Por el equipo de Smili Phone
Investigadores de Sekoia publicaron hallazgos el 4 de noviembre de 2026 sobre una campaña llamada Poisoned Source, un recordatorio de que lo más peligroso en un teléfono suele ser la actualización que sigues posponiendo. La campaña se vincula a APT29, el grupo ligado a Rusia también conocido como Cozy Bear, y ataca iPhones y Android sin actualizar. Cada falla ya tiene corrección. La campaña funciona porque muchísimos teléfonos nunca la reciben.
Cómo funciona el ataque
Los atacantes no enviaron un mensaje sospechoso ni un archivo extraño. Comprometieron sitios web comunes, crearon páginas falsas y alteraron una copia del script de analítica Plerdy SEO Tracker entre el 27 de agosto y el 3 de septiembre. Cuando alguien visitaba una de esas páginas desde un teléfono, un pequeño script revisaba el dispositivo y el navegador, y entregaba una cadena de exploits adaptada a ese teléfono. Nada en la página se veía mal, y la persona no tenía que hacer clic en nada ni descargar nada. Visitar la página bastaba.
Lo que los atacantes pueden robar
El daño depende de la antigüedad del software. En iPhones con iOS 16.7, una cadena usó la falla de WebKit CVE-2024-27834 para robar las cookies del navegador. En teléfonos con iOS 18.5, una cadena más pesada llamada DarkSword extrae casi todo: mensajes, correo, datos de WhatsApp y Telegram, contraseñas de Keychain y fotos. Los Android con Chrome 139 a 145 recibieron otra cadena que roba datos de Chrome y contraseñas de Wi-Fi guardadas. El patrón es el mismo siempre. Mientras más viejo el software, más alcanzan los atacantes.
La corrección ya existe
Apple corrigió CVE-2024-27834 en mayo de 2024, en iOS 17.5 y iOS 16.7.8, y las correcciones para las demás fallas también están publicadas. El 4 de noviembre, la agencia de ciberseguridad CISA añadió CVE-2024-27834 a su lista de Vulnerabilidades Conocidas Explotadas, así que las agencias federales deben corregirla antes del 18 de noviembre. Para los demás, la solución es la misma y es gratis: instalar el software más reciente que el teléfono pueda correr. Un teléfono actualizado no es vulnerable a estas cadenas.
Revisa tu teléfono en dos minutos
En un iPhone o iPad, abre Ajustes, General, Actualización de software, e instala lo pendiente. En Android, actualiza Chrome desde Play Store, luego busca la actualización del sistema en Ajustes y confirma un nivel de parche reciente. Si tu iPhone es demasiado viejo para una versión actual de iOS, retíralo de todo lo que toque correo de trabajo, banca o cuentas de la empresa. Quienes podrían ser objetivo, como el personal que trabaja con clientes del gobierno o de defensa, también deberían activar el Modo de aislamiento, que refuerza el navegador y las apps de mensajes contra este tipo de ataque.
A los atacantes les encanta el software viejo porque nunca se defiende. Un teléfono con dos años en la misma versión de iOS es una puerta abierta, y quienes entran son organizados y pacientes. La defensa no cuesta nada y toma dos minutos. Actualiza el teléfono, actualiza el navegador y la puerta se cierra. Si tu teléfono no se actualiza, o no estás seguro de si está al día, pásate por nuestra tienda en Escondido y lo revisamos en persona.
Relacionado: Tu teléfono tiene un modo de seguridad oculto que vale la pena activar · El SMS de la muerte de Android y el texto oculto que corta llamadas
