Cuatro Meses de Espionaje Silencioso en tu iPhone
Desde noviembre de 2025, cientos de millones de iPhones fueron vulnerables a un exploit que nadie conocía. Se llama DarkSword, y no requería que instalaras nada, que abrieras un adjunto, ni que cayeras en un phishing. Solo visitar un sitio web comprometido era suficiente para que tu iPhone quedara totalmente expuesto.
El kit fue descubierto por Lookout y documentado por el Google Threat Intelligence Group (GTIG). Lo que encontraron fue una cadena de 6 vulnerabilidades — 3 de ellas zero-days — encadenadas para lograr control total del dispositivo. Actores estatales y proveedores comerciales de spyware lo usaron activamente contra usuarios en al menos cuatro países, incluyendo Ucrania.
Apple publicó el parche el 18 de marzo de 2026. Si tu iPhone no está en iOS 26.3.1 o 18.7.6, todavía estás expuesto.
Cómo Funciona DarkSword: 6 Vulnerabilidades en Cadena
DarkSword no es un exploit único — es una cadena completa escrita en JavaScript que se ejecuta desde el navegador. Así funciona la secuencia de ataque:
- Entrega (watering hole): La víctima visita un sitio web legítimo que fue comprometido, o uno malicioso diseñado específicamente. No hace falta interacción.
- Ejecución inicial: El JavaScript detecta si el dispositivo corre iOS 18.4 a 18.6.2. Si sí, explota la primera vulnerabilidad para obtener ejecución de código en el sandbox del browser.
- Escape de sandbox: Un segundo exploit (zero-day) rompe el aislamiento del browser y obtiene acceso al sistema de archivos.
- Escalación a kernel: El tercer zero-day escala privilegios hasta nivel kernel — acceso total al sistema operativo.
- Infostealer: El payload extrae credenciales, fotos, contactos, tokens de sesión, y datos de wallets de criptomonedas.
- Persistencia silenciosa: En algunas variantes documentadas, el implante persiste entre reinicios.
Google GTIG lo describe como "significativamente más sofisticado que exploits anteriores" y similar en estructura al kit Coruna, que fue usado por el grupo de espionaje ruso UNC6353 — el mismo grupo que ya incorporó DarkSword a sus operaciones.
Qué Roba y Quién Está Detrás
DarkSword no discrimina. Su lista de objetivos incluye:
- Credenciales guardadas: Contraseñas del keychain, logins de apps bancarias, tokens de autenticación
- Wallets de crypto: El infostealer apunta específicamente a apps de Coinbase, MetaMask, Trust Wallet y otras billeteras populares
- Datos de comunicación: Mensajes, contactos, historial de llamadas
- Fotos y documentos: Acceso completo al almacenamiento del dispositivo
- Ubicación y sensores: GPS, micrófono y cámara en versiones avanzadas del implante
Detrás del exploit hay dos tipos de actores. Primero, proveedores comerciales de spyware — el ecosistema de empresas que venden vigilancia gubernamental. Segundo, grupos de espionaje estatal, incluyendo UNC6353 con vínculos a Rusia, que usaron DarkSword en campañas de watering hole contra usuarios ucranianos.
El hecho de que múltiples actores distintos estén usando la misma cadena sugiere que DarkSword se comercializó o se filtró — el mercado de exploits iOS de nivel estado opera así.
Por Qué Esto Importa para Founders y CTOs
"Yo no soy un objetivo de espionaje estatal" es una respuesta comprensible, pero incompleta. El problema es el alcance: DarkSword fue diseñado inicialmente para espionaje, pero los infostealers financieros lo adoptaron rápidamente. Si manejas acceso a sistemas de producción, secretos empresariales, o crypto desde tu iPhone personal, eres un objetivo rentable para actores menos sofisticados que simplemente compraron acceso al kit.
Un founder cuyo iPhone está comprometido expone automáticamente: credenciales de AWS/GCP/Azure, tokens de GitHub, acceso a Slack y Linear, y potencialmente códigos 2FA de su empresa. Un dispositivo = superficie de ataque completa.
Qué Hacer Ahora
- Actualiza inmediatamente: iOS 26.3.1 o iOS 18.7.6 incluyen todos los parches de DarkSword. Ve a Ajustes → General → Actualización de software.
- Activa Lockdown Mode si eres alto riesgo: Si manejas información sensible o trabajas en sectores regulados, el Lockdown Mode de Apple bloquea JavaScript de sitios no conocidos, lo que habría prevenido este ataque.
- Revisa apps de crypto: Si usas wallets de crypto en tu iPhone, considera mover activos significativos a una hardware wallet (Ledger, Trezor). Los móviles no son el lugar para guardar crypto de alto valor.
- Audita sesiones activas: Revisa tokens activos en tus servicios críticos (GitHub, AWS, Google Workspace). Si el período de exposición coincide (noviembre 2025 — marzo 2026) y visitabas sitios en iOS sin Lockdown Mode, considera revocar y regenerar tokens.
- Seguridad móvil de flota: Si tu empresa tiene iPhones corporativos, verifica que el MDM fuerza actualizaciones automáticas. Un dispositivo sin parchear en tu red es una puerta de entrada.
La Realidad del Mercado de Exploits iOS
DarkSword no es un accidente. Es el resultado de un ecosistema donde un exploit iOS de cadena completa puede venderse por $2-5 millones en mercados privados. Grupos estatales y proveedores de spyware compiten por estas herramientas, y cuando se filtran o deprecian, bajan de precio y quedan en manos de actores más oportunistas.
Apple ha mejorado significativamente su tiempo de respuesta — cuatro meses desde la detección hasta el parche es más rápido que el histórico de la industria. Pero el vector de watering hole, sin interacción del usuario, sin señales visuales, es el más difícil de defender en la práctica.
Si quieres saber qué superficie de ataque tiene tu empresa desde dispositivos móviles y endpoints — y si hay exposiciones que no estás viendo — en Sable lo analizamos. También revisa nuestro research sobre superficies de ataque expuestas inadvertidamente para entender cómo se construye visibilidad real de seguridad.