rey de marruecos

En julio de 2021, el periodista español Ignacio Cembrero -conocido por su cobertura del Magreb y de la monarquía marroquí- recibió una notificación de Citizen Lab: su iPhone había sido infectado con el spyware Pegasus. El caso conecta de forma directa el término rey de marruecos con una de las investigaciones forenses móviles más importantes de la última década. Para un ingeniero de seguridad, el episodio no es una noticia política; es un estudio de caso sobre cadenas de explotación, persistencia, exfiltración y atribución.

Este artículo analiza la arquitectura técnica de Pegasus, los indicadores de compromiso, las herramientas de detección y las lecciones de endurecimiento que cualquier equipo de plataformas debería aplicar. No vamos a juzgar intenciones ni a repetir titulares. Vamos a desmontar el sistema, igual que haríamos con una vulnerabilidad en un clúster de Kubernetes o en un pipeline de CI/CD. La historia del rey de Marruecos y Pegasus es, ante todo, un fallo de seguridad en cascada que expone los límites de la seguridad móvil actual.

Contexto técnico: Ignacio Cembrero, Pegasus y el rey de Marruecos

El interés técnico no es la figura del rey de Marruecos en sí, sino el ecosistema de vigilancia que los informes de Citizen Lab, Amnesty International y Forbidden Stories vinculan a intereses marroquíes. Según la investigación publicada en 2021, varios teléfonos de periodistas, abogados y activistas fueron infectados mediante exploits de día cero sin interacción del usuario. Ignacio Cembrero fue uno de los casos documentados, y su teléfono presentaba indicadores forenses asociados a Pegasus, desarrollado por NSO Group.

Para un analista de seguridad, el caso plantea preguntas concretas: ¿cómo se ejecutó código remoto sin que la víctima pulsara nada? ¿Qué artefactos dejó el spyware en el sistema de archivos? ¿Qué servidores de comando y control aparecieron en los volcados de red? Estas preguntas tienen respuestas técnicas verificables y son independientes del debate político. De hecho, el análisis de Cembrero permitió a los investigadores identificar una cadena de explotación que Apple corrigió en iOS 14. 8, lo que demuestra que la ingeniería inversa de incidentes reales alimenta directamente el parcheo de plataformas.

Arquitectura de explotación de Pegasus: desde el envío al control

Pegasus no es una sola pieza de malware, sino una plataforma de vigilancia modular. El despliegue típico consta de tres fases: infectación, persistencia y exfiltración. La infectación se logra mediante exploits de día cero, a menudo encadenando vulnerabilidades del kernel y de componentes de renderizado.