Pegasus & cía.: cuando tu móvil se convierte en un micrófono oculto
«Pero si tengo un iPhone». Esa tranquilidad no resiste el contacto con la realidad. El spyware mercenario comercial —sobre todo Pegasus, de NSO Group, pero también Predator/Intellexa y otros— convierte los smartphones en micrófonos ocultos completos: micrófono, cámara, mensajes, ubicación, todo.
Zero-click: sin necesidad de tocar nada
Lo perverso: muchas infecciones no requieren ninguna interacción. Un exploit llamado zero-click llega, por ejemplo, a través de un mensaje manipulado (iMessage, WhatsApp) que nunca tienes que abrir. Lo han documentado, entre otros, Citizen Lab y Amnistía Internacional; los objetivos han sido una y otra vez periodistas, activistas, abogados y disidentes.
Ambas plataformas afectadas
Ni iOS ni Android son inmunes. Apple se considera reforzado y, aun así, ha habido infecciones de Pegasus en iPhones. En Android, mucho depende de cuánta superficie de ataque ofrecen el sistema y las apps instaladas. Ningún sistema operativo es «seguro»; se trata de superficie de ataque y de profundidad de defensa.
Reduce la superficie de ataque
- Menos es más: el menor número posible de apps, ninguna mensajería innecesaria. Cada app es un posible punto de entrada.
- Sistema reforzado: en Android, GrapheneOS reduce considerablemente la superficie de ataque (la base de nuestros ZERO Phone). En iPhone ayuda el Modo de aislamiento (Lockdown Mode).
- Actualiza de inmediato: los parches cierran exploits conocidos; cada retraso es un riesgo.
- Compartimenta y reinicia: perfiles separados; los reinicios periódicos expulsan algunos implantes (no persistentes).
- Nivel de hardware: para perfiles de alto riesgo, retirar físicamente micrófonos y cámaras es la opción sin concesiones: lo que está comprometido a nivel de software no puede escuchar a través de un hardware que no existe.
Detectarlo es difícil
El spyware mercenario está diseñado para ser invisible. El Mobile Verification Toolkit (MVT) de Amnistía puede encontrar rastros forenses, pero no es una herramienta para usar a la ligera. El mensaje honesto: no confíes en la detección, confía en una superficie de ataque pequeña.
Por qué nos importa
Precisamente este modelo de amenaza es la razón por la que el hardware reforzado y auditable y la minimización de datos no son un lujo. No todo el mundo es objetivo de Pegasus, pero los principios que protegen contra él mejoran cualquier dispositivo.