DarkSword puede entrar en un iPhone con solo visitar una web

Una página web manipulada podía bastar para que DarkSword entrara en un iPhone vulnerable, sin que su dueño descargara una aplicación ni aceptara permisos. La cadena de ataque aprovechaba varios fallos de iOS para acceder a información privada y datos vinculados a carteras de criptomonedas. Aunque Apple corrigió las vulnerabilidades en actualizaciones posteriores, los investigadores estimaron que entre 220 y 270 millones de iPhone podían seguir usando versiones expuestas.

La alarma no significa que cientos de millones de teléfonos hayan sido infectados: esa cifra describe dispositivos potencialmente vulnerables, no víctimas confirmadas. El caso inquieta por otra razón. DarkSword apareció en campañas de distintos países y se suma a Coruna, otra herramienta avanzada detectada ese mismo mes. Juntos, los hallazgos apuntan a que los exploits para iPhone circulan por un mercado más amplio que el del espionaje estatal selectivo.

Una amenaza que ya no parece excepcional

Durante años, las herramientas capaces de comprometer un iPhone se asociaron sobre todo a operaciones de vigilancia muy dirigidas, costosas y reservadas para objetivos concretos. DarkSword plantea un panorama menos cómodo: una capacidad técnica sofisticada que, según los investigadores, fue utilizada por proveedores comerciales de vigilancia y por actores sospechosos de tener vínculos estatales. La preocupación no es que cualquier usuario esté siendo espiado, sino que la tecnología necesaria para atacar dispositivos Apple parece estar más disponible.

El uso de una herramienta de este tipo también habla de su valor y de cómo se administra. Los investigadores describieron campañas que no parecían obsesionadas con ocultar cada rastro, además de partes del código malicioso que quedaron accesibles en servidores públicos. Esa exposición permitió analizar el funcionamiento de DarkSword. En operaciones de espionaje extremadamente selectivas, perder una herramienta puede ser un coste enorme; que se emplee de forma menos cuidadosa puede indicar que sus operadores consideran más importante aprovecharla antes de que los fallos queden corregidos.

El contexto inmediato aumentó la inquietud. El 3 de marzo se había hecho público Coruna, otro conjunto de herramientas dirigido a dispositivos Apple, y poco después se conoció DarkSword. Los análisis encontraron conexiones entre ambos casos, incluida infraestructura compartida, aunque eso no demuestra por sí solo que fueran la misma operación o que los responsables fueran idénticos. La señal relevante es que dos capacidades avanzadas aparecieron en un intervalo corto, no que exista una única campaña mundial contra todos los usuarios de iPhone.

Cómo podía entrar DarkSword en un iPhone

DarkSword no era una aplicación maliciosa aislada, sino una cadena de explotación: varios fallos encadenados para pasar de una acción inicial a un control profundo del dispositivo. Los análisis técnicos describieron seis vulnerabilidades que afectaban a componentes como JavaScriptCore, el kernel, ANGLE y dyld. Dicho sin jerga, el ataque empezaba en elementos que procesan el contenido web y trataba de avanzar hasta partes centrales de iOS, donde las restricciones del sistema son mayores.

La puerta de entrada podía ser el navegador. Si el teléfono utilizaba una versión vulnerable y su usuario visitaba una página comprometida, el código malicioso podía ejecutarse sin que fuera necesario instalar un archivo o conceder un permiso especial. En algunos casos documentados, la página manipulada cargaba contenido dañino mediante un elemento integrado en el sitio. Por eso el peligro no dependía necesariamente de que la víctima reconociera un enlace sospechoso: una web legítima también podía haber sido intervenida.

Los investigadores situaron la exposición principal en versiones de iOS entre la 18.4 y la 18.6.2, con variantes técnicas que ampliaban el rango hasta iOS 18.7. Esas versiones se publicaron entre marzo y agosto de 2025. El alcance concreto dependía del dispositivo y de la vulnerabilidad utilizada, por lo que no conviene interpretar el rango como si todos los modelos con esas versiones fueran igualmente vulnerables en cualquier circunstancia. Sí permite entender por qué mantener el sistema actualizado importa: un fallo conocido puede seguir siendo aprovechable mientras el parche no se instala.

La secuencia buscaba superar las barreras del sistema de forma progresiva. Primero podía ejecutar código en un proceso relacionado con la navegación; después, encadenar otros fallos para elevar privilegios y alcanzar zonas más protegidas. Esa transición es lo que distingue una página con publicidad fraudulenta de una intrusión avanzada. No se trata simplemente de convencer a alguien para que entregue su contraseña: se aprovechan errores del software para que el propio teléfono ejecute instrucciones que no debería aceptar.

Qué datos buscaba y qué se sabe de las cargas maliciosas

Una vez dentro, DarkSword podía desplegar distintas cargas asociadas a nombres como GhostBlade, GhostKnife y GhostSaber. Los análisis relacionaron esas piezas con la extracción de información del dispositivo y la búsqueda de datos asociados a carteras de criptomonedas. La información disponible no permite afirmar que todas las variantes robaran exactamente los mismos datos en cada ataque; el contenido dependía de la campaña y de la carga utilizada. En conjunto, el caso muestra que el teléfono reúne información de espionaje y activos económicos en un mismo lugar.

