Kit para hackear iPhone está en manos de espías y criminales

Un kit para hackear iPhone salta del espionaje al crimen y reabre la mayor inquietud de Apple: una sola visita web puede bastar.

Un kit de explotación para iPhone que durante meses se movió en los márgenes más opacos del espionaje digital ha terminado asociado a campañas criminales mucho más amplias, y ese desplazamiento cambia por completo el tamaño de la amenaza. Lo que hasta hace poco parecía una herramienta reservada a operaciones selectivas, caras y muy sofisticadas, aparece ahora reutilizado en trampas masivas vinculadas a finanzas y criptomonedas. El nombre que ha salido a la luz es Coruna, y lo relevante no es solo su potencia técnica, sino el salto que describe su trayectoria: de un entorno propio de actores de vigilancia avanzada a otro donde ya entran en juego espías rusos, operadores criminales en China y una circulación de capacidades ofensivas que inquieta a toda la industria móvil.

La noticia tiene peso porque desmonta una frontera que el sector todavía daba por bastante sólida. Durante años, los ataques avanzados contra iPhone se asociaban casi siempre a objetivos muy concretos: diplomáticos, periodistas, opositores, directivos, personal militar. Aquí el escenario cambia. Según el análisis técnico difundido por investigadores especializados, bastaba con visitar una web preparada para que empezara la cadena de intrusión en determinados dispositivos. No hacía falta instalar una aplicación dudosa, ni abrir un archivo extraño, ni caer en una maniobra especialmente aparatosa. En el centro del caso está justamente eso: una capacidad de entrada silenciosa, adaptable y muy automatizada, desplegada sobre móviles con versiones de iOS comprendidas entre iOS 13.0 y iOS 17.2.1, mientras que las versiones más recientes del sistema quedan fuera del alcance de esas cadenas descritas.

Un arma digital que dejó de ser selectiva

La pieza ha cobrado dimensión pública por la investigación de Google Threat Intelligence Group y por el trabajo paralelo de iVerify, dos actores que han seguido el rastro técnico del kit y de su infraestructura. Ambos coinciden en la idea central: Coruna no era un exploit aislado, ni una vulnerabilidad simple explotada una vez y olvidada después. Era un marco completo de ataque, una caja de herramientas con múltiples recursos para reconocer el dispositivo, decidir qué puerta intentar abrir y adaptar la intrusión a la versión exacta del sistema. Ese nivel de sofisticación no encaja con una banda improvisada de ciberdelincuentes corrientes. Encaja, más bien, con un desarrollo largo, caro y hecho por manos muy especializadas.

Lo que más alarma no es solo el mecanismo técnico, sino el recorrido del propio kit. Los investigadores sitúan un uso temprano ligado a un cliente de una empresa de vigilancia comercial. Después, esa misma familia de herramientas aparece en operaciones de espionaje dirigidas contra ucranianos, en campañas atribuidas con cautela a un grupo de interés ruso identificado como UNC6353. Más adelante, el mismo ecosistema técnico —o partes muy sustanciales de él— reaparece en una operación distinta, ya con una lógica marcadamente lucrativa, asociada a un grupo criminal con base en China al que Google rastrea como UNC6691. Ahí está el salto que ha encendido todas las alarmas: un arma de alto nivel ha empezado a circular fuera de su circuito original.

Ese tránsito tiene consecuencias muy concretas. Cuando una herramienta así deja de servir solo para vigilar a unos pocos y se adapta para campañas más amplias, el riesgo se multiplica. La ciberseguridad conoce bien esa mutación. Lo que hoy es una pieza carísima y muy controlada puede convertirse mañana en un recurso reciclado para robar credenciales, vaciar monederos de criptomonedas, acceder a cuentas bancarias o secuestrar identidades digitales. No hace falta exagerar para entender la gravedad: el móvil ya es el centro de gravedad de la vida personal, laboral y financiera. Comprometer un iPhone significa entrar en mensajes, fotos, correo, banca, claves, historial de navegación, aplicaciones profesionales, documentos y tokens de autenticación. Es una intrusión mucho más honda que la vieja idea del “virus en el ordenador”.

Coruna, la pieza que desconcierta al sector

El nombre Coruna apareció, según los investigadores, por un descuido operacional de los propios atacantes. En una parte de la infraestructura quedó expuesta una versión de depuración del marco de explotación, lo que permitió observar nombres internos, trazas y componentes que normalmente no salen a la superficie. Ese detalle, en apariencia menor, resultó clave. De pronto ya no se veía solo el efecto del ataque, sino parte de la cocina interna del kit. Y lo que apareció fue una estructura mucho más amplia de lo que parecía a simple vista: un conjunto de 23 exploits repartidos en cinco cadenas completas, con piezas destinadas a identificar el dispositivo, explotar el navegador, escalar privilegios dentro del sistema y consolidar la intrusión.

