSO sobre el caso.

Los tres directivos investigados ocuparon cargos en esas dos sociedades, según el peritaje:

• Shalev Hulio, cofundador de NSO y su director ejecutivo hasta agosto de 2022, fue administrador de OSY (de abril de 2019 a febrero de 2023) y de Q Cyber (de julio de 2019 a febrero de 2023).
• Omri Lavie, cofundador, fue administrador de OSY (de abril de 2019 a octubre de 2025) y, después del periodo investigado, de Q Cyber (de febrero de 2023 a octubre de 2025).
• Yuval Somekh fue administrador de Q Cyber (de enero de 2016 a noviembre de 2021) y de OSY (de agosto de 2018 a septiembre de 2021), y vicepresidente de operaciones de negocio y director financiero para Europa del grupo.

Según Irídia, entre los tres ocuparon cargos de administración en ocho sociedades luxemburguesas del grupo, y nadie más acumuló tantas funciones en tantas sociedades.

Servidores hacia México e Indonesia

Entre 2020 y 2023, Q Cyber figura como remitente de 26 envíos a Indonesia y México en dos plataformas de datos comerciales: sobre todo servidores, monitores, enrutadores y soportes de bastidor, despachados desde Luxemburgo, Países Bajos, Reino Unido y Japón a revendedores o autoridades de esos países. Uno, de marzo de 2023, iba dirigido a la Comisión para la Erradicación de la Corrupción de Indonesia (KPK).

El peritaje aclara que esos envíos no prueban que se exportara Pegasus. Los considera relevantes porque varias descripciones mencionan equipos que se habrían usado, entre otras cosas, en la infraestructura de despliegue de Pegasus, y porque los gobiernos de México e Indonesia habrían desplegado Pegasus después de recibirlos. Con esos datos, concluye que Q Cyber participó en parte en la distribución de Pegasus.

Polonia: la red la gestionaba el fabricante

En octubre, la Fiscalía Nacional de Polonia informó de que, según un peritaje de su Agencia de Seguridad Interna (ABW), la red que transmitía los datos de Pegasus la gestionaba el fabricante y los datos salían del país. Su portavoz aclaró que ese análisis no determina si NSO accedió a casos concretos.

Con documentos de otros procesos judiciales y administrativos, el peritaje de Irídia concluye que el grupo podía acceder a los datos extraídos de los teléfonos. NSO siempre lo ha negado: sus representantes sostienen que ni sus empresas ni sus empleados ni sus directivos tienen implicación directa en el uso que los clientes hacen de Pegasus.

«Parálisis judicial»

En la causa de Barcelona están investigados, por presuntos delitos contra la intimidad, Hulio, Lavie y Somekh y tres sociedades del grupo: NSO Group Technologies, OSY y Q Cyber. En la misma causa está investigada la exdirectora del CNI Paz Esteban. Estar investigado no significa estar acusado ni condenado. Esteban negó ante la jueza, en diciembre de 2025, que el CNI espiara al abogado, según EFE.

Irídia presenta el peritaje «ante la parálisis judicial». Según la organización, la justicia de Luxemburgo pidió información seis veces al juzgado de Barcelona, no recibió respuesta y archivó la orden europea de investigación, como publicó Vilaweb en marzo. Irídia ya había aportado otro peritaje en noviembre de 2024, con el que se identificó a los tres directivos, y dice que vuelve a liderar la investigación «ante la pasividad manifiesta del Ministerio Fiscal».

Queda una pregunta: ¿cómo factura 209,8 millones de dólares en un año una empresa que no declara ni un solo empleado a tiempo completo?

¿Ves un error? Escríbeme y lo corrijo con una nota al pie.