Sekoia: sitios web falsos espían a usuarios de iPhone y Android

Cómo funcionan los ataques

Los piratas crearon páginas que imitan a otras reales para atraer a las víctimas. Un ejemplo copiaba un sitio relacionado con el 250.º aniversario de la independencia de Estados Unidos: usaba una dirección parecida a la original y añadía código malicioso que se ejecuta nada más abrir la página. Otros señuelos aludían a la guerra entre Rusia y Ucrania, y un sitio falso simulaba la web oficial del hotel Raffles de Londres. También se emplearon invitaciones de calendario falsas, avisos de eventos y mensajes elaborados con cuidado para que los objetivos abrieran enlaces.

El ataque avanza por fases. Código JavaScript examina el navegador, el tipo de dispositivo y el sistema operativo. Con esos datos, los atacantes eligen entre tres cadenas de vulnerabilidades distintas. Algunos ataques usan la técnica conocida como «zero-click», que no exige que la víctima pulse un enlace ni descargue un archivo tras llegar el ataque al dispositivo.

Por qué las fallas antiguas siguen siendo un riesgo

Las campañas se basan en vulnerabilidades «N-day»: fallos ya conocidos y corregidos mediante actualizaciones oficiales, pero que siguen siendo explotables en los equipos que no se han actualizado. Quien pospone la actualización puede seguir expuesto aunque el fabricante ya haya publicado la solución.

Las recomendaciones son claras: instalar cuanto antes la última versión de iOS o Android, mantener al día aplicaciones y navegador, evitar enlaces de mensajes inesperados o invitaciones de calendario desconocidas y comprobar la dirección del sitio antes de introducir datos personales, ya que una página falsa puede verse idéntica a la auténtica. Retrasar la actualización no es solo perderse funciones nuevas: puede dejar el teléfono abierto a ataques conocidos que se usan para espiar y robar datos.