Investigación de seguridad e inteligencia: FORTIS. Edición y publicación: El Estándar.
La investigación de FORTIS apunta a la DGST como principal foco de atribución en el espionaje marroquí a España. Las novedades de 2026 no son solo declaraciones: The Guardian y el consorcio Forbidden Stories identificaron una cuenta de ataque vinculada al sistema Pegasus marroquí que se usó contra los teléfonos de Margarita Robles y Fernando Grande-Marlaska. El número de un alto cargo de la Guardia Civil apareció cinco veces entre los objetivos seleccionados por ese operador. Por separado, la Audiencia Nacional estableció que el móvil de Pedro Sánchez sufrió extracciones de 2,57 GB entre el 19 y el 21 de mayo de 2021 y 130 MB el 31 de mayo. La implicación de la DGST en todos esos ataques, especialmente el de Sánchez, exige atribución individualizada; el vínculo técnico publicado con Robles y Marlaska, sin embargo, merece ocupar el titular. The Guardian · RTVE.
Pegasus: lo que sabemos sobre españa y lo que no
El escándalo Pegasus conecta las preocupaciones marroquíes con la seguridad nacional española. El informe de la comisión PEGA del Parlamento Europeo recordó que el Gobierno español confirmó infecciones de los dispositivos de Pedro Sánchez, Margarita Robles y Fernando Grande-Marlaska. El mismo texto recogió informaciones que apuntaban a Marruecos como posible responsable de determinados ataques, pero dejó explícito que esa atribución no estaba confirmada en la documentación examinada. Fuente 15
La distinción es capital: acreditar una intrusión no basta para identificar al operador que la ejecutó. En cambio, la investigación presentada en octubre de 2026 por Amnistía añade un cuerpo probatorio específico sobre los usos de Pegasus y otras herramientas por la DGST contra activistas y periodistas. Son dos conjuntos de hechos conectados por la tecnología, pero no intercambiables a efectos de atribuir un ataque concreto contra un cargo español. Fuente 3Fuente 15
Un Estado democrático tiene el deber de investigar cualquier intrusión contra sus instituciones y exigir cooperación judicial efectiva. Esa exigencia puede sostenerse sin anunciar culpables por anticipado. El compromiso con la seguridad nacional pierde fuerza si se apoya en imputaciones que una pericia todavía no ha permitido demostrar.
La atribución específica a Marruecos que obliga a investigar
El Gobierno español reconoció infecciones de Pegasus en dispositivos oficiales. El informe del Parlamento Europeo recogió esas confirmaciones, pero no declaró acreditada por resolución judicial la autoría marroquí de todos los ataques. El consorcio internacional encabezado por Forbidden Stories publicó en julio de 2026 una pista técnica más precisa: una cuenta de ataque vinculada al sistema marroquí que también aparecía dirigida contra los teléfonos de Robles y Grande-Marlaska. Parlamento Europeo · The Guardian.
Esa vinculación es un hallazgo de investigación documentado por medios con apoyo técnico de Amnistía; no es una mera reacción diplomática. A su vez, las extracciones de datos del móvil de Pedro Sánchez constituyen hechos acreditados que todavía necesitan una atribución individualizada. La información pública no permite afirmar que una misma unidad ordenara todas las infecciones.
Una cadena de atribución que debe probarse
El fabricante de una herramienta, quien la contrata y quien ejecuta la intrusión no tienen por qué ser el mismo sujeto. La investigación forense debería determinar la infraestructura utilizada, el objetivo y los indicios que conectan una operación con una organización concreta. La cercanía temporal de una crisis diplomática no sustituye ese análisis.
La investigación de Amnistía se refiere a prácticas denunciadas contra periodistas y activistas en Marruecos. Es relevante para conocer el contexto, pero no identifica automáticamente a los operadores de cada ataque contra teléfonos españoles.
El interés público exige saber qué instituciones fueron afectadas y qué medidas de seguridad se tomaron, dentro de los límites legales. La prudencia en la atribución no reduce la gravedad de una intrusión confirmada: mejora las posibilidades de entenderla y exigir responsabilidades.
La atribución no se resuelve con silencios
La presencia de spyware en dispositivos de responsables públicos es un incidente de seguridad nacional que exige una respuesta institucional documentada. Es legítimo preguntar qué dispositivos se examinaron, qué período de compromiso se determinó, si hubo infraestructura de operación identificada y cuáles fueron los obstáculos que encontraron las pesquisas judiciales o parlamentarias.
