Herramientas de hackeo filtradas exponen a millones de usuarios de iPhone a spyware

En el último mes, investigadores de ciberseguridad de Google, iVerify y Lookout documentaron varias campañas de hackeo a gran escala utilizando herramientas conocidas como Coruna y DarkSword. Estas campañas han expuesto a millones de usuarios en todo el mundo a ataques de spyware. El descubrimiento desafía directamente la afirmación de Apple de que el spyware para iPhone y las vulnerabilidades de día cero —definidas como vulnerabilidades desconocidas para el proveedor de software antes de ser explotadas— eran raras y solo se utilizaban en ataques limitados y dirigidos. En cambio, estas campañas recientemente documentadas han tenido como objetivo a víctimas que no ejecutan el software más actualizado de Apple.

Para contrarrestar estas amenazas, Apple ha introducido nuevas funciones de seguridad, pero la protección sigue siendo desigual. Los usuarios que ejecutan iOS 26 en modelos de iPhone 17 lanzados en 2025 tienen acceso a Memory Integrity Enforcement. Esta función está diseñada para detener errores de corrupción de memoria, que son las fallas de software comúnmente utilizadas en ataques de spyware y de desbloqueo de teléfonos. Según Google, la herramienta DarkSword dependía en gran medida de estos errores de corrupción de memoria. Sin embargo, los usuarios con software más antiguo, como iOS 18, carecen de estas protecciones. Debido a esta brecha, los ataques basados en memoria podrían seguir afectando a los usuarios de iPhones y iPads más antiguos.

Las campañas de hackeo involucran a varios actores, y algunos de los ataques se atribuyen a espías rusos y ciberdelincuentes chinos. Matthias Frielingsdorf, cofundador de iVerify, declaró que los ataques móviles ahora están generalizados, aunque señaló que los ataques de día cero contra el software más actualizado siempre tendrán un costo elevado. Patrick Wardle, experto en seguridad de Apple, advirtió contra etiquetar estos exploits como inusualmente sofisticados simplemente porque rara vez se documentan. Wardle explicó: “Llamarlos ‘altamente avanzados’ es un poco como llamar avanzados a los tanques o misiles. Es cierto, pero no viene al caso. Esa es simplemente la capacidad básica a ese nivel, y todas (la mayoría de) las naciones los tienen (o pueden adquirirlos por el precio correcto)”.

Esta capacidad básica ha impulsado un mercado secundario de exploits móviles. Justin Albrecht, investigador principal de Lookout, advirtió que la filtración de estas herramientas crea un incentivo financiero para que los desarrolladores y corredores de exploits revendan el mismo exploit varias veces antes de que se adopte un parche ampliamente. Según Albrecht, esta dinámica no es un evento único, sino una señal de lo que vendrá.

Por qué importa

La filtración de Coruna y DarkSword desafía la suposición largamente sostenida de que los hackeos de iPhone son raros. Esta exposición crea un incentivo financiero para que los corredores revendan exploits, lo que señala un cambio en el panorama de la seguridad móvil.