Una de las claves del caso es WebKit, el motor de renderizado web de Apple que está detrás de Safari y de buena parte de la navegación en iOS. La puerta de entrada pasaba por ahí. El marco analizaba el entorno del teléfono, elegía el exploit web más adecuado y, a partir de ese primer apoyo, avanzaba por la cadena. No era un disparo ciego. Era una secuencia diseñada para detectar modelo, versión de iOS, comportamiento del sistema y defensas activas antes de decidir cómo seguir. Esa capacidad de adaptación lo convierte en algo mucho más serio que un simple código malicioso lanzado en masa a ver qué cae. Coruna trabajaba con bisturí, aunque luego pudiera aplicarse a campañas de escala mayor.

Lo técnico, dicho en claro, importa porque explica por qué esta historia no es una anécdota más del ciclo de ciberataques. Un exploit de navegador puede sonar abstracto, pero en la práctica significa que la mera visita a un sitio manipulado puede desencadenar la intrusión. Y cuando esa cadena no depende de que el usuario instale nada, pulse “Aceptar” o entregue voluntariamente permisos, el margen de defensa se estrecha. La vieja intuición de “no descargo cosas raras” ya no basta. En algunos escenarios, ni siquiera sirve. El ataque opera por debajo de esa costumbre, aprovechando debilidades del sistema o del navegador antes de que la víctima perciba nada extraño.

Cómo se abría la puerta con una simple visita web

Los análisis públicos del caso describen una mecánica especialmente inquietante. El usuario aterrizaba en una página aparentemente normal, a menudo asociada a supuestos servicios financieros, productos de inversión o entornos vinculados a las criptomonedas. En segundo plano, sin señales visibles para quien navegaba, se cargaba un iframe oculto con la infraestructura maliciosa. Desde ahí arrancaba la fase de reconocimiento y se activaba la cadena adecuada si el iPhone era compatible con las vulnerabilidades necesarias. Esa manera de operar no busca el espectáculo, busca el silencio. Y ese silencio es justo lo que convierte estas campañas en material tan valioso para espionaje y tan tentador para el crimen organizado.

El rango de exposición señalado por los investigadores iba de iOS 13.0 a iOS 17.2.1. Eso no significa que todos los dispositivos con esas versiones fuesen vulnerables en cualquier circunstancia ni que cualquier web pudiera replicar el ataque sin más, pero sí que el kit disponía de rutas concretas para trabajar dentro de ese perímetro. A la vez, Google subraya que las versiones más recientes de iOS ya no caen en esas cadenas, lo que encaja con la idea de que Apple ha ido cerrando parte de esas grietas con sus actualizaciones. El dato sirve para dimensionar el problema sin inflarlo: no es un apocalipsis para todo el universo iPhone, pero tampoco una historia menor, porque millones de dispositivos tardan en actualizarse o pasan meses anclados en versiones antiguas.

Hay otro matiz importante. Este tipo de cadenas no se construyen de la noche a la mañana. Requieren conocimiento de muy bajo nivel sobre el sistema, pruebas, ensayo y error, integración entre componentes y un equipo capaz de trabajar sobre detalles internos de iOS con enorme precisión. Por eso tantos analistas insisten en que Coruna huele a actor de alto nivel, ya sea estatal, semiestatal o vinculado a contratistas con acceso a investigación muy cara. Lo inquietante llega después: cuando algo tan fino se escapa de ese primer entorno y empieza a reaparecer en manos distintas, el mercado negro técnico revela su peor cara.

De Ucrania a las falsas plataformas cripto

Una parte sustancial del relato gira en torno a Ucrania. Google sostiene que una de las reapariciones de Coruna se observó en ataques contra usuarios ucranianos dentro de operaciones atribuidas con cautela a UNC6353, un grupo relacionado con intereses rusos. El método utilizado en esa fase incluía watering holes, una técnica vieja pero todavía efectiva: comprometer o preparar sitios que el objetivo visita con frecuencia para que la infección se produzca al pasar, casi como quien pisa una baldosa suelta en una acera conocida. No hay un correo alarmante, no hay una descarga evidente, no hay un mensaje estridente. Solo una web, la de siempre o una que se parece demasiado.

Ese encaje geopolítico ya era importante por sí mismo. Un kit de iPhone con ese nivel de sofisticación, usado en campañas contra ucranianos, lo colocaba de lleno en el tablero del ciberespionaje ligado a la guerra. Pero la historia no se quedó ahí. Después apareció otra derivada, muy distinta, que es la que termina de disparar la preocupación. El mismo conjunto de herramientas, o una porción crítica de su arquitectura, fue identificado dentro de campañas que utilizaban sitios fraudulentos en idioma chino, orientados a atraer víctimas interesadas en inversiones, finanzas digitales y criptoactivos. Ahí el objetivo ya no era vigilar de forma quirúrgica a un perfil concreto, sino monetizar la intrusión.