Un móvil puede concentrar mensajes, contactos, registros de llamadas, fotografías, datos de ubicación y credenciales que abren otras cuentas. También puede servir como llave para confirmar accesos o transacciones. Por eso una intrusión no afecta solo a la intimidad de quien lo usa: puede facilitar el acceso a servicios personales o profesionales y, si hay información financiera almacenada o accesible, abrir una vía para obtener beneficios económicos. La búsqueda de datos de criptomonedas refuerza la posibilidad de que el interés no fuera exclusivamente político o de inteligencia.

Algunos análisis señalaron que determinadas muestras podían dejar pocos rastros visibles y que parte de la actividad podía desaparecer tras reiniciar el dispositivo. Ese comportamiento dificulta reconstruir lo ocurrido a posteriori, pero no significa que cualquier iPhone que se reinicie haya sufrido un ataque ni que el reinicio sea una prueba de infección. También complica la investigación forense: una ausencia de señales evidentes no basta para confirmar que un teléfono está limpio. La distinción entre indicios técnicos y una infección demostrada es esencial para no convertir una amenaza real en alarma indiscriminada.

Ucrania, Turquía y Malasia: la dimensión de las campañas

El hallazgo inicial se vinculó a decenas de páginas web de Ucrania. El uso de sitios comprometidos en un país expuesto a operaciones digitales de distinta naturaleza sitúa el caso en un contexto geopolítico, pero no basta para atribuir automáticamente todos los ataques a un Estado. Los investigadores también identificaron actividad relacionada con objetivos de Arabia Saudí, Turquía y Malasia. Esa distribución muestra que DarkSword no quedó limitada a una única web ni a un solo territorio.

Google relacionó algunas campañas en Turquía y Malasia con PARS Defense, una empresa turca de vigilancia comercial. La atribución se basa en el análisis de los investigadores y no equivale a una resolución judicial sobre cada operación. La presencia de proveedores privados importa porque el software de vigilancia puede desplazarse entre clientes y contextos distintos. Una herramienta desarrollada o adquirida para vigilar objetivos concretos puede terminar en manos de otros operadores, con motivaciones políticas, económicas o criminales.

En Ucrania, los investigadores observaron que DarkSword compartía servidores con Coruna, cuyo uso anterior se había asociado a operadores sospechosos de tener vínculos rusos. También se señaló a UNC6353 como un actor presuntamente relacionado con esa actividad. Son atribuciones técnicas sujetas a distintos grados de certeza: compartir infraestructura es una pista, no una prueba definitiva de autoría. En ciberseguridad, una misma infraestructura puede reutilizarse, alquilarse o quedar expuesta a más de un grupo, de modo que cada indicio necesita interpretarse con cautela.

La relación con Coruna y el mercado de exploits

Coruna y DarkSword no deben confundirse como si fueran un único programa. Coruna fue el nombre de otra herramienta avanzada detectada contra dispositivos Apple, mientras que DarkSword designa la cadena investigada en este caso. Los informes describieron vínculos operativos y técnicos, entre ellos servidores compartidos, pero no concluyeron que todos sus componentes o responsables fueran los mismos. La conexión cobra importancia porque sugiere que las herramientas y la infraestructura pueden circular entre campañas diferentes.

El mercado de exploits funciona mediante una cadena de actores: alguien encuentra o adquiere una vulnerabilidad, otros desarrollan métodos para aprovecharla y distintos operadores pueden desplegar esas capacidades. Una herramienta puede cambiar de manos, reutilizarse o adaptarse a objetivos nuevos. Cuando Apple corrige el fallo, la ventana útil se reduce, pero el tiempo entre la publicación del parche y su instalación efectiva deja dispositivos expuestos. DarkSword ilustra esa carrera entre quienes descubren una puerta y quienes intentan cerrarla.

La aparición de dos casos en marzo no demuestra que todos los iPhone sean objetivos ni que cada usuario tenga la misma probabilidad de sufrir un ataque. Los programas de vigilancia avanzada suelen dirigirse a personas o grupos concretos, aunque una página comprometida pueda ampliar el número de visitantes expuestos. La inquietud de fondo está en la mezcla de intereses: espionaje, vigilancia comercial y búsqueda de datos con valor económico pueden coexistir en un ecosistema donde las capacidades técnicas se reutilizan.

Apple corrigió los fallos, pero la actualización no llega sola

Apple sostuvo que las vulnerabilidades afectaban a software desactualizado y que los problemas se habían corregido en versiones posteriores de sus sistemas. La compañía también indicó que Safari bloqueó los dominios maliciosos identificados por Google mediante Navegación Segura. Google, por su parte, añadió los dominios vinculados a la distribución a sus mecanismos de protección. Son medidas que reducen el riesgo, pero no sustituyen la actualización del sistema: bloquear una dirección conocida no elimina la vulnerabilidad del teléfono.

