Un nuevo malware para iPhone, identificado como P7 DarkSword, encendió las alertas de los especialistas en ciberseguridad por su capacidad para acceder a información privada almacenada en dispositivos vulnerables. Según una investigación de la empresa de seguridad móvil iVerify, esta variante puede recopilar datos del llavero de iOS, recuperar fotografías recientes, copiar bases de datos de la aplicación Notas y buscar información vinculada con billeteras de criptomonedas.
El hallazgo, realizado en agosto de 2026 y difundido en un informe publicado en octubre, reveló una versión modificada de DarkSword, una familia de software espía que ya había sido identificada anteriormente. Los investigadores detectaron cambios en su funcionamiento que amplían sus capacidades de recopilación de información y permiten una comunicación más frecuente con los operadores del ataque.
El caso también expone un problema creciente para la seguridad informática: herramientas de vigilancia sofisticadas, desarrolladas originalmente para operaciones especializadas, pueden terminar en manos de ciberdelincuentes comunes cuando su código se filtra.
P7 DarkSword: cómo se descubrió el nuevo malware para iPhone
La investigación comenzó cuando los sistemas de seguridad de iVerify detectaron actividad inusual en el iPhone de uno de sus clientes. Con la autorización del propietario, los especialistas analizaron el dispositivo y comprobaron que el software espía presentaba diferencias respecto de otras versiones de DarkSword conocidas hasta ese momento.
Para ampliar el análisis, el equipo utilizó la plataforma de inteligencia de amenazas Validin, mediante la cual localizó otra versión del malware alojada en una infraestructura sospechosa. El estudio del código permitió identificar modificaciones que aumentaban la cantidad de información que podía recopilar el programa y dificultaban el análisis de sus actividades.
El nombre P7 procede de un prefijo encontrado en el código de programación. Más allá de esa denominación técnica, el cambio relevante es que esta variante incorpora nuevas funciones para examinar los datos almacenados en el dispositivo comprometido y recibir instrucciones de manera remota.
Según explicó Apple al medio CyberGuy, DarkSword se originó como un software espía mercenario, desarrollado con una inversión considerable para realizar operaciones de vigilancia sofisticadas. La filtración de su código habría facilitado que otros actores accedieran a la herramienta y la adaptaran para actividades delictivas.
Qué información puede robar P7 DarkSword de un iPhone
Una de las principales preocupaciones de los investigadores es la variedad de datos personales a los que puede acceder el malware. Sus funciones afectan tanto a las credenciales de acceso como a los archivos privados y la información financiera.
Entre las capacidades identificadas se encuentran:
- Contraseñas y credenciales: el software espía puede extraer datos del llavero de iOS, donde se almacenan contraseñas y otras credenciales. Sin embargo, la investigación no confirmó que toda esa información pueda recuperarse en un formato legible para los atacantes.
- Fotografías recientes: el malware puede consultar la base de datos de imágenes del dispositivo para recuperar fotografías seleccionadas.
- Notas privadas: también puede localizar y copiar las bases de datos utilizadas por la aplicación Notas, lo que podría exponer información personal o laboral guardada allí.
- Billeteras de criptomonedas: el código incluye funciones para identificar aplicaciones de monederos digitales y extraer determinados datos asociados. Los investigadores detectaron específicamente una función dirigida a imToken.
- Archivos de otras aplicaciones: el programa puede inventariar las aplicaciones instaladas y buscar archivos seleccionados en sus respectivos espacios de almacenamiento.
Estas capacidades representan un riesgo para quienes utilizan el iPhone para guardar documentos confidenciales, información de cuentas o datos vinculados con activos digitales. No obstante, es importante distinguir entre lo que el malware puede hacer y lo que efectivamente ocurrió: los hallazgos técnicos no demuestran que todos esos datos hayan sido sustraídos en el dispositivo analizado.
Cómo se comunica con los atacantes y trata de ocultar su actividad
Otro aspecto destacado de P7 DarkSword es su sistema de comunicación con los operadores. Según iVerify, el malware puede consultar si existen nuevas instrucciones cada 15 segundos, aunque ese intervalo puede modificarse de forma remota.
Esta conexión permite que los atacantes envíen órdenes después de la infección inicial. Entre las funciones disponibles figuran el análisis del sistema de archivos y la ejecución de código JavaScript dentro del entorno del propio malware.
Los investigadores también observaron que el programa inyecta su componente de comunicación en SpringBoard, un proceso central de iOS relacionado con la pantalla de inicio y otras funciones de la interfaz del sistema.
Además, la variante analizada incorpora modificaciones destinadas a reducir las señales que podrían revelar su presencia. Entre ellas se encuentran la eliminación de determinados registros de diagnóstico y la reducción de algunas actividades que podrían llamar la atención durante una revisión forense.
Estas técnicas pueden complicar la detección y el análisis de una infección, aunque iVerify no concluyó que el software sea completamente indetectable.
