Spear-phishing contra la encriptación: NSO, WhatsApp y la batalla por la seguridad móvil

WhatsApp ha anunciado que bloqueó campañas de spear‑phishing vinculadas, según su investigación, al conocido proveedor israelí de spyware NSO Group, en la última muestra de cómo las amenazas dirigidas se han desplazado de exploits técnicos puros a engaños sociales más sofisticados. La empresa afirma haber desactivado cuentas de prueba y grupos utilizados para las campañas y ha señalado una serie de dominios como indicadores de compromiso, un patrón consistente con ataques de “un solo clic” que redirigen a usuarios a sitios externos maliciosos.

Este episodio llega en el contexto de una larga controversia: NSO y su herramienta Pegasus han sido implicadas en intrusiones contra periodistas, activistas y funcionarios, y han sido objeto de demandas y resoluciones judiciales. Meta consiguió una orden judicial permanente en 2025 que le prohíbe dirigirse a WhatsApp y a sus usuarios, pero la compañía sostiene que esa prohibición no ha detenido por completo los intentos de la firma por encontrar nuevas vías de acceso. Meta también ha ofrecido un resumen público de su pesquisa y de las mitigaciones aplicadas en su blog oficial: el anuncio de Meta.

Es importante entender qué protege la encriptación de extremo a extremo y qué no: la E2E impide que actores externos lean mensajes en tránsito, pero no impide que un teléfono comprometido (por ejemplo, mediante un exploit que instala spyware) comparta pantallas, archivos o claves con un operador malicioso. En otras palabras, la vulnerabilidad a la que apuntan este tipo de campañas es el propio dispositivo y las decisiones del usuario al hacer clic en enlaces o ejecutar contenido.

La técnica descrita —spear‑phishing que induce a la víctima a abrir un enlace que desemboca en un sitio externo de ataque— es especialmente peligrosa porque explota la confianza y la curiosidad. Los atacantes crean apariencias plausibles, contactos falsos o abreviaciones que parecen legítimas. Además, el uso de dominios de apariencia inocua y de infraestructuras temporales dificulta la atribución inmediata y la toma de acciones automáticas por parte de defensores y proveedores de nube.

Para usuarios de dispositivos móviles de alto riesgo y para cualquier persona preocupada por su seguridad, conviene aplicar medidas concretas y continuas: mantener el sistema operativo y las apps actualizadas, activar mecanismos diseñados para reducir la superficie de ataque (por ejemplo, el modo de bloqueo de Apple —Lockdown Mode— y el programa de Protección Avanzada de Google), revisar permisos de apps y evitar abrir enlaces no solicitados incluso si llegan desde contactos conocidos sin verificar, y usar métodos fuera de banda para confirmar solicitudes sensibles. Apple explica Lockdown Mode en su web de soporte: soporte de Apple: Lockdown Mode, y Google describe su iniciativa de protección avanzada aquí: Google Advanced Protection.

Más allá de las recomendaciones técnicas para usuarios, este caso subraya una tensión mayor: las órdenes judiciales y las sanciones tienen impacto pero no son sustituto de controles técnicos y de cooperación internacional. Los proveedores de plataformas pueden detectar y bloquear cuentas y dominios, pero los proveedores de spyware adaptan tácticas y pueden buscar nuevos vectores, lo que exige una respuesta coordinada entre empresas tecnológicas, reguladores y fuerzas de seguridad para degradar la infraestructura de ataque y perseguir a los operadores.

Para organizaciones de medios, ONG y equipos de seguridad que protegen a personas en riesgo, la defensa debe incluir pruebas regulares de resistencia (simulaciones de phishing y revisión de telemetría), políticas estrictas de gestión de dispositivos y planes de respuesta que contemplen la necesidad de cambiar de dispositivo o de números cuando se sospeche una infección. También es crítico que los incidentes se reporten a las plataformas para que puedan tomar down‑streams y a las autoridades para crear evidencia que facilite la acción legal.

En última instancia, la lección es que la seguridad móvil es una capa compuesta: encriptación, higiene de usuario, endurecimiento del sistema y cooperación institucional deben funcionar juntas. Los usuarios habituales pueden reducir su riesgo con buenas prácticas y las protecciones mencionadas; quienes están en el punto de mira deben adoptar defensas adicionales y contar con asesoría especializada. La detección temprana y la desactivación de infraestructuras maliciosas por parte de plataformas es positiva, pero no sustituye la necesidad de medidas tecnológicas y legales sostenidas para contener amenazas comerciales como las atribuidas a NSO.