La imagen de portada no está disponible temporalmente.
Campaña de espionaje móvil atribuida a APT29: vulneraciones en iOS y Android mediante fallos parcheados
Investigadores atribuyen a APT29 una campaña de ciberespionaje contra teléfonos iPhone y Android mediante sitios web comprometidos y herramientas de extracción como DarkSword, dirigida contra fallos de seguridad ya corregidos.
Alcance y mecanismos de la campaña de espionaje móvil atribuida a APT29
Una investigación divulgada a inicios de noviembre de 2026 por la firma de ciberseguridad Sekoia ha atribuido al grupo APT29 —asociado al servicio de inteligencia exterior ruso (SVR) y conocido también como Cozy Bear o Midnight Blizzard— una campaña de espionaje orientada a extraer información confidencial de dispositivos iOS y Android pertenecientes a usuarios de Ucrania, Estados Unidos y Europa. La operación consistió en inyectar código malicioso en páginas web legítimas, crear plataformas falsificadas que clonaban entidades de alto perfil y manipular un servicio de analítica web ucraniano, logrando sustraer datos de terminales vulnerables en algunos casos sin requerir que los usuarios interactuaran con enlaces o descargas. [2] [3]
El ciberataque empleó tácticas diferenciadas según el sistema operativo blanco. En teléfonos iPhone antiguos con iOS 16, la ofensiva buscaba robar cookies del navegador y aplicaciones para acceder a cuentas en línea. En dispositivos con iOS 18.5 que no contaban con las protecciones al día, los atacantes recurrieron al conjunto de herramientas de vigilancia DarkSword para extraer mensajes, correos electrónicos, contraseñas, contactos, fotos, historial de ubicación y datos de aplicaciones de mensajería como WhatsApp y Telegram. Por su parte, en sistemas Android se explotaron vulnerabilidades en versiones obsoletas de Google Chrome para obtener historial de navegación, cookies y claves Wi-Fi almacenadas. [3]
La imagen no está disponible temporalmente. Puedes consultar la referencia enlazada.
Infección mediante el servicio Plerdy y sitios web falsificados
Uno de los vectores de distribución más amplios se produjo entre finales de agosto y principios de septiembre, cuando los atacantes vulneraron Plerdy, un servicio ucraniano de analítica web. Al inyectar código malicioso en el script de seguimiento distribuido por dicha plataforma, la campaña expuso potencialmente a los visitantes de cientos de sitios web, incluidos portales vinculados a las fuerzas armadas ucranianas, fuerzas especiales y fabricantes de drones y equipamiento militar. Este código permitía identificar las versiones de software de los dispositivos antes de lanzar los exploits, evidenciando riesgos de inyección indirecta mediante proveedores de servicios similares a los abordados en análisis sobre spyware. [3]
Además de comprometer páginas legítimas —como el sitio de una empresa de producción de gas en Ucrania, una asociación comercial del sector químico en Estados Unidos y un partido político europeo de extrema derecha—, los atacantes crearon versiones falsas de portales relevantes como America250 y el hotel Raffles London at The OWO. Aunque se registró que el presidente ucraniano Volodymyr Zelensky permaneció en dicho hotel durante una visita en octubre, los investigadores precisaron que no existe evidencia alguna de que haya sido objetivo directo de la operación o de que su teléfono fuera comprometido. [3]
La imagen no está disponible temporalmente. Puedes consultar la referencia enlazada.
Uso de fallos parcheados y estado de la investigación al cierre
A diferencia de otros ataques avanzados que recurren a fallos de seguridad no descubiertos, los tres métodos empleados en esta campaña dependían de vulnerabilidades conocidas que Apple y Google ya habían corregido mediante parches oficiales antes de que comenzaran los ataques. Los análisis técnicos recalcan que las acciones no utilizaron vulnerabilidades desconocidas o sin parchear (zero-days), por lo que resultaron ineficaces contra teléfonos actualizados a las últimas versiones del sistema operativo. [3]
Al cierre de la investigación reportada por Sekoia, no se ha establecido una cifra exacta ni comprobada de dispositivos móviles infectados ni del volumen total de datos sustraídos por el grupo. La empresa de ciberseguridad indicó que continúa colaborando con los equipos de respuesta ante emergencias informáticas (CERT) de los países afectados para identificar víctimas potenciales y desarticular la infraestructura utilizada por los atacantes. [3]
EL FORMATO AUDIOVISUAL
El artículo, en vídeo
El montaje puede incluir material de contexto y recreaciones. Consulta las fuentes para distinguirlos de los registros del caso.
Leer la transcripción del reel
Imagina entrar a una página web normal y que, sin tocar nada ni descargar ningún archivo, intenten sacarle datos a tu teléfono. Eso ocurrió en una campaña de espionaje vinculada a la inteligencia rusa que afectó a usuarios de iPhone y Android. Para llegar a las víctimas, colocaron código malicioso en páginas falsas y en el servicio de analítica web Plerdy, presente en cientos de sitios reales. Al entrar en esas webs, el código buscaba brechas en el navegador o en el sistema para acceder a mensajes, fotos o contraseñas. Lo llamativo es que usaban fallos que Apple y Google ya habían solucionado, así que los dispositivos totalmente actualizados no se vieron afectados. Un detalle que recuerda lo importante que es instalar siempre las últimas actualizaciones del sistema.
TRANSPARENCIA EDITORIAL
Fuentes y alcance
Las referencias permiten contrastar la información. Su presencia no equivale a una verificación independiente de todas las afirmaciones.
- FUENTE SECUNDARIAKremlin-linked hackers target Ukraine’s state, military agencies in new espionage campaign
- FUENTE SECUNDARIARussian state-linked hackers target iPhone, Android devices in zero-click espionage campaign https://ift.tt/iY8oB7c Russian state-linked hackers targeted users in Ukraine, the United States and… | Michele Chubirka
- FUENTE SECUNDARIARussian state-linked hackers target iPhone, Android devices in zero-click espionage campaign
