«No pulses nada» es un consejo muerto: parchear es tu verdadero escudo

Durante años, el consejo de seguridad de siempre fue sencillo: no hagas clic en enlaces sospechosos y no descargues aplicaciones raras. ¿Qué les dices a los usuarios cuando basta con cargar una página normal?

Esa es la incómoda lección de una campaña descrita por la firma de seguridad francesa Sekoia. Según el resumen de eSecurity Planet sobre el informe del 4 de noviembre, la operación se vinculó, con un grado de confianza de moderado a alto, con APT29, un grupo asociado al servicio de inteligencia exterior ruso. Los atacantes inyectaron JavaScript malicioso en sitios legítimos, entre ellos una productora de gas ucraniana, una asociación del sector químico de Estados Unidos y un partido político europeo. También registraron dominios casi idénticos a los originales y manipularon el rastreador de un proveedor de analítica ucraniano. El script analizaba el navegador y el sistema operativo del visitante, y los dispositivos vulnerables recibían los exploits de forma automática, sin clics ni descargas adicionales.

El detalle más importante es este: todas las cadenas de exploits recuperadas se apoyaban en vulnerabilidades que ya estaban corregidas antes de que empezara la campaña. Los dispositivos totalmente actualizados estaban protegidos frente a estos ataques concretos. Como cuenta BFMTV, Apple había publicado en abril la corrección del fallo que usa el kit DarkSword.

Tu prudencia nunca fue el eslabón débil: lo fue tu retraso al actualizar

Decir a los usuarios que «tengan cuidado» da por hecho que el peligro se ve. Aquí no era así: las webs clonadas mostraban contenido tomado de los originales legítimos, y los demás ataques se escondían dentro de sitios reales. Ninguna vigilancia sirve cuando el código malicioso está en una web en la que tienes motivos para confiar.

Lo que funcionó fue algo aburrido: instalar el parche. A nuestro juicio, eso hace que el consejo de siempre no solo sea insuficiente, sino engañoso, porque carga la responsabilidad sobre un comportamiento que el usuario no controla y olvida lo único que sí puede controlar: si su dispositivo está actualizado. Para ser justos, esta campaña parece dirigida. Sekoia sugiere que el objetivo pudieron ser delegaciones diplomáticas e invitados de alto perfil, y los investigadores no pudieron determinar cuántos dispositivos quedaron comprometidos. Lo más probable es que la mayoría de los lectores no sean las víctimas previstas. Pero herramientas así tienden a extenderse, y la defensa es la misma en ambos casos.

Android demuestra por qué «actualiza y ya» no es una petición justa

En el iPhone es fácil dar la respuesta. En Android es más complicado. 01net señala que el parche de noviembre de Google corrige 216 fallos, 23 de ellos críticos, incluido uno en el Framework que no requiere ninguna interacción del usuario. El mismo artículo indica que más del 40 % de los dispositivos activos funcionan con Android 13 o una versión anterior y ya no reciben actualizaciones de seguridad de Google. Para todos los demás, el momento depende de que el fabricante adapte la corrección: unos días en algunos casos, varias semanas en otros.

Ese es el verdadero escándalo. Decimos a la gente que parchee rápido y luego le vendemos dispositivos en los que parchear depende del calendario de otro. Un usuario puede hacerlo todo bien y seguir expuesto durante semanas. Creemos que es un fallo de diseño del ecosistema, no un fallo del usuario.

Los fabricantes deberían hacer el parcheo invisible

Nuestra postura: las actualizaciones de seguridad deberían instalarse solas, con rapidez y, siempre que sea posible, sin reinicios, y la responsabilidad debería recaer en el fabricante. Las aplicaciones y los móviles que insisten en «actualizar más tarde» están entregando una vulnerabilidad con botón de posponer. Los fabricantes que van por detrás de los boletines de Google deberían ser señalados y comparados públicamente en cuanto a velocidad, y los compradores deberían tratar los compromisos de actualización como una característica tan importante como la cámara.

Una salvedad de la investigación: ninguna de las cadenas logró persistencia, pero, como señala el informe, reiniciar el teléfono no deshace el robo de datos. Además, el secuestro de sesiones puede dar a los atacantes acceso a cuentas sin tocar la red de una empresa. Así que actualizar a posteriori no es una cura.

Revisa tu móvil hoy y trata la velocidad de los parches como una característica más

En Android, abre Ajustes, Acerca del teléfono y mira la fecha de la actualización de seguridad: según 01net, una del 1 de noviembre de 2026 o posterior protege frente al fallo crítico del Framework. En el iPhone, instala la última versión de iOS. Activa las actualizaciones automáticas en todos tus dispositivos. Si tu móvil ya no recibe parches, tómatelo como una fecha de sustitución, no como una sugerencia. Y si vas a elegir uno nuevo, pregunta al vendedor durante cuánto tiempo y con qué rapidez recibirá parches. Esa pregunta te protege más que cualquier advertencia sobre enlaces.