WhatsApp detecta nueva actividad de spyware del Grupo NSO de Israel pese a una orden judicial

WhatsApp afirma haber descubierto nuevos ataques relacionados con spyware vinculados al Grupo NSO, el controvertido proveedor israelí de vigilancia responsable del spyware Pegasus. La compañía solicita ahora a un tribunal estadounidense que declare a NSO en desacato por presuntamente violar una orden judicial permanente que le prohibía atacar a los usuarios de WhatsApp.

Aspectos clave

• WhatsApp asegura haber interrumpido nuevos intentos de distribución de spyware vinculados al Grupo NSO.
• Meta busca una orden de desacato, argumentando que NSO violó una medida cautelar emitida tras una histórica victoria judicial.
• Los ataques más recientes habrían utilizado tácticas similares al phishing para engañar a los usuarios y hacer que hicieran clic en enlaces maliciosos.
• Los proveedores de spyware comercial continúan representando un riesgo para periodistas, activistas, funcionarios gubernamentales y otros objetivos de alto perfil.
• El incidente demuestra por qué la regulación del spyware y una mayor protección de los dispositivos siguen siendo fundamentales.

¿Qué es el spyware Pegasus?

Pegasus es una de las herramientas de vigilancia más conocidas del mundo. Una vez instalada en un dispositivo, puede acceder a mensajes, fotografías, micrófonos, cámaras, datos de ubicación y otra información sensible.

Durante los últimos años, investigaciones realizadas por expertos en seguridad y organizaciones de derechos humanos han vinculado infecciones de Pegasus con campañas de vigilancia dirigidas contra periodistas, disidentes políticos, activistas, abogados, diplomáticos y críticos de gobiernos en todo el mundo.

La demanda original de WhatsApp, presentada en 2019, alegaba que NSO explotó vulnerabilidades de la plataforma de mensajería para infectar a usuarios con el spyware Pegasus.

El caso se convirtió en uno de los desafíos legales más importantes jamás presentados contra la industria del spyware comercial.

WhatsApp detecta nuevos ataques de spyware en su plataforma

Meta, empresa matriz de WhatsApp, anunció esta semana que la aplicación detectó y desarticuló una nueva campaña que involucraba cuentas y grupos presuntamente vinculados al Grupo NSO.

Según la compañía, la actividad se asemejaba a métodos previos de despliegue de Pegasus e incluía intentos de spear phishing diseñados para atraer a las víctimas hacia sitios web maliciosos.

Según la publicación de Meta del 8 de junio:

Interrumpimos con éxito intentos de ingeniería social vinculados a NSO tras investigar reportes de usuarios. Intentaron engañar a las personas para que hicieran clic en enlaces maliciosos que las dirigían a sitios web externos fuera de WhatsApp, de manera similar a campañas de phishing de un solo clic previamente asociadas con NSO. También detectamos la creación de cuentas y grupos de prueba en WhatsApp, que fueron eliminados.

La medida llega después de que WhatsApp obtuviera una importante victoria judicial contra el Grupo NSO hace aproximadamente un año, cuando un tribunal estadounidense prohibió permanentemente al proveedor de spyware atacar a WhatsApp o a sus usuarios. El tribunal determinó que NSO era responsable de explotar WhatsApp para desplegar el spyware Pegasus.

Meta afirmó que esta actividad recientemente descubierta demuestra que NSO continúa desarrollando y desplegando capacidades de spyware a pesar de las restricciones legales y de su inclusión en la Lista de Entidades del Departamento de Comercio de Estados Unidos.

La empresa también está compartiendo los dominios maliciosos (URL) asociados con esta nueva campaña “para que cualquier persona pueda comprobar si fue objetivo de intentos de ingeniería social vinculados a NSO en cualquier plataforma, ya sea mediante mensajes de texto, correo electrónico, mensajes de WhatsApp u otros canales”.

Dominios maliciosos

hxxps://ikhwancast[.]com

hxxps://ghazacast[.]com

hxxps://fr24cast[.]com

De los ataques sin clic a los ataques de un clic

La campaña más reciente parece diferir de algunas de las operaciones más sofisticadas utilizadas anteriormente por Pegasus.

Según los informes, los nuevos ataques recurrieron a técnicas conocidas como “one-click” (un clic), que requieren que la víctima interactúe con un enlace malicioso. Las campañas anteriores de Pegasus a menudo explotaban vulnerabilidades “zero-click” (sin clic), comprometiendo dispositivos sin necesidad de ninguna interacción por parte del usuario.

Aunque requerir un clic pueda parecer menos peligroso, el phishing sigue siendo una de las técnicas de ataque más efectivas disponibles tanto para ciberdelincuentes como para operadores de spyware. Los mensajes cuidadosamente elaborados que suplantan a bancos, servicios de entrega, empleadores o agencias gubernamentales aún pueden convencer a las víctimas de interactuar con contenido malicioso.

Señales de alerta de una infección por spyware

El spyware avanzado es difícil de detectar, y muchas infecciones sofisticadas no dejan indicios evidentes. Sin embargo, algunas señales de advertencia pueden incluir:

• Descarga rápida de la batería
• Sobrecalentamiento sin explicación aparente
• Incremento inusual en el consumo de datos
• Bloqueos o reinicios inesperados
• Activación inesperada del micrófono o la cámara
• Mensajes o llamadas extrañas
• Aplicaciones que solicitan permisos inusuales

Cómo protegerte

Aunque es poco probable que la mayoría de los usuarios sean objetivo de spyware mercenario, las tácticas utilizadas para distribuir estas herramientas suelen coincidir con las de los ataques de phishing convencionales.

Para reducir el riesgo:

• Mantén WhatsApp, tu sistema operativo y todas tus aplicaciones completamente actualizados.
• Desconfía de enlaces inesperados, incluso si parecen provenir de contactos de confianza.
• Activa las funciones avanzadas de seguridad disponibles en tu dispositivo.
• Utiliza autenticación multifactor siempre que sea posible.
• Presta atención a comportamientos inusuales del dispositivo, como un consumo excesivo de batería, sobrecalentamiento o actividad de red inesperada.
• Las personas de alto riesgo —incluidos periodistas, activistas, ejecutivos y funcionarios gubernamentales— deberían considerar medidas adicionales de protección y monitoreo de seguridad.
• El Modo de Bloqueo (Lockdown Mode) de Apple y otras funciones de seguridad reforzada similares pueden reducir la superficie de ataque para usuarios con un riesgo elevado. Aunque estas protecciones pueden limitar algunas funcionalidades, ayudan a bloquear técnicas avanzadas de explotación.

Para reducir aún más el riesgo, utiliza una solución de seguridad móvil de confianza capaz de detectar aplicaciones maliciosas, intentos de phishing, comportamientos sospechosos e indicadores conocidos de ataque. Las herramientas de seguridad también bloquean sitios web maliciosos utilizados en campañas de distribución de spyware.

Prueba Bitdefender Mobile Security para iOS

Prueba Bitdefender Mobile Security para Android