Google rastrea esa fase hasta UNC6691, un actor criminal con base en China cuya motivación es económica. La importancia del hallazgo está en la combinación. No es frecuente documentar con tanta nitidez el paso de una capacidad propia del espionaje avanzado a una operación cibercriminal de escala mayor. Ese deslizamiento sugiere varias posibilidades, todas problemáticas: reventa parcial del kit, reutilización por actores con acceso a canales opacos, fuga de componentes, reciclaje interno o incluso una cadena de intermediarios que ha terminado colocando el arma en otro mercado. Ninguna de esas hipótesis resulta cómoda para Apple ni para la industria. Todas implican lo mismo en el fondo: las capacidades ofensivas ya no permanecen donde nacen.

UNC6353 y UNC6691, dos nombres clave del caso

Los identificadores UNC6353 y UNC6691 pueden sonar fríos, casi burocráticos, pero ayudan a entender de qué tipo de transición se está hablando. El primero aparece vinculado a intereses de espionaje ruso y a campañas con víctimas ucranianas. El segundo, en cambio, se mueve en el terreno de la criminalidad económica y las trampas digitales montadas para obtener beneficio directo. Entre uno y otro no solo cambia el pasaporte probable del operador. Cambia, sobre todo, la lógica del ataque. Uno vigila, infiltra y recopila. El otro roba, monetiza y escala. Que ambos converjan sobre una misma base técnica es lo que vuelve el caso tan anómalo.

En el lenguaje del sector, el episodio apunta a la existencia de zero-days de segunda mano. La expresión es fea, pero describe bien la escena. Una vulnerabilidad de alto valor —o una cadena de explotación completa— deja de ser patrimonio exclusivo de su desarrollador original y entra en circulación entre terceros. A veces se alquila, a veces se revende, a veces se fragmenta en piezas que viajan por separado. El resultado es el mismo: lo que antes estaba reservado a unos pocos acaba ampliando su radio de daño. Y cuando ese salto ocurre en el ecosistema móvil, donde el dispositivo concentra identidad, dinero, comunicaciones y trabajo, el problema cambia de tamaño.

La sombra de Operation Triangulation

La investigación de iVerify añade otra capa espesa al caso al señalar similitudes entre Coruna y marcos técnicos ligados a Operation Triangulation, la operación destapada en 2023 tras los ataques sufridos por empleados de Kaspersky. Aquella campaña ya había puesto el foco sobre exploits muy avanzados para iPhone, sobre el valor estratégico del móvil como objetivo y sobre una guerra silenciosa de la que el gran público solo ve fragmentos sueltos. La conexión no significa que todo quede cerrado ni que exista una confesión definitiva sobre el origen del kit, pero sí que el árbol genealógico de estas herramientas podría ser más largo y más turbio de lo que parecía.

Conviene ser preciso aquí. En ciberseguridad, la atribución rara vez llega con certezas absolutas. Se compone con rastros de infraestructura, reutilización de código, patrones operativos, tiempos, errores humanos, idioma interno, selección de víctimas y comportamiento del malware. Por eso los investigadores hablan con cautela, y hacen bien. Una cosa es afirmar que el kit existe, que ha sido observado y que ha pasado por manos distintas. Otra, mucho más delicada, es fijar con total seguridad su punto exacto de origen. Aun así, la combinación de indicios hace difícil sostener que se trata de un desarrollo cualquiera. Coruna no parece una pieza nacida en un sótano improvisado.

La propia Apple ya había reconocido en otras ocasiones que algunos fallos de WebKit o del procesamiento de contenidos podían estar siendo explotados en ataques “extremadamente sofisticados” contra objetivos específicos. Es una formulación sobria, casi seca, pero detrás de ella suele haber una realidad muy seria: intrusiones reales, técnicamente avanzadas y con capacidad de operar sin llamar la atención. El caso actual encaja en esa tradición, con una diferencia importante: la escala potencial y la diversidad de manos por las que ha pasado. Eso es lo que cambia el guion.

Lo que significa para Apple y para la seguridad del iPhone

Apple mantiene desde hace años una posición fuerte en materia de seguridad móvil. Y, en buena medida, con razón. El control cerrado del ecosistema, la velocidad relativa de los parches, la compartimentación del sistema y las funciones de protección añadidas han hecho del iPhone un entorno más resistente que otros en muchos escenarios. Pero resistente no es invulnerable. Coruna lo recuerda de la forma más incómoda posible. Ningún ecosistema, por pulido que parezca, queda a salvo cuando enfrente hay investigación ofensiva de muy alto nivel, presupuestos importantes y tiempo suficiente para pulir una cadena de intrusión.

