Apple ha notificado a diputados del Bundestag y a miembros del Gobierno alemán que sus iPhone pueden estar bajo spyware mercenario. Las alertas empezaron a llegar a los terminales el 29 de octubre y, al día siguiente, el BSI —la oficina federal de seguridad de la información— escribió a todos los afectados.
No es la primera vez que Berlín recibe un aviso de este tipo. Sí es la primera en que un ministro del ramo lo confirma en televisión. Karsten Wildberger, titular de la cartera digital, lo dijo el domingo en Bericht aus Berlin, de la ARD: hubo ‘una notificación de Apple’ sobre equipos que ‘podrían haber sido comprometidos’. Nada más.
Berlín no confirma cuántos diputados han recibido la alerta. El portavoz del Gobierno, Stefan Kornelius, se limitó a decir al Financial Times que el Ejecutivo se toma el asunto ‘muy en serio’ y, acto seguido, dejó claro que no piensa detallar quiénes están en la lista. Tampoco si el canciller Friedrich Merz figura en ella. Le adelanto que esa omisión no es un descuido: en el oficio, publicar la nómina de objetivos equivale a certificarle al atacante el éxito de la operación.
Apple no ha comentado nada. Su procedimiento es conocido: envía la notificación, no identifica al gobierno que está detrás y no confirma si el aparato quedó realmente infectado. El BSI tampoco lo sabe. ‘No tenemos constancia de si estas notificaciones indican compromisos reales o solo intentos de ataque’, reza la nota oficial del BSI.
Ahí está la incomodidad del asunto. Una alerta de Apple no es un informe forense; es un indicio construido con la telemetría del propio dispositivo. Los ingenieros de Cupertino llevan años afinando esa detección y su tasa de falsos positivos es baja, pero baja no significa cero. Quien recibe el aviso no sabe si le han robado el teléfono o solo lo han intentado.
Una notificación de spyware no es una sentencia: es la constancia de que alguien con recursos de Estado puso un nombre en una lista. Lo demás es trabajo forense.
De ahí la instrucción del BSI, de una dureza poco habitual en un documento administrativo: asumir el compromiso. Actualizar el sistema operativo si no hay análisis forense pendiente, activar el Modo Bloqueo y, si el riesgo se antoja alto, cambiar de teléfono. No limpiarlo. Sustituirlo.
Cambiar de terminal implica cambiar de número, de cuenta y de todas las contraseñas que colgaban de ella, además de revisar qué dispositivos siguen vinculados a la cuenta de Apple sin que uno lo recuerde.
Qué ha detectado Apple y por qué no señala al culpable
El spyware mercenario no es el malware del montón. Apple lo describe como un software mucho más avanzado que las herramientas del cibercrimen común, desarrollado por empresas privadas y empleado habitualmente por gobiernos contra objetivos muy concretos. La mayoría de los usuarios no lo verá jamás en su vida. Los que lo ven suelen ser diputados, periodistas o disidentes.
El vector es el zero-click: un mensaje que no hace falta abrir, un enlace que no hace falta pulsar, una videollamada que no hace falta aceptar. La infección se consuma sin que la víctima toque nada. Y una vez dentro, el atacante no lee un chat: los lee todos, incluidos los de aplicaciones cifradas, escucha llamadas, se lleva contactos, calendario y ubicación, y enciende cámara y micrófono cuando le conviene. Es el teléfono entero, no una esquina del teléfono.
Las herramientas con nombre propio en este segmento son dos, y las dos tienen acento israelí: Pegasus, de NSO Group, y Predator, de Intellexa. Que sean las más documentadas no significa que sean las únicas. El mercado de la vigilancia comercial mueve cientos de millones al año y opera bajo licencias opacas, intermediarios y sociedades pantalla.
La oleada no se ha quedado en Alemania. El cineasta libanés Radwan Mortada, con base en Beirut, contó en X que Apple le avisó de un nuevo ataque contra su iPhone; ya había sido objetivo en 2021. Según la notificación que publicó, los avisos de esta ronda han alcanzado a usuarios de 99 países.
Anatomía del zero-click y el problema de la atribución
Aquí llega el punto que casi nadie subraya. Apple avisa al usuario, no al Estado. No dice qué servicio está detrás ni con qué herramienta. Puede tratarse de una cadena de zero-days comprada a un proveedor comercial o de una operación de un servicio de inteligencia con capacidades propias. Sin análisis del dispositivo, la atribución es literatura.
Nadie ha puesto nombre al atacante.
Ni NSO, ni Intellexa, ni Rusia, ni China, ni Turquía. El BSI ha pedido a los afectados que se pongan en contacto con con su centro de servicio, precisamente para calibrar el alcance, y ningún fabricante se ha pronunciado sobre el origen. Cualquiera que le ponga apellidos a estas alturas está opinando, no informando.