Cómo se infecta un iPhone con DarkSword
DarkSword está vinculado con una cadena de exploits que aprovecha vulnerabilidades de iOS para comprometer dispositivos. De acuerdo con la investigación, P7 puede distribuirse mediante anuncios maliciosos y sitios web comprometidos, una técnica conocida como watering hole.
En este tipo de ataque, los delincuentes manipulan páginas que podrían visitar sus objetivos o aprovechan espacios publicitarios para dirigirlos hacia contenido malicioso. En determinadas condiciones, un iPhone vulnerable puede quedar comprometido durante la navegación, sin que el usuario advierta una actividad sospechosa.
La investigación de iVerify se centró principalmente en el comportamiento del malware después de la infección y no logró reconstruir por completo cómo el dispositivo analizado había entrado en contacto con el contenido malicioso. Por eso, las circunstancias concretas de ese caso permanecen sin aclarar.
Qué versiones de iOS están en riesgo y cómo proteger el dispositivo
Las campañas anteriores asociadas con DarkSword apuntaron a iPhone que utilizaban versiones de iOS comprendidas entre la 18.4 y la 18.7. Apple indicó que había corregido las vulnerabilidades subyacentes durante 2025 y que, en marzo de 2026, publicó una actualización de seguridad para dispositivos antiguos que no pueden instalar las versiones más recientes del sistema operativo.
Según la información proporcionada por la compañía, los dispositivos que cuentan con las actualizaciones de seguridad correspondientes, incluidas las disponibles para versiones de iOS desde la 15 hasta la 27, están protegidos frente a las vulnerabilidades conocidas relacionadas con DarkSword. Sin embargo, iVerify identificó componentes de explotación vinculados con iOS 18.7 en la nueva variante y no confirmó que P7 pueda comprometer un iPhone completamente actualizado.
Para reducir los riesgos, los especialistas recomiendan mantener iOS en la versión más reciente compatible con el modelo, instalar las actualizaciones de seguridad disponibles y evitar interactuar con anuncios o enlaces sospechosos. También es conveniente utilizar contraseñas únicas, activar la autenticación multifactor cuando esté disponible y revisar las sesiones activas de las cuentas importantes.
La principal medida de protección es mantener el iPhone actualizado. Aunque P7 DarkSword demuestra que las herramientas de espionaje pueden evolucionar y ampliar sus capacidades, la información disponible no indica que todos los dispositivos Apple estén afectados. El riesgo depende, entre otros factores, de las vulnerabilidades presentes en el sistema y de las actualizaciones de seguridad instaladas.
Preguntas frecuentes
1. ¿Cómo saber si un iPhone podría estar comprometido por un software espía?
No siempre hay señales visibles de una infección. Algunos indicios que justifican una revisión incluyen cambios inesperados en la configuración, actividad desconocida en las cuentas vinculadas al dispositivo o alertas de seguridad que el usuario no reconoce. Sin embargo, un mayor consumo de batería o un funcionamiento lento no demuestran por sí solos la presencia de malware.
2. ¿El antivirus tradicional es suficiente para proteger un iPhone?
No necesariamente. La protección de un iPhone depende de una combinación de actualizaciones del sistema, controles de seguridad integrados, hábitos de navegación y protección de las cuentas personales. Las herramientas especializadas pueden ayudar a detectar determinadas amenazas, pero ninguna solución garantiza una protección absoluta frente a todas las variantes de software espía.
3. ¿Qué hacer si sospecho que alguien accedió a mis datos personales?
Lo recomendable es utilizar otro dispositivo confiable para revisar las cuentas más importantes, comprobar las sesiones iniciadas y revocar los accesos desconocidos. También conviene cambiar las contraseñas potencialmente expuestas y activar la autenticación multifactor. Si existe sospecha de vigilancia dirigida, es preferible consultar con un especialista antes de borrar información o restablecer el teléfono, ya que esas acciones podrían dificultar una investigación posterior.
4. ¿Qué es el modo de aislamiento de Apple y cuándo conviene utilizarlo?
El modo de aislamiento es una función de seguridad de Apple diseñada para personas que podrían ser objetivo de ataques digitales altamente sofisticados. Restringe determinadas funciones del dispositivo para reducir la superficie de ataque. No está pensado como una medida necesaria para todos los usuarios, pero puede resultar útil ante un riesgo elevado de espionaje dirigido. Su activación también limita algunas funciones habituales del iPhone.
5. ¿La autenticación de dos factores evita el robo de cuentas?
La autenticación de dos factores agrega una barrera de seguridad porque exige una segunda comprobación, además de la contraseña. Esto puede dificultar que un atacante ingrese a una cuenta con credenciales robadas. No obstante, no elimina todos los riesgos: una sesión ya comprometida, una solicitud de autenticación fraudulenta o el acceso al dispositivo desbloqueado pueden reducir su eficacia.
Leer más
- Apple Intelligence deja afuera a estos iPhone en 2026
- iPhone compatibles con iOS 27: lista completa de modelos y cómo actualizar
- iPhone 18 Pro ya está en preventa: precios, fechas y cómo reservarlo
