La campaña, vinculada con confianza moderada-alta a un grupo de ciberespionaje ruso, aprovecha vulnerabilidades ya corregidas para acceder a información privada de iPhone y Android.
Una campaña de ciberespionaje pone en alerta a los usuarios de Apple y Android
Los teléfonos móviles se han convertido en uno de los objetivos más valiosos para las operaciones de espionaje digital. Una nueva investigación de la empresa francesa de ciberseguridad Sekoia ha descubierto una campaña que utiliza páginas web manipuladas para introducir código malicioso en dispositivos iPhone y Android y extraer información privada de sus propietarios.
La operación, bautizada como Poisoned Source, ha sido vinculada con confianza moderada-alta a APT29, también conocido como Cozy Bear o Midnight Blizzard, un grupo de ciberespionaje asociado por distintos organismos de seguridad a los servicios de inteligencia exterior de Rusia.
La investigación, publicada el 4 de noviembre de 2026, describe una operación que aprovecha vulnerabilidades conocidas de los sistemas operativos y navegadores. Entre ellas figura CVE-2024-27834, un fallo de Apple que había sido corregido en mayo de 2024, pero que ahora aparece relacionado con ataques reales.
La alerta ha adquirido mayor relevancia después de que la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incorporase esta vulnerabilidad a su catálogo de fallos explotados activamente, conocido como KEV.
El objetivo de los atacantes no se limita a conseguir acceso al navegador. Los investigadores han documentado mecanismos capaces de robar cookies, contraseñas de redes wifi y, en determinados dispositivos, información mucho más amplia: mensajes, contactos, fotografías, historiales de navegación y datos almacenados en aplicaciones.
La principal advertencia es que tener un móvil actualizado no es una cuestión secundaria: las cadenas de explotación identificadas por Sekoia utilizan vulnerabilidades que ya cuentan con correcciones.
CVE-2024-27834: el fallo de Apple que vuelve a estar bajo vigilancia
La vulnerabilidad que ha motivado la nueva alerta de CISA es la CVE-2024-27834, con una puntuación de gravedad CVSS de 5,5 sobre 10, considerada de severidad media.
El fallo afecta a varios sistemas y productos de Apple, entre ellos iOS, iPadOS, macOS, Safari, tvOS y watchOS.
Técnicamente, se trata de un problema de autenticación que puede permitir a un atacante que ya dispone de determinadas capacidades de lectura y escritura eludir la protección conocida como Pointer Authentication.
Esta tecnología, denominada habitualmente PAC, está diseñada para dificultar que un atacante manipule determinados punteros de memoria y consiga alterar el flujo de ejecución de un programa.
Apple corrigió el problema en mayo de 2024 mediante distintas actualizaciones:
- iOS 16.7.8 y iPadOS 16.7.8.
- iOS 17.5 y iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
- Safari 17.5.
La vulnerabilidad ya había sido demostrada como un fallo de tipo zero-day durante el concurso de hacking Pwn2Own Vancouver, celebrado en marzo de 2024.
La novedad de noviembre de 2026 no es que Apple haya descubierto ahora el problema, sino que las investigaciones de Sekoia han documentado su utilización dentro de una cadena de explotación dirigida contra dispositivos que no habían recibido las actualizaciones correspondientes.
La incorporación al catálogo KEV de CISA supone una señal oficial de que existe constancia de explotación activa. La agencia estadounidense recomienda a las agencias federales civiles aplicar las medidas correctoras antes del 18 de noviembre de 2026. The Hacker News Apple NVD.
APT29, el grupo ruso al que apunta la investigación
Los investigadores de Sekoia atribuyen la campaña a APT29, un grupo conocido también por los nombres Cozy Bear, Midnight Blizzard y The Dukes.
La organización está ampliamente asociada a operaciones de espionaje vinculadas al Servicio de Inteligencia Exterior de Rusia, conocido por sus siglas SVR.
La atribución de Sekoia se apoya en coincidencias técnicas, patrones operativos, infraestructura utilizada y características de las posibles víctimas. La empresa habla expresamente de una confianza moderada-alta, por lo que la identificación debe entenderse como una evaluación de inteligencia y no como una sentencia judicial o una atribución oficialmente demostrada por un tribunal.
APT29 es conocido por operaciones de ciberespionaje dirigidas contra instituciones, organizaciones y objetivos de interés estratégico. En esta ocasión, la campaña analizada apunta especialmente a usuarios que visitan determinadas páginas web relacionadas con sectores políticos, industriales y militares.
Entre los sitios afectados figuran páginas vinculadas a una asociación empresarial estadounidense del sector químico, una formación política europea y una web relacionada con el ámbito militar búlgaro.
Los investigadores también identificaron páginas falsas que imitaban sitios de especial relevancia en Estados Unidos, Ucrania, República Checa y Bulgaria.
