¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Spyware en iPhone ya no es un asunto exclusivo de gobiernos. El informe Advanced Mobile Threat Report 2026 de iVerify, publicado este 10 de noviembre, encontró que el 75 % de sus detecciones en teléfonos de Apple correspondió a campañas criminales, no a operaciones de Estados. La tasa medida por la firma: 1,07 infecciones por cada 1.000 iPhone analizados de consumidores, cerca de uno de cada 900 equipos.
El dato cambia el retrato del riesgo. En todos los casos empresariales confirmados por iVerify, el teléfono infectado era de un empleado raso, por debajo de director gerente, pillado en su casa o en la oficina. Nada de altos ejecutivos ni de viajes exóticos: son operaciones de arrastre, redes que barren a quien tenga un iPhone con una versión vieja de iOS y caiga en la trampa.
El motor del cambio tiene dos nombres: Coruna y DarkSword, dos paquetes de exploits de iOS que los investigadores hicieron públicos en marzo de 2026. El Grupo de Inteligencia de Amenazas de Google describió Coruna como una colección de 23 exploits en cinco cadenas de ataque contra iOS 13 a 17.2.1, usada antes por clientes de vendedores de vigilancia y por un grupo de espionaje contra sitios ucranianos.
DarkSword apuntó más arriba: iPhone con iOS 18.4 a 18.7, seis vulnerabilidades encadenadas para entrar y sacar información. Lo revelaron Google, Lookout e iVerify el 18 de marzo, tras verlo en manos de vendedores de vigilancia y de actores ligados a Estados. Cuando el código de DarkSword se filtró, los criminales recibieron el trabajo hecho: variantes propias sin tener que descubrir cada fallo.
Las variantes criminales de DarkSword que iVerify identificó roban más que antes: contraseñas guardadas, mensajes, fotografías y datos de billeteras de criptomonedas. Y borran mejor sus huellas: eliminan registros y archivos de trabajo al terminar, así que reconstruir el ataque días después se vuelve casi imposible. El programa espía ni siquiera necesita quedarse viviendo en el teléfono para vaciarlo.
Un anuncio de Instagram bastó para infectar un iPhone
El caso más claro del informe lo protagoniza una persona común navegando en Instagram. Un anuncio malicioso se cargó en su sesión y el exploit arrancó solo, sin que tocara el anuncio: los investigadores lo llaman ataque de medio clic. Las redes publicitarias permiten segmentar por modelo, versión de iOS y ubicación, así que el anuncio trampa solo se sirve a teléfonos vulnerables.
Esa misma persona sufrió un segundo ataque después, al seguir un enlace, con otra variante de DarkSword ligada a otro actor. En los dos intentos el objetivo aparente era robar criptomonedas. El mecanismo recuerda al del spyware Candiru, que entró a iPhone por anuncios sin clic: la publicidad digital se convirtió en el repartidor favorito de este tipo de espionaje.
El otro repartidor son los sitios legítimos. En octubre, iVerify y Report URI destaparon la operación DeadTag: más de 660 dominios caducados de analítica y publicidad, todavía insertados en miles de tiendas y páginas reales, recomprados por criminales para redirigir visitas hacia Coruna y DarkSword. Las dos firmas estimaron 135 millones de visitas mensuales a sitios capaces de servir el spyware a quien cumpliera el perfil.
La App Store tampoco fue una barrera
El informe recoge además el caso de FomoPeek, una aplicación de monitoreo de criptomonedas que escondía un paquete de explotación capaz de escapar del aislamiento de iOS y leer datos de otras aplicaciones. Investigadores de SlowMist y OKX hallaron los componentes maliciosos en las versiones 1.1 y 1.2, distribuidas por la App Store el 9 y el 12 de septiembre.
Una actualización del 17 de septiembre retiró el código malicioso. SlowMist rastreó unos US$580.000 en USDT robados hasta una dirección vinculada a la operación. FomoPeek es un caso documentado, no una epidemia en la tienda de Apple, pero demuestra que la revisión de la App Store no garantiza que una aplicación aprobada venga limpia.
Quizá lo más incómodo del informe es el silencio. Ningún iPhone que iVerify confirmó infectado con DarkSword o Coruna recibió la notificación de amenaza de Apple. La explicación tiene matiz: Apple diseñó esos avisos para personas espiadas de forma individual por spyware mercenario, por su identidad o su trabajo, no para campañas masivas. Que el aviso no llegue no prueba que el teléfono esté limpio.
El veredicto práctico es aburrido y contundente: actualizar iOS es la defensa que sí funciona contra estas cadenas de spyware en iPhone, porque los parches cierran los fallos que los criminales reciclan; las seis vulnerabilidades de DarkSword quedaron corregidas en iOS 26.3. La inteligencia artificial acelera la fabricación de exploits, concede iVerify, aunque sus pruebas con adaptaciones asistidas por IA no lograron explotar los equipos ensayados.
La tasa, eso sí, no explotó: bajó de 1,5 infecciones por cada 1.000 equipos en diciembre de 2024 a 1,07 en octubre de 2026. Lo que cambió no es cuántos caen, sino quién dispara y a quién apunta: el spyware de grado gubernamental hoy trabaja para el crimen común, y su blanco favorito es el iPhone desactualizado de cualquier empleado.
Fuente: AppleInsider
