Sekoia atribuye a APT29 una campaña móvil que ha infectado iPhone y Android sin necesidad de un solo zero-day. El conjunto de intrusiones, vinculado al SVR ruso, combina webs secuestradas, clones fraudulentos de portales legítimos y un servicio de analítica ucraniano comprometido para perfilar y explotar dispositivos sin actualizar.
Los analistas de Sekoia detectaron la operación a mediados de octubre de 2026. La primera señal apareció en la web de una compañía ucraniana de producción de gas; desde ahí, el rastro llevó a un puñado de sitios de perfil alto en Estados Unidos, Ucrania, la República Checa y Bulgaria, entre ellos la página de una gran asociación de la industria química estadounidense y un portal búlgaro vinculado al ámbito militar. No hay un patrón sectorial evidente en la selección de víctimas, y eso es justo lo que inquieta a los investigadores.
El modus operandi se apoya en tres puertas que desembocan en el mismo payload. La primera, inyección de JavaScript en sitios hackeados. La segunda, creación de webs falsas que copian a la perfección a las legítimas y esconden código malicioso en su interior. La tercera, la más eficaz: el compromiso del servicio de analítica Plerdy, cuyo script cargan miles de páginas, en su mayoría ucranianas. Le adelanto que esa última vía es la que convierte un ataque dirigido en una red de arrastre.
Entre el 27 de agosto y el 3 de septiembre de 2026, los atacantes comprometieron el rastreador alojado en a.plerdy[.]com. Durante una semana, los visitantes de miles de webs cargaron el script legítimo y, junto a él, un perfilador firmado por los intrusos. Varias de las páginas afectadas pertenecen al ecosistema militar y de reclutamiento: ejército, fuerzas especiales, material de defensa. Una semana de exposición silenciosa basta para inventariar una población entera.
El segundo vector merece párrafo aparte. Sekoia identificó dos clones. Uno imitaba America250, la iniciativa oficial estadounidense del 250 aniversario. El otro, theowo[.]club —hoy fuera de línea—, actuaba como reverse proxy de la web de Raffles London at The OWO, el hotel de lujo instalado en el histórico Old War Office, a un tiro de piedra del Ministerio de Defensa británico y del número 10 de Downing Street. El detalle no es menor: según la prensa ucraniana, Zelenski se alojó allí durante su visita a Londres del 14 de octubre. Sekoia cree que el clon pudo servir para spear-phishing contra delegaciones diplomáticas, aunque admite que no tiene confirmación.
Un hotel a cuatrocientos metros de Downing Street convertido en señuelo: así se fabrica una puerta de entrada que nadie revisa dos veces.
En el caso búlgaro, los operadores no tocaron la página visible: modificaron una librería JavaScript que ya estaba presente en el sitio. Es la variante más limpia del oficio, la que no deja rastro visual ni alerta al administrador. El rastro se esconde en el código que nadie audita. Y sí, también apareció una clínica médica australiana entre los dominios infectados, lo que rompe cualquier lectura estratégica limpia y apunta a una lista de objetivos que solo el operador conoce.
UltimateFingerprinter, DarkSword y AndroSnitch: la anatomía del enjambre
El perfilador que sirve la munición se llama UltimateFingerprinter. Va incrustado en una librería AngularJS minimizada que ocupa el 98% de un archivo de 2,3 MB, un detalle que Sekoia interpreta como camuflaje deliberado: por volumen y por apariencia, el archivo pasa por dependencia legítima y, de paso, engorda lo suficiente como para atascar a un modelo de lenguaje que intente analizarlo. Dentro, 61 colectores construyen 394 campos. Casi ninguno se usa. Solo bloquean la entrega tamaños de pantalla imposibles —99999, por ejemplo— o dispositivos que declaran cero puntos táctiles. El resto viaja a un servidor que decide si responder con un exploit.
De ese servidor de entrega, los investigadores extrajeron tres cadenas completas. La clase A apunta a iOS 16.7 y roba cookies. La clase B ataca iOS 18.5 y se lleva el dispositivo entero. La clase C explota Chrome en Android entre las versiones 139 y 145 —con la 143 excluida por un motivo que Sekoia no alcanza a explicar— y sustrae cookies de Chrome y contraseñas de redes Wi-Fi.