Las sospechas periodísticas sobre una posible intervención marroquí no desaparecen porque no haya una atribución pública definitiva. Tampoco se convierten en un hecho probado por su mera reiteración. El nuevo trabajo de Amnistía sobre la DGST refuerza la importancia de investigar las capacidades de vigilancia marroquíes, pero no prueba por sí mismo que una operación concreta sobre autoridades españolas fuera ordenada por Rabat. Investigación de Amnistía.
La conclusión editorial es contundente: España no puede conformarse con reconocer la intrusión y cerrar el debate sobre responsabilidades. Un ataque acreditado necesita una explicación verificable, y los límites de seguridad legítimos no deberían servir como respuesta universal a cualquier pregunta ciudadana.
El Estado español debe contestar por la investigación
¿Se conocen los accesos y la información comprometida? ¿Existen resultados periciales adicionales no clasificados que permitan identificar la infraestructura utilizada? ¿Qué organismos coordinaron la respuesta? ¿Qué medidas de protección se implantaron para evitar nuevos compromisos? Son preguntas de interés público incluso cuando determinadas evidencias estén legítimamente protegidas.
Amnistía ha aportado un nuevo conjunto de pruebas sobre operaciones de vigilancia de la DGST en Marruecos. Es pertinente investigar las relaciones entre capacidades, contratos y posibles operaciones, pero no trasplantar esa atribución a los teléfonos del Gobierno español sin una pericia específica. Investigación de Amnistía.
La exigencia más contundente es también la más sencilla: que el Gobierno español explique qué sabe, qué no sabe y qué resultados verificables puede poner a disposición del control parlamentario y judicial. La respuesta no puede consistir indefinidamente en recordar que el asunto es delicado.
Del año 2017 a mayo de 2021: qué se sabe sobre el funcionamiento de Pegasus
2017 — puesta en marcha en la DGST. Tres antiguos integrantes de servicios de inteligencia marroquíes colaboraron con una investigación coordinada por Forbidden Stories junto con catorce medios, con apoyo pericial de Amnistía Internacional. El informante identificado como Safir situó en una villa de Rabat las demostraciones realizadas por representantes de NSO Group. Entre las pruebas cruzadas figuran números de teléfono de miembros de la propia DGST incluidos en los registros de ensayos. El nombre operativo Morgan aparece identificado por los investigadores como el del cliente marroquí de Pegasus. The Guardian, 16 de julio de 2026 · OCCRP: investigación del testimonio.
2017–2021 — modos de infección descritos por los investigadores. Safir relató un procedimiento de selección de objetivos, remisión de identificadores de teléfonos y acceso de los operadores marroquíes a un panel de vigilancia. Los peritajes documentan ataques de un clic, ataques sin interacción del usuario y casos de inyección de red a través de infraestructuras de telecomunicaciones marroquíes. También se describen servidores gestionados mediante intermediarios comerciales. Este es un modelo de funcionamiento documentado en casos investigados en Marruecos; no constituye todavía la reconstrucción técnica de la infección específica de cada ministro español. OCCRP · Amnistía, 1 de octubre de 2026.
19–21 de mayo de 2021 — móvil de Pedro Sánchez. La investigación judicial española determinó que, durante esos días, se extrajeron al menos 2,57 GB del dispositivo del presidente. El 31 de mayo de 2021 se detectó otra extracción de aproximadamente 130 MB. Las fechas coinciden con una grave crisis diplomática entre España y Marruecos, pero la coincidencia temporal no identifica por sí sola al operador de cada intrusión. Reconstrucción del auto judicial publicada por RTVE.
Mayo–junio de 2021 — otros integrantes del Gobierno. La Audiencia Nacional examinó infecciones en los dispositivos de Margarita Robles y Fernando Grande-Marlaska, además del caso de Luis Planas. El consorcio periodístico de julio de 2026 identificó una cuenta de ataque vinculada al sistema marroquí que también habría sido utilizada contra Robles y Marlaska. Este dato de atribución periodística y técnica es mucho más preciso que hablar solo de «sospechas»; no debe confundirse con una sentencia española firme que identifique la autoría de todas las intrusiones. The Guardian · RTVE.
22 de enero de 2026 — archivo judicial provisional. La Audiencia Nacional suspendió de nuevo la investigación por la falta de cooperación de Israel con las diligencias solicitadas al fabricante de Pegasus. Un archivo provisional por imposibilidad de seguir investigando no es una prueba de que el espionaje no existiera, ni una confirmación judicial de quién lo cometió. RTVE, enero de 2026.
Valoración de FORTIS: el conjunto de testimonios de exintegrantes de la DGST, documentos filtrados, identificación del cliente Morgan y vínculos técnicos publicados sitúa a la DGST en el centro de la investigación de espionaje marroquí, incluida su dimensión española. Debe investigarse qué unidad utilizó las cuentas vinculadas a Robles y Marlaska, quién autorizó las operaciones y qué documentación técnica adicional permitiría atribuir —o descartar— el ataque concreto contra Sánchez.