Eso no equivale a decir que Apple haya perdido el control de iOS. Sería una exageración. Lo que sí evidencia el caso es otra cosa: que la carrera entre quien parchea y quien explota sigue completamente abierta. Apple corrige, endurece y eleva defensas; los atacantes buscan una grieta distinta, una combinación inesperada, una función secundaria que no parecía crítica y termina siéndolo. El ciclo se repite. Y cuando el hallazgo llega al mercado gris o al subsuelo criminal, el coste social se multiplica. El problema ya no es solo técnico; es también económico y geopolítico.

Dentro de las respuestas posibles, vuelve a aparecer Lockdown Mode, el modo de aislamiento reforzado de Apple. Nació pensado para perfiles con alto riesgo de ser objeto de ataques dirigidos: periodistas de investigación, activistas, responsables públicos, ejecutivos expuestos, opositores políticos. El caso Coruna devuelve esa función al centro del debate, porque demuestra que herramientas pensadas para operaciones muy selectivas pueden acabar derivando hacia usos más amplios. No convierte el modo de aislamiento en una solución mágica, pero sí en un recordatorio de algo esencial: la seguridad del iPhone depende también de cómo se configura, actualiza y restringe su superficie de ataque.

El detalle decisivo: la última versión de iOS queda fuera

En medio del ruido, hay un dato que importa mucho. Google sostiene que Coruna no funciona contra la versión más reciente de iOS. Eso sitúa el episodio dentro de una lógica conocida: las cadenas explotaban fallos reales, pero esos fallos iban quedando cerrados con el tiempo. La noticia, por tanto, no describe un agujero abierto de par en par en todos los iPhone actuales. Describe un arsenal muy serio que fue efectivo sobre un amplio rango de versiones y que perdió eficacia frente a los sistemas ya actualizados. El matiz importa, porque ayuda a ordenar el alcance del problema sin caer en alarmismo barato.

Aun así, la tranquilidad es relativa. La vida real de los dispositivos no sigue el ritmo ideal del laboratorio. Hay terminales que se actualizan tarde, otros que pasan semanas ignorando avisos, otros que permanecen en manos de usuarios que no saben exactamente qué versión llevan instalada. Ahí reside una parte importante de la superficie de riesgo. La seguridad móvil no se rompe solo por la sofisticación del atacante, también por la inercia cotidiana de los dispositivos mal mantenidos. Y esa inercia, en un ecosistema con cientos de millones de iPhone activos, nunca es pequeña.

Cuando la llave maestra empieza a circular

El fondo de esta historia no está solo en Apple, ni solo en Google, ni solo en el nombre de un kit concreto. Está en la circulación de las capacidades ofensivas. Coruna deja una impresión muy nítida: las herramientas desarrolladas para el espionaje más sofisticado pueden terminar reapareciendo en circuitos donde el objetivo ya no es vigilar a un adversario estatal, sino robar dinero, secuestrar accesos y explotar víctimas a mayor escala. Esa mutación debería preocupar mucho más que el dato puntual de una cadena de exploits. Porque una vulnerabilidad puede cerrarse; una infraestructura de compraventa, reutilización y fuga técnica es bastante más difícil de contener.

El caso también empuja a mirar el iPhone de otro modo. Durante años se ha instalado la idea —con parte de verdad— de que el móvil de Apple era el territorio menos permeable dentro del consumo masivo. Sigue siendo un entorno duro de penetrar. Pero justamente por eso, cuando aparece un kit como Coruna, el mensaje es más contundente. Si una herramienta así consigue moverse entre vigilancia comercial, espionaje geopolítico y delito económico, el problema deja de ser un incidente técnico y se convierte en una señal estructural. El arma digital ya no vive donde nació. Sale, circula, se adapta, cambia de manos y vuelve a aparecer donde menos conviene.

Eso es lo que convierte esta noticia en algo más que un sobresalto pasajero. No habla únicamente de un hackeo sofisticado, ni de una cadena brillante de exploits, ni de un descuido de Apple corregido a tiempo. Habla de un mercado opaco que recicla poder técnico y de una realidad cada vez más visible: la distancia entre el ciberespionaje de élite y la criminalidad digital rentable se está acortando. En ese espacio, el iPhone deja de ser solo un teléfono premium y pasa a ser lo que realmente es en 2026: la caja fuerte portátil de casi toda una vida digital. Y cuando la llave maestra empieza a circular, el temblor ya no afecta solo a una marca. Afecta al modelo entero.