La clase B tiene nombre propio: DarkSword, un presunto exploit kit de proveedor comercial de vigilancia que apareció en VirusTotal en septiembre de 2026. Su lista de objetivos es un inventario de vida digital: SMS y iMessages, índices de Mail, buzón de voz, bases de datos de WhatsApp y Telegram, contraseñas y tokens del Keychain, credenciales de cuentas, claves Wi-Fi, contactos, historial de llamadas, calendario, notas, historial y cookies de Safari, cachés de localización, datos de Salud, fotos y iCloud Drive. En Android, la carga se bautizó como AndroSnitch, recolecta cookies, accesos guardados e historial de Chrome, además de ajustes de Wi-Fi, y se detiene ante un modelo concreto: el Samsung Galaxy S25 Ultra. Se parece a AndroSnatch, documentado por Google TAG en 2024, aunque la muestra es demasiado pequeña para probar el parentesco.
Hay un error de programación que retrata al adversario. Las cadenas de cookies de iOS plantan una marca para bloquear la reinfección durante un día, pero una mala implementación la hace caducar en un minuto. Todo lo robado sale hacia ad.starx-net[.]com:8881/telemetry/v12. Ninguna de las cadenas persiste en el dispositivo y ninguna utiliza una vulnerabilidad de día cero: cada fallo explotado ya estaba parcheado antes de empezar. Es ciberespionaje de Estado montado sobre material a la venta.
La atribución se sostiene en cuatro hilos. Un CERT nacional detectó en los archivos de backend de un sitio comprometido huellas que coinciden con un informe privado sobre una campaña de agua de manantial de APT29 en 2025. Google TAG señaló que el marco de trabajo se parece a la campaña del mismo grupo contra webs del Gobierno de Mongolia en 2024. La victimología se concentra en Europa y Estados Unidos con Ucrania como eje. Y el sitio checo hackeado —de una formación de extrema derecha— encaja con el historial del servicio, que lleva años tocando partidos políticos europeos. Sekoia califica el vínculo de confianza moderada a alta y coordina con los CERT de los países afectados.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: infiltración web con explotación móvil. No hay detención, no hay expulsión de diplomáticos, no hay nombre propio sobre la mesa. Lo que hay es una operación de watering hole —agua de manantial envenenada— en la que la víctima se infecta sola al visitar una web de confianza. La fase HUMINT digital está en la selección de objetivos: alguien decidió qué dominios se clonaban y a quién había que perfilar. La fase SIGINT está en el perfilador y en las tres cadenas de explotación. Y la fase de exfiltración se resuelve con un único dominio de telemetría.
En el reparto de papeles, la agencia atacante es APT29, nombre de catálogo del SVR —Cozy Bear, Nobelium, Midnight Blizzard, The Dukes, según el socio que firme el informe—. En la defensa aparecen Sekoia con la atribución técnica, Google TAG con la memoria comparada y los CERT nacionales que absorben los indicadores. Como terceros interesados, la industria comercial de vigilancia: DarkSword procede, según la lectura de Sekoia, de un proveedor privado de surveillance que vendió su kit y alguien recicló. Es el mercado gris que va del fabricante al servicio de inteligencia sin pasar por aduana.
A juzgar por la naturaleza del material exfiltrado, estimo un nivel de clasificación de partida Confidencial para los dispositivos alcanzados, con potencial de escalada a Secreto si algún terminal comprometido pertenecía a una delegación diplomática o a personal del Old War Office. La marca de infección de un día que caduca en un minuto sugiere prisa por cubrir el terreno, no refinamiento. Alguien reutilizó código ajeno y lo adaptó a su calendario.
El precedente que ordena todo esto es SolarWinds, en 2020: APT29 metiendo código en una cadena de suministro de confianza para entrar en miles de organizaciones a la vez. La diferencia de 2026 es el proveedor. Ya no hace falta ser un servicio de élite para disponer de una cadena de explotación móvil completa; basta con comprarla. Y eso abarata el ataque y multiplica sospechosos. Reconozco la debilidad del caso: cuatro hilos convergentes no son una prueba criptográfica, y la atribución en ciberguerra se cae sola cuando el adversario reutiliza frameworks comerciales que otros también tienen.
Sobre España, conviene ser preciso. A falta de un comunicado oficial del CNI o del CCN-CERT, lo prudente es que cualquier entidad que cargue scripts de terceros —analítica, publicidad, soporte en vivo— revise sus dependencias a la luz de los indicadores publicados. Me consta que los equipos de respuesta españoles llevan años peleando con el mismo problema de fondo: la cadena de suministro web como superficie de ataque, y la manía de fiarlo todo al proveedor de turno. Lo he sostenido en más de una ocasión: el primer ataque serio no vendrá por el correo, vendrá por la web que todos dimos por buena.
El hito a seguir no es el informe de Sekoia, que ya está publicado, sino la batería de indicadores que los CERT afectados vayan liberando en las próximas semanas y el cruce con el catálogo público de grupos APT que mantienen los equipos de respuesta europeos. Ahí se verá si esto fue una operación de temporada o el ensayo general de algo más largo.
