Hackers rusos han atacado iPhone y Android sin actualizar: bastaba con visitar una web
La empresa de seguridad Sekoia ha destapado una campaña que se atribuye al espionaje ruso: webs reales y copias falsas que, al abrirlas desde un móvil antiguo, robaban mensajes, contraseñas y fotos sin tocar nada. Todos los fallos estaban ya parcheados. Cómo saber si tu móvil está al día.
Por Redacción 2 min de lectura
La empresa francesa de ciberseguridad Sekoia publicó ayer un informe sobre una campaña contra móviles que atribuye, «con confianza moderada a alta», a APT29, el grupo que se relaciona con el servicio de inteligencia exterior ruso. La mecánica es la del abrevadero: en vez de ir a por la víctima, los atacantes envenenan los sitios a los que va.
Bastaba con abrir una de esas webs desde el móvil. Un código oculto miraba qué teléfono y qué versión llevabas y, si era vulnerable, lanzaba el ataque adecuado sin que tuvieras que tocar nada.
Qué webs y qué móviles
Sekoia habla de webs legítimas pirateadas (una gasista ucraniana, una asociación química de Estados Unidos, partidos políticos europeos), de copias falsas de la web del 250 aniversario de Estados Unidos y de un hotel de lujo de Londres, y de un servicio ucraniano de estadísticas web que cargan miles de páginas. Ese último estuvo contaminado del 27 de agosto al 3 de septiembre. Según Ars Technica, muchos de los objetivos tienen que ver con la guerra de Ucrania.
Los teléfonos que podían caer, según el informe:
| Sistema | Versiones atacadas | Qué se llevaban |
|---|---|---|
| iPhone | iOS 16 (el código sirve hasta iOS 17.4) | Las cookies del navegador, o sea, sesiones abiertas |
| iPhone | iOS 18.5 | Casi todo: mensajes, WhatsApp, Telegram, contraseñas del llavero, contactos, fotos, salud, ubicaciones |
| Android | Chrome 139 a 145 (menos el 143) | Cookies, contraseñas guardadas e historial de Chrome, y la configuración wifi |
La buena noticia: todo estaba ya arreglado
Todos los fallos que usaban eran n-days: vulnerabilidades que Apple y Google ya habían corregido. El propio informe lo resume así: quien tiene el sistema al día está a salvo de estos ataques. Es decir, solo caían los móviles que se habían quedado atrás.
Que un ataque así se haya visto en webs de temática ucraniana no quiere decir que solo afecte a quien las visita. Las mismas herramientas se venden y se reutilizan, y lo que hoy apunta a diplomáticos mañana puede acabar en una web cualquiera.
Qué tienes que comprobar
- iPhone: Ajustes › General › Información › Versión de iOS. Si no estás en la última, ve a Ajustes › General › Actualización de software. Si tu iPhone se quedó en iOS 16 o 17 porque ya no admite más, es justo el caso de riesgo que describe el informe.
- Android: actualiza Chrome desde Google Play (Gestionar apps y dispositivo › Actualizaciones disponibles). Y mira la fecha del parche de seguridad en Ajustes › Información del teléfono.
- Si el móvil ya no recibe actualizaciones, no uses su navegador para entrar en el banco o el correo. Mira cuánto le queda en nuestra guía de años de actualizaciones.
Si te dedicas a algo que pueda interesar a un servicio de inteligencia, el iPhone tiene un ajuste más: el modo de aislamiento, que corta precisamente las tecnologías web que suelen usar estos ataques.
Nuestra opinión: no hay que entrar en pánico, pero sí aprender la lección. Hoy un móvil sin actualizar no es solo un móvil viejo. Es un móvil al que basta con enseñarle una web.