Según la información divulgada, Apple solucionó los fallos en actualizaciones recientes, incluida iOS 26.3. La cifra de entre 220 y 270 millones de dispositivos estimada por iVerify y Lookout describe cuántos iPhone podían permanecer en versiones afectadas, no cuántos habían sido comprometidos. La diferencia es importante: estar expuesto significa que existe una condición técnica aprovechable, mientras que confirmar una infección requiere pruebas específicas. Riesgo potencial y ataque consumado no son lo mismo.

La distancia entre una corrección disponible y su instalación real es el punto débil de muchas estrategias de seguridad. Algunas personas posponen las actualizaciones por falta de tiempo, por espacio insuficiente o por temor a que cambie el funcionamiento del dispositivo. También hay móviles que permanecen en versiones antiguas por distintas limitaciones. El parche solo protege cuando llega al teléfono y se instala; hasta entonces, una vulnerabilidad corregida por el fabricante puede seguir siendo una posibilidad real para quienes conservan software vulnerable.

Apple también envía notificaciones cuando cree que una persona ha sido objetivo de spyware mercenario. Ese sistema, activo desde 2021 según la información de referencia, se refiere a ataques dirigidos y no debe confundirse con una alerta general sobre DarkSword. Una notificación de amenaza no demuestra por sí sola que el teléfono haya sido infectado, aunque se considera una señal seria que requiere evaluación especializada. Del mismo modo, no recibir una alerta no equivale a una certificación de que el dispositivo nunca estuvo expuesto.

Qué significa el caso para la seguridad cotidiana

DarkSword debilita la idea de que la marca del teléfono basta para garantizar la protección. Apple controla de forma estrecha sus dispositivos y publica correcciones, pero ningún sistema puede considerarse invulnerable. La seguridad depende tanto del diseño como de la rapidez con que se corrigen los fallos y de que esas correcciones se instalen. El iPhone conserva capas de protección, pero no funciona como un talismán frente a una cadena de explotación avanzada.

El Modo de Bloqueo de Apple está pensado para un grupo reducido de personas que afronta riesgos excepcionales, como periodistas, activistas o figuras públicas que pueden ser objeto de vigilancia dirigida. Al activarlo, limita determinadas funciones y tecnologías que podrían ampliar la superficie de ataque. No es una solución que elimine una infección ya producida ni resulta necesario presentarlo como respuesta universal para cualquier usuario. Su propósito es reducir opciones de ataque en situaciones de riesgo elevado.

Las recomendaciones generales tienen un alcance más sencillo: instalar las actualizaciones disponibles y desconfiar de páginas o mensajes inesperados. En este caso, sin embargo, visitar una web comprometida podía bastar, así que la cautela al navegar no reemplaza el parche. Si aparece una notificación de Apple sobre una amenaza dirigida, conviene verificarla en los canales oficiales de la cuenta y no seguir enlaces recibidos en mensajes. Las notificaciones legítimas no piden contraseñas ni códigos de verificación; una alerta debe comprobarse sin entregar credenciales.

Si existe una sospecha concreta de vigilancia avanzada, determinar qué ocurrió exige conocimientos forenses y depende de la evidencia disponible. Las organizaciones especializadas en seguridad digital pueden analizar casos de este tipo, mientras que Apple no realiza necesariamente una investigación forense completa de cada dispositivo afectado. Esto marca un límite importante: las medidas generales de seguridad sirven para reducir exposición, pero no sustituyen el análisis profesional cuando hay indicios de un ataque dirigido.

La grieta entre el parche y el teléfono

El efecto más duradero del caso no es una imagen de iPhone infectados por todas partes, sino una pregunta sobre la velocidad de respuesta. Apple puede corregir fallos, Google puede bloquear dominios y los investigadores pueden documentar campañas; aun así, la protección queda incompleta si millones de teléfonos siguen ejecutando versiones vulnerables. La seguridad digital no se decide únicamente en los laboratorios: también depende de lo que ocurre después, cuando las actualizaciones llegan a cada dispositivo.

DarkSword convierte una secuencia técnica compleja en una historia concreta: una visita a una página podía activar el ataque, las vulnerabilidades permitían avanzar dentro del sistema y los datos almacenados en el móvil podían tener valor para varios tipos de operadores. Los investigadores documentaron campañas en varios países y conexiones con otras herramientas, sin que eso permita afirmar que todos los actores o incidentes estén definitivamente atribuidos. Esa combinación de capacidad, circulación y límites en la atribución es la parte más inquietante y, a la vez, más precisa del caso.

Un iPhone no queda comprometido por el mero hecho de que exista DarkSword, y las cifras de exposición no son un balance de víctimas. Pero tampoco basta con confiar en que Apple ya publicó un parche: la corrección tiene que llegar al dispositivo. En una amenaza que podía empezar sin descargas ni permisos, la diferencia entre una vulnerabilidad corregida y una protección efectiva está en mantener el sistema al día.