Guardia Civil y Policía Nacional: las fuentes españolas no pueden desaparecer del relato
El consorcio coordinado por Forbidden Stories documentó que el teléfono de un alto cargo de la Guardia Civil figuraba en cinco selecciones del sistema Pegasus atribuido a un operador marroquí. Su investigación incorporó documentos filtrados, fotografías y testimonios de miembros españoles de las fuerzas de seguridad. Un mando de la Guardia Civil habló de una traición a la confianza depositada en el socio marroquí. Investigación de The Guardian.
El mismo reportaje recoge que integrantes de la Policía Nacional adoptaban medidas preventivas al desplazarse a Marruecos, como utilizar dispositivos separados para información sensible. Este dato demuestra preocupación profesional y protocolos de autoprotección; no debe transformarse en la afirmación de que toda la Policía Nacional emitió un dictamen institucional acusando a la DGST.
La voz de esos profesionales es parte del expediente, pero conviene distinguir testigos citados por periodistas, registros de teléfonos seleccionados como objetivos, una investigación de FORTIS y un pronunciamiento oficial firmado por un cuerpo policial. Tampoco se debe mezclar este expediente de Pegasus con los informes de Policía y Guardia Civil sobre las entradas fronterizas de Ceuta de julio de 2026: son asuntos y pruebas diferentes.
Interrogantes que identifica el análisis de FORTIS sobre Madrid y Rabat: por qué fueron seleccionados dispositivos de agentes españoles que cooperaban con servicios marroquíes, qué auditoría examinó la posible obtención de información profesional sensible y qué respuesta diplomática o judicial se ha documentado. Una relación de cooperación antiterrorista no puede servir para eludir preguntas sobre una posible vigilancia al propio socio.
Precisión documental: «Morgan» y «Morgen» en las fuentes
El consorcio citado por The Guardian escribe «Morgan» como nombre clave del cliente marroquí en materiales internos de NSO Group; Amnistía Internacional utiliza «Morgen» al describir el cliente de Marruecos en documentación procedente del litigio de WhatsApp y Meta. Ambas publicaciones atribuyen la clave al cliente marroquí, pero difieren en su grafía. FORTIS conserva esa diferencia como un dato de trazabilidad y no la presenta como evidencia de dos operadores distintos. The Guardian, julio de 2026 · Amnistía Internacional, octubre de 2026.
La pregunta española es quién tuvo acceso y qué quedó comprometido
La investigación judicial recogió 2,57 GB de datos extraídos del móvil de Pedro Sánchez entre el 19 y el 21 de mayo de 2021 y 130 MB el 31 de mayo de 2021. Se trata de volúmenes y fechas difundidos a partir de autos judiciales, no de una auditoría de FORTIS sobre el terminal. RTVE.
Una investigación de seguridad nacional no queda respondida únicamente con constatar una infección. Es necesario conocer el alcance del compromiso, las medidas de protección posteriores y qué puede divulgarse bajo control parlamentario o judicial. El archivo provisional de diligencias por falta de cooperación internacional no equivale a un desmentido de las infecciones.
De los registros filtrados a la atribución técnica: el papel de FIRS
FORTIS Intelligence Record System (FIRS) es el entorno de análisis de FORTIS para relacionar expedientes, fuentes abiertas y material difundido por terceros, incluidos archivos atribuidos a filtraciones de servicios marroquíes. El valor de esa centralización reside en conservar la procedencia de cada afirmación, detectar incompatibilidades y no transformar una similitud de nombres o cargos en una identidad operativa confirmada.
Jabaroot publicó tablas con más de 70.000 filas atribuidas a estructuras de seguridad marroquíes, según reportó El País. La DGSN y la DGST niegan que el origen fueran sus propios sistemas. FIRS no permite atribuir una infección Pegasus por el mero hecho de que aparezca un nombre en esas tablas: la atribución exige rastros forenses, registros propios de operadores, pruebas de infección y documentación de la investigación pertinente. El País · Le Desk.
Los hallazgos comunicados por la investigación internacional de 2026 sobre cuentas vinculadas al sistema Pegasus marroquí y objetivos españoles constituyen una línea de evidencia separada. También deben separarse la infección acreditada del teléfono de Sánchez y la autoría individual de su ataque, todavía discutida públicamente. The Guardian.
FORTIS analiza el expediente como asunto de seguridad, contrainteligencia y espionaje. El Estándar publica sus resultados; no se atribuyen a FORTIS denuncias o reclamaciones institucionales que no se hayan producido.
