¿Qué es un ataque zero-click y cómo hackea tu móvil sin tocar nada?

Un ataque zero-click es una intrusión informática capaz de aprovechar una vulnerabilidad del móvil, una aplicación o un servicio sin que la víctima tenga que pulsar un enlace, abrir un archivo, contestar una llamada o instalar nada. El dispositivo recibe determinado contenido, lo procesa automáticamente y, si existe un fallo explotable, ese simple procesamiento puede abrir la puerta al atacante.

Ahí está lo inquietante. En el phishing clásico suele existir una trampa visible: un SMS urgente, una web falsa, un documento sospechoso. En un zero-click, en cambio, el usuario puede estar durmiendo mientras el teléfono recibe y analiza silenciosamente un mensaje especialmente manipulado. No hace falta equivocarse. Es la propia automatización del sistema la que puede terminar ejecutando una cadena para la que nunca fue diseñada.

Eso no significa que cualquiera pueda hackear cualquier móvil con mandar un WhatsApp. Estos ataques suelen requerir vulnerabilidades muy concretas, conocimientos técnicos extraordinarios y una infraestructura costosa. Precisamente por eso aparecen asociados con frecuencia al espionaje dirigido y al llamado spyware mercenario, utilizado contra objetivos seleccionados y no, por regla general, contra millones de usuarios indiscriminadamente.

Cómo funciona un ataque zero-click sin que pulses nada

Los teléfonos actuales hacen infinidad de cosas antes incluso de que miremos la pantalla. Reciben mensajes, generan vistas previas, interpretan fotografías, descodifican vídeos, procesan fuentes tipográficas, preparan notificaciones o gestionan llamadas entrantes. Todo sucede deprisa y en segundo plano. Normalmente es pura comodidad; el problema aparece cuando alguno de esos procesos automáticos contiene un error de programación.

Un atacante puede preparar un archivo o una secuencia de datos construida específicamente para que, al ser procesada, provoque un comportamiento imprevisto. El contenido puede llegar mediante una aplicación de mensajería, un servicio del sistema u otro canal que acepte información desde Internet. La víctima no necesita abrirlo: basta, en determinados ataques, con que el software vulnerable procese los datos recibidos.

Un ejemplo conocido fue BLASTPASS, una cadena de explotación descubierta en 2023 que permitía comprometer determinados iPhone mediante archivos enviados a través de iMessage sin intervención de la víctima. La operación fue relacionada con Pegasus, el conocido software espía desarrollado por NSO Group.

El mensaje puede ser invisible y el móvil procesarlo igualmente

Un zero-click ni siquiera tiene que comportarse como un mensaje corriente. Puede aprovechar funciones internas que se activan antes de que el contenido llegue a mostrarse de una manera reconocible. El teléfono recibe información, la examina, intenta generar una vista previa o interpreta alguno de sus componentes y ahí, en una tarea rutinaria que dura una fracción de segundo, puede encontrarse el fallo explotable.

La llamada Operation Triangulation, descubierta por investigadores de Kaspersky, mostró hasta dónde puede llegar este modelo. La campaña utilizaba una cadena de exploits enviada mediante iMessage y era capaz de iniciar la infección sin ninguna acción consciente de la persona atacada. Un mensaje entra, el sistema hace su trabajo y, precisamente porque lo hace, se activa el ataque.

Por eso el consejo universal de no pulsar enlaces sospechosos se queda corto ante esta amenaza. Sigue siendo esencial contra buena parte del fraude digital, desde el phishing hasta muchas estafas por SMS, pero frente a un zero-click auténtico el clic sencillamente no forma parte de la ecuación.

Zero-click y zero-day no significan lo mismo

Los dos términos aparecen tantas veces juntos que es fácil mezclarlos. Zero-click describe un ataque que no requiere una acción deliberada de la víctima. Zero-day, en cambio, se refiere a una vulnerabilidad que todavía no dispone de una corrección efectiva cuando comienza a ser explotada, normalmente porque el fabricante aún no la conoce o no ha publicado el parche.

Un mismo ataque puede ser zero-click y utilizar al mismo tiempo una vulnerabilidad zero-day, una combinación especialmente delicada porque el usuario no tiene que cometer ningún error y, además, puede no existir todavía una actualización capaz de detenerlo. Zero-click y zero-day, por tanto, describen dos características distintas que pueden coincidir en una misma ofensiva.

Pero no siempre van de la mano. Un atacante también puede emplear una vulnerabilidad que ya ha sido corregida si encuentra dispositivos que continúan utilizando versiones antiguas. Esa diferencia explica algo aparentemente trivial pero decisivo: posponer durante meses las actualizaciones deja abiertas puertas que el fabricante ya había cerrado.

Por qué los móviles son un objetivo tan atractivo

El smartphone es una pequeña caja negra llena de nuestra vida digital. Fotografías, conversaciones, correos, contactos, documentos, ubicación, credenciales, micrófono y cámara viajan juntos en un aparato que llevamos encima desde que salimos de casa hasta que lo dejamos sobre la mesilla. Para un atacante especializado, acceder a ese dispositivo puede valer muchísimo más que entrar en un ordenador secundario.

Incluso el cifrado de extremo a extremo tiene un límite evidente: protege los mensajes mientras viajan entre dispositivos, pero en algún momento el teléfono del destinatario tiene que descifrarlos para mostrarlos. Si el propio terminal está comprometido con privilegios suficientes, el atacante puede intentar acceder a información en el punto en el que ya resulta legible para su propietario.

A esto se suma una superficie de ataque enorme. WhatsApp, iMessage, navegadores, componentes gráficos, servicios multimedia y numerosas funciones del sistema reciben información desde fuera continuamente. Los fabricantes intentan aislar esos procesos mediante sandboxes, compartimentos que restringen lo que una aplicación puede tocar, además de controles de memoria y otras barreras. Los atacantes más sofisticados buscan precisamente cómo saltarlas.

