En febero de 2019, la organización Mexicanos Contra la Corrupción y la Impunidad (MCCI) reveló que el general brigadier y el mayor Carlos Javier Álvarez Cárdenas negociaron la compra del malware Da Vinci en 2013, cuando ya estaban al frente de la seguridad de Pemex y de la estrategia para combatir el hauchicoleo, por un monto de 1 millón 100,000 dólares, equivalente a 14 millones 325,000 pesos al tipo de cambio de ese año.
De acuerdo con correos de Wikileaks, revisados por MCCI, el general y el mayor viajaron a una feria de tecnología en París, Francia, para iniciar las negociaciones para la compra del software. Niv Yarimi, representante en México de Hacking Team, llevó a León y Álvarez a París, según revelan los correos.
El general brigadier solicitó que su nombre no apareciera en el contrato, petición que incluso puso en riesgo la compra. Al final, el contrato con Hacking Team se formalizó el 30 de abril de 2014, a través del capitán Gustavo Adolfo Sánchez Ramírez, quien se desempeñaba como superintendente de Planeación y Vulnerabilidad de la Subdirección de Salvaguardia Estratégica.
De acuerdo con la investigación el programa Da Vinci se instaló entre marzo y abril de 2014 en las instalaciones de Grupo Kabat y de su filial SYM, y no en Pemex, fue hasta casi diez meses después, en enero de 2015, que el malware espía llegó a Pemex.