La selección de estos objetivos apunta a un posible interés por información estratégica, especialmente en el contexto de la guerra de Ucrania y las tensiones internacionales.
No obstante, Sekoia advierte de que todavía no está completamente claro si los atacantes pretendían seleccionar a personas concretas o si buscaban comprometer indiscriminadamente tantos dispositivos vulnerables como fuera posible para después identificar la información de interés.
Tres vías de entrada para infectar los teléfonos
La campaña Poisoned Source destaca por utilizar distintos mecanismos para introducir código malicioso en los dispositivos.
Sekoia identificó tres vías principales:
1. Páginas web legítimas comprometidas.
Los atacantes consiguieron introducir código JavaScript malicioso en páginas que los usuarios consideraban auténticas. De esta manera, una visita normal podía activar la carga de componentes externos controlados por los responsables de la operación.
2. Sitios falsos que imitan páginas conocidas.
Los investigadores localizaron dominios diseñados para hacerse pasar por páginas legítimas. Entre los ejemplos identificados figura america250[.]holiday, que actuaba como intermediario de la web oficial America250.org.
También detectaron un dominio que imitaba la página de un hotel de lujo londinense. Este tipo de infraestructura puede utilizarse para atraer a visitantes de interés mediante señuelos relacionados con acontecimientos, invitaciones o viajes.
3. Compromiso de un proveedor tecnológico.
La tercera vía fue especialmente relevante por su alcance potencial. Los atacantes manipularon durante aproximadamente una semana un componente del servicio ucraniano Plerdy SEO Tracker, utilizado por miles de páginas web.
Según Sekoia, el compromiso se produjo entre el 27 de agosto y el 3 de septiembre de 2026. Los atacantes modificaron un archivo JavaScript legítimo para introducir código que redirigía a los visitantes hacia su infraestructura maliciosa.
Este tipo de operación se conoce como ataque a la cadena de suministro (supply chain attack). En lugar de atacar individualmente a cada víctima, los delincuentes comprometen un proveedor o componente compartido por numerosas organizaciones.
El resultado es especialmente preocupante: una web legítima puede convertirse en un vehículo de infección sin que el usuario tenga motivos evidentes para desconfiar de ella. Sekoia, investigación Poisoned Source.
El ataque puede activarse sin que el usuario descargue una aplicación
Uno de los aspectos más delicados de la investigación es el mecanismo de infección.
El código malicioso recopila información sobre el navegador y el dispositivo que visita la página. Entre otros datos, identifica el sistema operativo, la versión del navegador y distintas características técnicas del teléfono.
Después, un servidor controlado por los atacantes decide qué cadena de explotación debe utilizar en función del dispositivo detectado.
En los escenarios documentados, el usuario no necesita descargar una aplicación maliciosa ni pulsar necesariamente un botón de instalación. La explotación puede producirse durante la visita a una página manipulada cuando el dispositivo utiliza una versión vulnerable.
Este comportamiento se conoce como ataque zero-click cuando no requiere una interacción adicional de la víctima para ejecutar la cadena de explotación. No significa, sin embargo, que cualquier móvil pueda ser infectado simplemente por conectarse a Internet.
La operación depende de que el dispositivo reúna las condiciones técnicas necesarias y tenga vulnerabilidades sin corregir.
Sekoia identificó tres cadenas de explotación diferentes, dos dirigidas contra dispositivos Apple y una contra Android.
Qué información pueden robar de un iPhone
La investigación documenta dos modalidades de ataque contra dispositivos iOS.
La primera, denominada clase A, está dirigida a dispositivos con iOS 16.7 y combina dos vulnerabilidades:
- CVE-2025-43529, relacionada con la ejecución remota de código en WebKit.
- CVE-2024-27834, utilizada para eludir la protección de autenticación de punteros.
El objetivo principal de esta cadena es obtener las cookies almacenadas en el dispositivo.
Las cookies pueden contener información de sesión que permite mantener abiertas cuentas y servicios sin introducir de nuevo las credenciales. Su robo puede facilitar el acceso no autorizado a servicios web si no existen otras protecciones que lo impidan.
La segunda modalidad, clase B, apunta a dispositivos con iOS 18.5 y utiliza una cadena más extensa de vulnerabilidades.
Según el análisis técnico, esta modalidad puede acceder a información mucho más amplia:
- Mensajes SMS e iMessage.
- Bases de datos de WhatsApp y Telegram.
- Información de correo electrónico.
- Contactos y registros de llamadas.
- Historial de navegación y cookies de Safari.
- Contraseñas y credenciales almacenadas en el llavero de iCloud.
- Contraseñas de redes wifi.
- Fotografías y archivos de iCloud Drive.
- Información de Calendario, Notas y Apple Health.
- Datos relacionados con la ubicación y el uso del dispositivo.
La diferencia entre ambas modalidades es significativa. Mientras la primera se centra principalmente en las cookies, la segunda está diseñada para extraer información de numerosas aplicaciones y componentes del teléfono.
