La suposición común entre los expertos en seguridad del iPhone ha sido que encontrar vulnerabilidades y desarrollar exploits para iOS era difícil, y requería mucho tiempo, recursos y equipos de investigadores capacitados para romper las capas de defensas de seguridad. Eso significaba que el software espía del iPhone y las vulnerabilidades de día cero, que el proveedor de software no conoce antes de ser explotadas, eran raros y solo se usaban en ataques limitados y dirigidos, como dice la propia Apple.
Pero en el último mes, investigadores de ciberseguridad de Google, iVerify y Lookout han documentado varias campañas de piratería a gran escala utilizando herramientas conocidas como Coruna y DarkSword, que han estado apuntando casi indiscriminadamente a víctimas de todo el mundo que aún no ejecutan el software más actualizado de Apple. Algunos de los piratas informáticos detrás de estos ataques incluyen espías rusos y ciberdelincuentes chinos, y atacan a sus víctimas a través de sitios web pirateados o páginas falsas, lo que les permite robar datos telefónicos de una gran cantidad de víctimas.
Ahora, algunas de estas herramientas se han filtrado en línea, lo que permite a cualquiera tomar el código y lanzar fácilmente sus propios ataques contra usuarios de Apple que ejecutan versiones anteriores de iOS.
Apple ha invertido importantes recursos en nuevas tecnologías de seguridad y desarrollo, como la introducción de códigos de memoria segura para sus últimos modelos de iPhone y el lanzamiento de funciones como el modo de bloqueo específicamente para contrarrestar posibles ataques de software espía. El objetivo ha sido hacer que los iPhone modernos sean más seguros y reforzar la afirmación de que el iPhone es muy difícil de piratear.
Pero todavía hay muchos iPhones antiguos y desactualizados que ahora son objetivos más fáciles para los ciberdelincuentes y espías que utilizan software espía.
Ahora existen esencialmente dos clases de seguridad para usuarios de iPhone.
Los usuarios del último iOS 26 que se ejecuta en los modelos de iPhone 17 más recientes lanzados en 2025 tienen una nueva característica de seguridad llamada Memory Integrity Enforcement, que está diseñada para detener errores de corrupción de memoria, algunas de las fallas más comúnmente explotadas utilizadas en ataques de software espía y desbloqueo de teléfonos. DarkSword dependía en gran medida de errores de corrupción de memoria, según Google.
Luego, están los usuarios de iPhone que todavía ejecutan la versión anterior del software móvil de Apple, iOS 18, o incluso versiones anteriores, que han sido vulnerables a ataques basados en la memoria y otros exploits en el pasado.
Contáctenos
¿Tiene más información sobre DarkSword, Coruña u otras herramientas de software espía y piratería del gobierno? Desde un dispositivo que no sea del trabajo, puede comunicarse con Lorenzo Franceschi-Bicchierai de forma segura en Signal al +1 917 257 1382, o mediante Telegram, Keybase y Wire @lorenzofb, o por correo electrónico.
El descubrimiento de Coruña y DarkSword sugiere que los ataques basados en la memoria podrían seguir afectando a los usuarios de iPhones y iPads más antiguos que van a la zaga de los modelos más nuevos y con mayor seguridad de memoria.
Los expertos que trabajan para iVerify y Lookout, dos empresas de ciberseguridad que tienen un interés comercial en la venta de productos de seguridad para dispositivos móviles, dicen que Coruña y DarkSword también pueden cuestionar la suposición de larga data de que los hackeos de iPhone son raros.
El cofundador de iVerify, Matthias Frielingsdorf, dijo a TechCrunch que los ataques móviles ahora están «generalizados», pero también dijo que los ataques que se basan en días cero contra el software más actualizado «siempre se cobrarán a una tarifa superior», lo que implica que no se utilizarán para piratear personas a gran escala.
Patrick Wardle, un experto en seguridad de Apple, dijo que un problema es que la gente considera que los ataques contra iPhone son raros o sofisticados simplemente porque rara vez están documentados. Pero la realidad, dijo, es que estos ataques pueden estar ahí fuera pero no siempre son detectados.
«Llamarlos ‘muy avanzados’ es un poco como llamar avanzados a los tanques o misiles», dijo Wardle a TechCrunch. «Es cierto, pero no entiende el punto. Esa es simplemente la capacidad básica a ese nivel, y todas (la mayoría) de las naciones las tienen (o pueden adquirirlas por el precio correcto)».
Otro problema destacado por Coruña y DarkSword es que ahora existe un mercado de “segunda mano” aparentemente próspero, que crea un incentivo financiero “para que los desarrolladores de exploits y los corredores individuales reciban esencialmente el doble de dinero por el mismo exploit”, según Justin Albrecht, investigador principal de Lookout.
Especialmente cuando se parchea el exploit inicial, tiene sentido que los corredores lo revendan antes de que todos actualicen.
«Este no es un evento único, sino más bien una señal de lo que vendrá», dijo Albrecht a TechCrunch.