Tenemos precedentes sobrados. En 2021, el proyecto Pegasus destapó decenas de miles de números seleccionables en países aliados. Los informes de Citizen Lab documentaron después infecciones en teléfonos de políticos catalanes y el propio Gobierno español acabó reconociendo el uso de esa herramienta con autorización judicial. Los casos de Grecia, Polonia y Hungría completan un mapa europeo en el que el spyware mercenario ha dejado de ser una anomalía para convertirse en método.
Lo he escrito otras veces y lo sostengo: el problema no es la herramienta, es quién la compra y con qué control se usa. Eso sí, conviene no confundir la alerta con la sentencia. Yo he visto notificaciones de Apple llegar a terminales que después no mostraban rastro de implante, y he visto infecciones reales que jamás generaron aviso. El sistema es bueno. No es infalible.
Dossier Moncloa: Ojos en la Sombra
Hay tres preguntas que ordenan cualquier análisis de este tipo y conviene responderlas en orden. La primera es el vector: estamos ante un ciberataque con spyware mercenario de grado estatal, presumiblemente por zero-click sobre iOS. El BSI maneja dos hipótesis abiertas, infección consumada o tentativa, y esa ambigüedad no es retórica administrativa: condiciona la respuesta. La categoría del oficio es SIGINT dirigido, no cibercrimen oportunista.
La segunda es el reparto de papeles. En el lado atacante no hay atribución pública; cualquiera con capacidad de compra de licencias, desde un servicio de inteligencia hasta un ministerio del Interior con presupuesto opaco, cabe en el marco. En el lado defensor aparecen el BSI alemán, la propia Apple con su sistema de notificaciones y, en la sombra, los CERT nacionales que reciben los avisos en diferido. Y mirando desde fuera, con interés comercial y estratégico, están los proveedores del sector, NSO Group e Intellexa a la cabeza, y los servicios que llevan años construyendo capacidades propias para no depender de ellos.
La tercera es la clasificación. A juzgar por la naturaleza del material afectado —comunicaciones de diputados y de miembros del Gobierno federal—, estimo que cualquier informe forense derivado se movería en el entorno de Secreto, con fragmentos en Confidencial para el intercambio con aliados. Un teléfono parlamentario comprometido no es un problema de privacidad: es contrainteligencia pura.
El precedente que mejor ilumina este caso no es germano, es estadounidense. Cuando cayeron Aldrich Ames y Robert Hanssen, la lección que dejó el FBI no versaba sobre espías, sino sobre tiempo: ambos operaron durante años porque el sistema detectaba accesos, no intenciones. Con el spyware pasa algo parecido. Detectamos el aviso, no la operación.
Ahora el punto débil de mi propio análisis, que lo tengo: si el ataque se ejecutó con un zero-day comprado a un proveedor comercial, la atribución técnica puede no llegar nunca. Los contratos incluyen cláusulas de opacidad, los servidores se alojan en jurisdicciones cómplices y las víctimas no tienen acceso al payload. En ciberguerra, la certeza casi siempre es una construcción periodística.
Qué haría el CNI si el aviso llegara a La Moncloa
Tengo claro que la pregunta no es si España recibirá una oleada así. La pregunta es cuándo, y si estamos mejor o peor preparados que los alemanes. El CCN-CERT publica guías de detección de spyware desde hace años y mantiene un canal de coordinación con los CERT europeos, pero la protección de un teléfono institucional depende de decisiones que se toman muy arriba y con escasa pedagogía pública.
En Moncloa, el protocolo pasa por el Departamento de Seguridad Nacional y por el CNI. Y en el CNI, la doctrina sobre terminales ajenos es la del oficio: si hay duda, se sustituye el equipo, se quema el número y se revisa quién tenía acceso a la agenda. No es paranoia; es exactamente lo que recomienda el BSI, que no lo han escrito unos improvisados.
Si usted dirige un grupo parlamentario y su teléfono aparece en una lista como esta, la primera decisión no es política: es forense. Y hay un detalle que a mí me parece revelador, casi nadie lo ha comentado. El BSI recomienda activar el bloqueo de registro de Signal y la verificación en dos pasos de WhatsApp con un PIN nuevo. Es decir, asume que el atacante, una vez dentro del teléfono, también puede entrar en las aplicaciones cifradas. El cifrado de extremo a extremo protege el tránsito, no un dispositivo comprometido. Muchos responsables políticos todavía no han interiorizado esa diferencia.
Una advertencia práctica para quien haya recibido el aviso: Apple nunca pide que se pulse un enlace, se abra un archivo, se instale un perfil o se compartan contraseñas y códigos. Esa es la firma del fraude que se disfraza de alerta. Los avisos auténticos aparecen en la pantalla de bloqueo, en los ajustes y en la cabecera de la cuenta.
El siguiente hito será la respuesta forense que el BSI reciba de los afectados y el informe que la oficina alemana remita al Bundestag. Hasta entonces, la lista de nombres seguirá siendo la información más valiosa de toda esta operación. Y esa lista, se lo aseguro, no la va a publicar nadie.
