El spyware indiscriminado deja de distinguir entre un ministro y un chófer: el último informe de iVerify lo documenta con casos concretos.
La firma de seguridad móvil publicó esta semana un análisis cruzado de las infecciones detectadas en sus clientes y de las notificaciones de amenaza que Apple envía a usuarios en riesgo. El resultado obliga a revisar una premisa que el sector daba por buena: que el espionaje persigue siempre objetivos de alto valor. La tasa de infección se mantuvo en 1,07 por cada mil escaneos de iOS en 2026, una cifra estable que deja de ser anecdótica cuando se proyecta sobre millones de dispositivos.
El caso más citado del informe es AdFection, la campaña capaz de infectar a cualquiera que visitara una página con publicidad. No hacía falta ser diputado, periodista o abogado de derechos humanos. Bastaba con entrar. El anuncio se convierte en la puerta de entrada y, con él, se diluye la frontera entre el espionaje dirigido y la ciberdelincuencia de reparto.
iVerify cita tres casos que resumen el cambio. En Ottawa, las notificaciones de Apple llegaron a los hijos de un conductor de autobús urbano y a una madre que no trabaja fuera de casa. En Australia, a un chófer de limusina. Ninguno tenía perfil público ni acceso a información clasificada. Le adelanto que esta es la parte del informe que más incomoda a los servicios: si el objetivo ya no se elige, la contrainteligencia deja de poder priorizar.
El fin del objetivo de alto valor y el negocio que lo sostiene
Rocky Cole, cofundador de la compañía, lo explicó a CyberScoop con una lógica economicista que conviene interiorizar: la mayoría de las detecciones fueron ataques masivos de grupos criminales con fines puramente delictivos. Una credencial de directivo no vale más en el mercado negro que la de un administrador de sistemas. De hecho, suele estar mejor protegida.
Tres de cada cuatro detecciones de este año correspondieron a adversarios criminales dedicados al robo de credenciales y criptomonedas, no a actores patrocinados por Estados. Eso no significa que el espionaje de Estado haya desaparecido; significa que comparte infraestructura, mercados y a veces hasta proveedores con el crimen organizado. El mismo ecosistema que vende exploits a un gobierno los alquila a una banda.
El spyware ya no se dirige a quien guarda secretos, sino a quien lleva un móvil encendido. El secreto es un accesorio; el dispositivo, el objetivo.
Para una empresa, la lectura es directa y casi contraintuitiva. El empleado con más probabilidad de caer no se parece al consejero delegado, sino al chófer de limusina: menos formación en higiene digital, menos herramientas de defensa y, a menudo, más libertad para instalar aplicaciones en su terminal. Lo veo cada vez que reviso planes de seguridad corporativos: seguimos blindando la cúpula y dejando abierta la flota.
iVerify detectó además un punto ciego preocupante en el sistema de notificaciones de Apple. Entre los dispositivos infectados por los kits de exploits DarkSword y Coruna no apareció ningún caso con notificación de amenaza previa. La alerta parece calibrada contra indicadores conocidos de mercenarios comerciales, lo que deja fuera a familias de exploits que no encajan en el patrón esperado. Puede consultarse el detalle metodológico en la documentación publicada por iVerify.
La brecha entre lo que Apple avisa y lo que realmente infecta
Las notificaciones de amenaza de Apple son una herramienta valiosa y, a la vez, un indicador parcial. Están diseñadas para avisar a quien probablemente está siendo espiado por un Estado con Pegasus, Predator o familias similares. Notificar es también una decisión política: revela que el fabricante ha identificado la cadena de ataque y, a veces, revela lo que el atacante quería ocultar.
El informe sugiere que esa priorización, razonable en 2021, puede estar desactualizada en 2026. Mientras Apple afinaba la detección de mercenarios conocidos, las bandas criminales usaban kits menos glamurosos, y, más baratos. El grueso del daño ya no viene del proveedor que sale en los periódicos. Viene del que cobra por volumen.
Hay aquí un debate de fondo que afecta a toda la industria: quién asume la obligación de avisar. Los fabricantes no quieren convertirse en auditores forenses de cada móvil. Los servicios de inteligencia tampoco quieren que una empresa privada advierta a un objetivo de que está siendo vigilado. Y en medio queda el ciudadano, que recibe la notificación o no la recibe, y de esa lotería depende que sepa o no que su vida pasa por una pantalla ajena.
Usted puede revisar su propio caso, pero le aviso de que la ausencia de alerta no equivale a inocencia. La notificación es una pista, no un certificado de limpieza.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza. Estamos ante un ciberataque de tipo spyware distribuido por dos vías que se retroalimentan: la publicidad programática, con AdFection como caso documentado, y los kits de exploits de iOS que circulan en el mercado gris. No hay un Estado identificado públicamente detrás y esa es, precisamente, la novedad: el vector se ha mercantilizado.
Agencias implicadas. En el ataque, grupos criminales sin atribución oficial y la cadena de intermediarios que vende acceso, exploits y credenciales. En la defensa, Apple como fabricante, iVerify como detective privado del ecosistema y, en España, el CCN-CERT y el INCIBE, que asumen la respuesta a incidentes de empresas y ciudadanos. En la vigilancia, el CNI y los servicios aliados que siguen desde hace años el mercado de programas espía: no combaten a estas bandas, pero anotan qué infraestructura reutilizan después los actores estatales.
El mercado no distingue entre un secreto de Estado y una contraseña de correo.
Nivel de clasificación estimado. Estimo ‘reservado’ para los detalles técnicos de DarkSword y Coruna, que no son públicos y cuya explotación se cobra por unidad, y ‘sin clasificar pero sensible’ para el dato de las víctimas, que en muchos países permite identificar indirectamente a personas protegidas. La combinación es la peor posible: material barato de obtener y caro de contener.
El precedente que mejor explica esto sigue siendo la brecha de Hacking Team en 2015, cuando un ataque filtró clientes y herramientas de la empresa italiana y demostró que el espionaje se compraba por catálogo. En España, Citizen Lab documentó en abril de 2022 el caso CatalanGate, con decenas de personas infectadas con Pegasus, y en mayo de 2024 se confirmó la infección de los teléfonos del presidente del Gobierno y de la ministra de Defensa. Ninguna de esas atribuciones ha sido confirmada oficialmente por el CNI, y conviene recordarlo cada vez que alguien pronuncia la palabra Marruecos.
Mi posición es clara: el espionaje indiscriminado no sustituye al dirigido, lo enmascara. Cuando cualquiera puede ser infectado, la vigilancia selectiva gana una coartada perfecta. Ya lo escribí en El quinto elemento: ‘el próximo 11S empezará con un clic’. Añado hoy que ese clic no exige que usted sea importante, solo que pase por la página equivocada.
El punto débil de este análisis es la atribución. iVerify no ha identificado públicamente a los responsables de AdFection y, sin atribución técnica cruzada, hablar de servicios estatales sería especulación. Lo sostengo con prudencia: el volumen es criminal, la capacidad es estatal, y la frontera entre ambas la fija el precio. El próximo Mobile World Congress de Barcelona, a principios de marzo de 2027, será la primera cita sectorial en la que estos datos se confronten con los fabricantes; hasta entonces, el catálogo de indicadores del CCN-CERT sigue siendo la referencia práctica para las empresas españolas.
