Cuando una descarga falsa te espía: el caso WhatsApp y el auge de la vigilancia corporativa

WhatsApp ha detectado una campaña en la que unos 200 usuarios fueron inducidos a instalar en sus iPhones una versión falsa de la app que venía infectada con spyware. La mayoría de las personas afectadas, según informes de prensa, estaban en Italia, y la técnica empleada por los atacantes fue básicamente de ingeniería social: convencer a la víctima de que instalara un software que se hacía pasar por la aplicación legítima.

La compañía asegura que todos los usuarios identificados han sido desconectados de sus cuentas y que se les ha recomendado eliminar la aplicación maliciosa y reinstalar la versión oficial de WhatsApp. Asimismo, Meta ha anunciado medidas contra Asigint, una filial italiana de la empresa SIO a la que atribuye la creación de esa copia fraudulenta. En su propio material comercial, Asigint (y otras firmas del sector) ofrecen herramientas de vigilancia a cuerpos policiales, agencias de inteligencia y gobiernos para tareas que van desde la monitorización de sospechosos hasta operaciones encubiertas.

Este episodio no es aislado. En diciembre de 2025 un reportaje técnico señaló a SIO como responsable de un conjunto de aplicaciones Android que suplantaban a servicios populares y utilizaban una familia de spyware bautizada como Spyrtacus para extraer datos privados de los dispositivos. Se dijo que esos paquetes habrían sido desplegados por un cliente gubernamental contra objetivos en Italia. El fenómeno encaja en un panorama más amplio: en los últimos años han surgido en Italia varios proveedores comerciales de herramientas de vigilancia —nombres como Cy4Gate, eSurv, GR Sistemi, Negg, Raxir o RCS Lab han aparecido repetidamente en las investigaciones—, hasta el punto de que algunos analistas describen al país como un foco europeo de estas tecnologías.

WhatsApp ya había alertado anteriormente sobre campañas con spyware. A principios de 2025 avisó a cerca de 90 usuarios que pudieron ser blanco de Graphite, el spyware atribuido a la compañía Paragon Solutions. Más tarde, en agosto de ese mismo año, notificó a otros centenares de usuarios que pudieron haber sido víctimas de una operación sofisticada que encadenaba vulnerabilidades desconocidas (zero-days) en iOS y en la propia app.

La circulación y el uso de estas herramientas han terminado, además, en los tribunales. En Grecia, el fundador del consorcio Intellexa, Tal Dilian, y tres colaboradores fueron condenados por la utilización ilegal del spyware Predator para vigilar a políticos, periodistas y empresarios, en un escándalo que se conoció como "Predatorgate" o "Greek Watergate". Ese caso llevó al Parlamento Europeo a abrir una investigación sobre el uso de este tipo de tecnologías, aunque las investigaciones y las decisiones judiciales posteriores han sido complejas y contradictorias: una ley aprobada en Grecia reguló y, bajo condiciones estrictas, legalizó el uso gubernamental de ciertas herramientas; meses después, el Tribunal Supremo griego absolvió a la inteligencia estatal y a funcionarios implicados en algunos procesos. Organizaciones de derechos humanos han subrayado la necesidad de transparencia y reparación para las víctimas.

En España, por su parte, la investigación sobre el uso del spyware Pegasus, desarrollado por NSO Group, experimentó un cierre judicial en enero de 2026 debido a la falta de cooperación de las autoridades israelíes, en un caso que se remonta a 2022 y que involucró dispositivos del propio primer ministro y de la ministra de Defensa. La pauta se repite en varios países: empresas como NSO o Intellexa defienden que sus productos sólo se licencian a Estados para luchar contra delitos graves y proteger la seguridad nacional, mientras que críticos y víctimas denuncian abusos, falta de control y daños a derechos fundamentales.

¿Qué puede hacer un usuario para reducir el riesgo? En primer lugar, descargar siempre las aplicaciones desde las tiendas oficiales o desde los canales verificados del propio desarrollador y desconfiar de enlaces o instrucciones para instalar aplicaciones desde fuera del ecosistema oficial. Mantener iOS actualizado es otra barrera importante, porque muchas explotaciones se basan en fallos que los parches corrigen. WhatsApp y otras plataformas recomiendan además activar la verificación en dos pasos para la cuenta, revisar perfiles de administración del dispositivo (como perfiles MDM) y, ante la sospecha de una infección, hacer una limpieza completa del terminal o consultar con un servicio técnico fiable.

El debate público que rodea a estas tecnologías obliga a preguntarse por los límites entre seguridad y derechos. Mientras algunos gobiernos apelan a la necesidad de herramientas potentes para combatir la delincuencia y el terrorismo, las consecuencias prácticas de su mal uso —vigilancia indebida a periodistas, activistas o adversarios políticos— han llevado a investigaciones y demandas en varios países, así como a demandas de mayor transparencia y control. Para entender mejor este terreno conviene consultar tanto las declaraciones oficiales de las empresas implicadas como los informes de periodistas de investigación y de organizaciones de derechos humanos.

Si quieres profundizar, puedes leer las notas y coberturas de los medios y organizaciones que han seguido estos casos: la cobertura de prensa generalista en La Repubblica y la agencia ANSA, el espacio informativo de WhatsApp, trabajos de investigación tecnológica en TechCrunch, y análisis y demandas de transparencia en páginas como Amnesty International o instituciones como el Parlamento Europeo. Para coberturas internacionales y seguimiento judicial, los archivos de Reuters o periódicos con seguimiento riguroso también son recursos valiosos.

En definitiva, los incidentes recientes recuerdan que la amenaza no es solo técnica sino también humana: la ingeniería social sigue siendo la puerta de entrada más efectiva para actores maliciosos. La defensa pasa por información, buenas prácticas y, sobre todo, transparencia y control sobre quién produce y vende estas herramientas de intrusión.