No es teoría de laboratorio. En 2025 se conoció una investigación sobre herramientas vinculadas a Paragon Solutions después de que WhatsApp identificara y mitigara un exploit zero-click. La plataforma notificó a alrededor de 90 cuentas que consideraba objetivos de aquella operación, incluidas personas relacionadas con el periodismo y la sociedad civil.

La escala ayuda a poner el asunto en perspectiva. Un zero-click puede ser formidable, pero normalmente no es la navaja multiusos del ciberdelincuente que dispara miles de mensajes al azar. Son capacidades caras y valiosas, más compatibles con operaciones selectivas de vigilancia que con el típico estafador que manda diez mil SMS fingiendo ser una empresa de paquetería.

Qué puede hacer un atacante después de entrar

Conseguir ejecutar código mediante el primer fallo no siempre equivale a controlar inmediatamente todo el dispositivo. Los sistemas modernos están construidos en capas de seguridad. Una aplicación puede funcionar dentro de un entorno restringido y carecer de permiso para leer determinados archivos, activar sensores o husmear en la información de otras aplicaciones.

Por eso algunos ataques avanzados encadenan varias vulnerabilidades. Una permite ejecutar código; otra ayuda a escapar del aislamiento; una tercera consigue privilegios más elevados. FORCEDENTRY, otra conocida cadena zero-click relacionada con Pegasus, mostró precisamente lo sofisticado que puede resultar este recorrido a través de distintas defensas del sistema.

El resultado potencial depende de cada cadena concreta. Una infección suficientemente potente puede intentar extraer conversaciones, fotografías, archivos, credenciales o información de localización, además de aprovechar determinadas capacidades del propio terminal. Algunos programas de spyware avanzado han sido diseñados precisamente para recopilar grandes cantidades de información sin llamar la atención.

Eso no significa que cualquier comportamiento raro del teléfono demuestre un espionaje. Una batería que dura menos puede estar envejeciendo; un móvil caliente quizá esté actualizando veinte aplicaciones mientras su dueño imagina una película de agentes secretos. Los síntomas aislados no permiten diagnosticar un ataque zero-click y las infecciones más sofisticadas están pensadas, justamente, para dejar pocas pistas visibles.

Cuando existen indicios serios, especialmente una alerta oficial de amenaza enviada por el fabricante o una plataforma, la situación cambia. Un análisis fiable puede exigir herramientas forenses y conocimientos especializados porque comprobar una infección de este nivel va bastante más allá de mirar las aplicaciones instaladas.

Cómo proteger el móvil de un ataque que no necesita engañarte

La defensa cotidiana más importante resulta poco espectacular: mantener actualizado el sistema operativo y las aplicaciones. Cuando Apple, Google, Meta u otro fabricante corrigen una vulnerabilidad explotable, seguir utilizando una versión antigua prolonga innecesariamente el tiempo durante el cual ese agujero permanece disponible.

Actualizar importa especialmente porque no todos los ataques utilizan fallos inéditos. Una vulnerabilidad puede dejar de ser zero-day cuando se publica su corrección y continuar siendo tremendamente útil contra los teléfonos cuyos propietarios llevan semanas o meses aplazando la instalación. Los fallos ya conocidos siguen teniendo valor para un atacante mientras existan dispositivos sin parchear. El botón de «recordármelo más tarde» también envejece, y no siempre bien.

Apple dispone además del Modo de Aislamiento, conocido internacionalmente como Lockdown Mode, una protección extrema destinada sobre todo a personas que, por su actividad o perfil, puedan convertirse en objetivos de spyware mercenario muy sofisticado. Este modo limita determinadas funciones y reduce superficies que podrían utilizarse para lanzar un ataque.

Android cuenta igualmente con Protección Avanzada, una configuración reforzada que agrupa distintas defensas del dispositivo. No convierte el teléfono en una fortaleza inexpugnable —esa promesa sería bastante poco seria—, pero puede aumentar las barreras frente a determinadas técnicas de intrusión y dificultar la desactivación de protecciones relevantes.

Para la inmensa mayoría de usuarios, mantener el móvil y sus aplicaciones al día sigue teniendo más impacto práctico que obsesionarse con detectar señales invisibles. Para personas especialmente expuestas, las protecciones reforzadas de los sistemas modernos aportan una capa adicional que cobra sentido precisamente porque un zero-click no necesita convencer a la víctima de nada.

El peligro está precisamente en lo que el teléfono hace solo

Los ataques zero-click muestran una paradoja incómoda de la tecnología moderna: algunas de las funciones que hacen invisible la informática también pueden hacer invisible el ataque. Queremos que una fotografía aparezca al instante, que una llamada se identifique sola y que el móvil prepare una notificación antes de sacarlo del bolsillo. Para lograrlo, el dispositivo procesa información constantemente sin pedir permiso a cada paso.

Ese automatismo es justamente el terreno que explota un zero-click cuando encuentra una vulnerabilidad adecuada. No convierte los smartphones en dispositivos indefendibles; al contrario, las actualizaciones, el aislamiento de procesos, los controles de memoria y las restricciones de seguridad han elevado mucho el coste técnico de estas operaciones y han obligado a sus responsables a buscar cadenas cada vez más complejas.

Pero sí desmonta una idea bastante arraigada: que todos los hackeos empiezan porque alguien hizo algo mal. A veces no hay enlace imprudente, archivo abierto ni contraseña entregada. El ataque llega y el software comete el error. Esa es, precisamente, la característica que hace diferente a un ataque zero-click.