Ianuarie. Mai multe companii s-au întâlnit într-o locație secretă din Barcelona pentru a discuta despre vulnerabilitățile sistemelor informatice.
Motivul pentru care spionii cibernetici aleg Barcelona nu este cu mult diferit de motivul care atrage, anual, conform datelor Primăriei, peste doisprezece milioane de turiști în capitala catalană. Întâlnirea a avut loc într-o miercuri din luna ianuarie, în cartierul Eixample, iar locația este cunoscută doar de participanți. Totul este clandestin, iar conținutul întâlnirilor este deosebit de sensibil.
Reuniunea a fost numită Offensive și a fost promovată pe un site web care promitea „soare, fructe de mare și spyware”. Site-ul afișează acum mesajul: thank you all and see you soon :)
Sloganul „soare, fructe de mare și spyware” a apărut inițial într-un articol TechCrunch publicat în ianuarie 2025, care analiza modul în care Barcelona a devenit o destinație neașteptată pentru startup-urile de spyware. Articolul vorbea despre companii precum Palm Beach Networks, Paradigm Shift și Epsilon și sublinia motivele alegerii orașului spaniol: clima, costurile mai mici, comunitatea vibrantă de expatriați și un cadru de reglementare european perceput ca fiind mai indulgent decât cel al Israelului după scandalul programului spion Pegasus.
Orașul găzduiește și un grup anonim de cercetători israelieni care s-au mutat la Barcelona din Singapore pentru a lucra la dezvoltarea de exploatări zero-day. Despre existența lor, precum și prezența firmei Epsilon în Barcelona, a relatat, în 2024, ziarul israelian Haaretz, al cărui articol a generat rumoare în ziarele locale spaniole și pe site-urile de știri.
Supravegherea exporturilor de produse de securitate din Europa este la fel de strictă ca în Israel, dacă nu chiar mai strictă, dar o companie cu sediul în UE și-ar putea vinde produsele în UE fără probleme, oferind o piață locală bogată și extinsă de clienți legitimi sub forma agențiilor de informații și a organizațiilor de aplicare a legii. Prinși între război și restricții dure pe plan intern, hackerii israelieni de elită se mută în UE, în Spania, pentru a înființa sau a se alătura unei noi generații de firme care vând exploit-uri, cel mai popular produs din lumea supravegherii cibernetice, scria Haaretz.
Offensive BCN este un eveniment privat, accesibil doar pe bază de invitație, care a avut loc în ianuarie în cartierul Eixample din Barcelona. Locația este anunțată în ultimul moment și se aplică reguli stricte de confidențialitate. Nu există discursuri publice, transmisiuni în direct sau comunicate de presă. Obiectivul său nu este de a disemina cunoștințe academice, ci de a conecta cererea și oferta. Nu este propriu-zis o conferință, ci o piață a securității cibernetice.
Compania organizatoare este Epsilon, specializată în găsirea vulnerabilităților în sistemele informatice, cum ar fi software-ul Apple sau Android, cunoscute sub numele de vulnerabilități zero-days. Cu alte cuvinte, o companie caută vulnerabilități zero-days în software pentru a putea accesa un spyware cum ar fi Pegasus. Caută scurtături pentru a putea spiona. De fapt, găsirea unei vulnerabilități zero-day este mină de aur: Big Tech oferă recompense substanțiale oricui găsește o vulnerabilitate de securitate în sisteme. De exemplu, Meta a plătit persoanelor care au descoperit astfel de probleme până la 129.000 de dolari în primele 14 zile ale anului 2026.
Epsilon este organizator, dar Offensive BCN beneficiază de prezența unor firme precum Paradigm Shift, Radiant, Palm Beach Networks sau Interrupt Labs, multe dintre ele stabilite în Barcelona sau cu o prezență recurentă în oraș.
Epsilon are sediul în Barcelona, dezvoltă exploit-uri și vizează piața americană. A fost înființată de un grup de cercetători de elită în domeniul securității cibernetice, în conexiune cu firma australiană Azimuth vândută, acum câțiva ani, antreprenorului american de apărare, L3 Harris. Grupul, condus de un cercetător francez, a părăsit corporația americană pentru a înființa Epsilon la Barcelona.
Epsilon are ca parteneri doi israelieni, fondatorii firmei israeliene de spyware Bindency, care dezvoltă și vinde instrumente de supraveghere digitală diferitelor state. Bindency, la fel ca Ehud Barak și Paragon și fostul comandant al Unității 8200, Ehud Schneerson, s-a limitat la clienții occidentali și aliații apropiați ai acestora din est, iar spyware-ul lor nu a fost niciodată legat de încălcări ale drepturilor omului sau de vreo formă de utilizare abuzivă. La fel ca Paragon, este o firmă de spyware care a ales o cale diferită de cea a NSO Group, mizând pe politica Administrației Biden și nu pe bunăvoința guvernului israelian, consideră Haaretz.
Una dintre companiile care se prezintă drept „prieten” al evenimentului Offensive este Radiant. Cu sediul în Tel Aviv, are ca angajați mai mulți foști cercetători din cadrul NSO Group, compania care a creat software-ul Pegasus. De asemenea, este implicată Obliviate, o companie cu birouri în Barcelona și Israel.
Ani de zile, agențiile de informații din Statele Unite, Rusia și China au investit masiv în spionajul cibernetic, Europa, însă, a rămas în urmă și a trebuit să apeleze la companii private. Multe dintre ele sunt situate în Israel, dar aceste companii au început să caute noi destinații. Una dintre ele a fost Catalonia. Condiții de viață accesibile și control redus din partea guvernului.
„Chiar pare că ne împing să părăsim Israelul, iar cei care aleg să rămână o fac de obicei din motive de sionism. Supravegherea din Europa nu este deloc ușoară, dar permite vânzări către țările UE și către membrii Alianței Five Eyes (SUA, Marea Britanie, Canada, Australia și Noua Zeelandă), iar după victoria lui Trump, toată lumea caută să intre din nou pe piața americană.”
Agenția de Securitate Cibernetică din Catalonia, Consiliul Local Barcelona și Mossos d’Esquadra (poliția catalană) susțin că nu au avut cunoștință de evenimentul din Eixample înainte ca acesta să aibă loc.
Ce s-a întâmplat la Offensive BCN a rămas învăluit în secret. Prânzuri, cocktailuri și programe spyware, agenda fiind furnizată de către organizatori fiecărui participant doar cu câteva ore înainte de eveniment.
Probabil, au fost făcute cumpărături. Companii, dar și agenții guvernamentale, au achiziționat vulnerabilități în sisteme. Vânzătorii au oferit cod capabil să compromită dispozitivele mobile și browserele web.