Un móvil puede almacenar buena parte de la vida digital de una persona: comunicaciones, fotografías, contraseñas, documentos y datos personales. Por eso, las operaciones de espionaje dirigidas contra estos dispositivos representan un riesgo especialmente elevado para periodistas, cargos públicos, militares, empresarios y otros perfiles de interés estratégico.
Android también está en el punto de mira
La campaña no se limita a los productos de Apple.
Sekoia identificó una tercera cadena de explotación dirigida contra dispositivos Android que utilizan versiones vulnerables de Google Chrome entre la 139 y la 145, con la versión 143 expresamente excluida en las muestras analizadas.
Esta modalidad utiliza dos vulnerabilidades:
- CVE-2026-3910, para conseguir ejecución de código en el proceso del navegador.
- CVE-2025-27038, relacionada con el controlador gráfico Adreno, para superar restricciones de seguridad y elevar privilegios.
El programa malicioso resultante, bautizado como AndroSnitch, está diseñado para recopilar información de Chrome y contraseñas de redes wifi.
Los investigadores también encontraron una comprobación específica que detiene la explotación cuando identifica el modelo Samsung Galaxy S25 Ultra.
El motivo de esa exclusión no está aclarado en el informe. Por tanto, no debe interpretarse como una garantía general de seguridad para ese modelo ni como una señal de que el resto de dispositivos Samsung estén necesariamente comprometidos.
La investigación demuestra que los atacantes están adaptando sus herramientas a diferentes sistemas y versiones de software. El objetivo es aprovechar las vulnerabilidades concretas de cada plataforma para conseguir información de interés.
Los móviles completamente actualizados quedan fuera de las cadenas identificadas
Hay una diferencia fundamental entre una vulnerabilidad conocida y una vulnerabilidad sin corregir.
Las cadenas analizadas por Sekoia utilizan fallos para los que los fabricantes ya habían publicado soluciones. Los investigadores señalan que ninguna de las tres cadenas contiene vulnerabilidades zero-day y que los dispositivos completamente actualizados no son vulnerables a estos ataques concretos.
Esto no significa que un dispositivo actualizado sea invulnerable frente a cualquier amenaza, sino que las cadenas descritas dependen de versiones vulnerables de los sistemas y navegadores.
La recomendación para los usuarios es sencilla:
- Actualizar iPhone y iPad a la última versión de iOS o iPadOS compatible con el dispositivo.
- Actualizar macOS y Safari en los ordenadores Apple.
- Mantener Google Chrome actualizado en Android y comprobar también las actualizaciones del sistema.
- Activar las actualizaciones automáticas cuando estén disponibles.
- Evitar páginas web sospechosas y enlaces inesperados, especialmente cuando imitan servicios conocidos.
- No instalar perfiles, aplicaciones o certificados de procedencia desconocida.
En el caso de los dispositivos antiguos que ya no reciben soporte, conviene comprobar si existe una actualización de seguridad disponible. Si el fabricante ha dejado de corregir vulnerabilidades, el riesgo aumenta con el tiempo.
La recomendación de CISA del 18 de noviembre está dirigida específicamente a las agencias federales civiles estadounidenses. No es una fecha límite general impuesta a todos los usuarios particulares, pero sí constituye una señal de prioridad para administradores y responsables de seguridad.
Una advertencia sobre la seguridad de los dispositivos personales
La investigación de Sekoia vuelve a poner sobre la mesa un problema que afecta a millones de usuarios: un dispositivo puede seguir siendo vulnerable aunque su propietario no haya instalado ninguna aplicación sospechosa.
La confianza en las páginas web conocidas tampoco es suficiente cuando los atacantes consiguen comprometer sus sistemas o manipular componentes externos que utilizan.
La campaña demuestra además que las operaciones de ciberespionaje pueden aprovechar vulnerabilidades antiguas durante años si existen dispositivos que no han recibido las correcciones correspondientes.
Para las empresas y administraciones públicas, el caso refuerza la necesidad de mantener inventarios de dispositivos, controlar las versiones de los sistemas operativos y aplicar actualizaciones de seguridad con rapidez.
Para los usuarios particulares, el mensaje es aún más directo: no basta con tener un iPhone o un móvil Android de última generación. La seguridad depende también de mantener actualizado el software que controla el dispositivo.
APT29 y la operación Poisoned Source representan una advertencia sobre la creciente importancia del teléfono móvil como objetivo de espionaje. Las comunicaciones, las cuentas personales y los documentos almacenados en estos equipos pueden convertirse en información de enorme valor para organizaciones criminales o actores estatales.
La pregunta ya no es solamente quién puede acceder a un teléfono, sino cuánta información puede obtener si encuentra una vulnerabilidad que su propietario todavía no ha corregido.
Chollones
Chollones
Chollones