La seguridad del iPhone vuelve a estar en el centro del debate por un motivo incómodo: no se trata de un exploit sofisticado reservado a actores estatales, sino de un kit de spyware comercial que, según investigadores, se vende abiertamente a través de Telegram con canales de soporte, actualizaciones y un panel listo para usar. La plataforma, bautizada como ZeroDayRAT, ha sido documentada por iVerify, que sitúa las primeras señales de actividad el 2 de febrero de 2026 y describe un producto orientado a que el comprador —sin conocimientos técnicos avanzados— pueda tomar el control de un móvil comprometido con un nivel de acceso propio de una intrusión completa.
Para un medio centrado en Apple, el ángulo es evidente: el iPhone se ha convertido en el “centro de identidad” del usuario (mensajería, banca, autenticación, pagos, llaves digitales), y eso lo transforma en un objetivo especialmente valioso. ZeroDayRAT no se presenta como un simple ladrón de datos: su propuesta, según el análisis publicado, abarca desde la vigilancia en tiempo real (cámara, micrófono, pantalla) hasta la interceptación de códigos OTP y módulos para robo financiero, incluyendo criptomonedas.
Un panel de control para ver la vida del usuario en directo
El elemento diferenciador de ZeroDayRAT, tal y como lo retratan los investigadores, es el empaquetado: el operador recibe acceso a un panel web desde el que puede administrar dispositivos infectados y consultar, en una sola pantalla, métricas y datos suficientes para perfilar a la víctima. Se mencionan detalles como modelo del dispositivo, versión del sistema, estado de bloqueo, información de SIM y operador, país, batería, actividad reciente y vista previa de mensajes. Esa primera capa —la de “inventario”— ya permite inferir hábitos: qué apps usa más, cuándo está activo y qué tipo de comunicaciones recibe.
A partir de ahí, el supuesto kit se estructura por módulos: geolocalización con histórico, captura de notificaciones de aplicaciones y un apartado especialmente problemático para cualquier usuario de iPhone: el listado de cuentas registradas en el dispositivo (servicios y apps vinculadas a emails o identificadores), una información que puede facilitar intentos de toma de cuentas o ingeniería social más precisa.
En paralelo, iVerify describe acceso a SMS con capacidad de lectura y, según el caso, envío. Esa parte es clave porque sigue habiendo servicios —incluidos flujos de recuperación de cuentas— que dependen de mensajes de texto como segundo factor. Cuando el móvil cae, el SMS deja de ser una “capa extra” y se convierte en un canal más a merced del atacante.
El salto de la recolección al espionaje: cámara, micrófono y keylogger
Donde ZeroDayRAT cruza la línea del spyware “clásico” hacia una vigilancia más invasiva es en el módulo de surveillance: iVerify habla de acceso a cámara (frontal/trasera), grabación de pantalla y micrófono en tiempo real, combinado con un keylogger que registraría entradas con contexto de aplicación y marcas temporales.
Para el iPhone, este tipo de afirmaciones siempre exige prudencia: iOS está diseñado para limitar ampliamente este tipo de accesos y, en condiciones normales, un control tan profundo suele requerir abusos de permisos, técnicas de engaño avanzadas, perfiles maliciosos o cadenas de compromiso más complejas. Sin embargo, el problema operativo es que el usuario final no distingue si la intrusión viene por una vulnerabilidad, por una app fraudulenta o por una configuración peligrosa aceptada con un par de toques. El resultado —pérdida de privacidad, robo de credenciales y exposición de datos— es el mismo.
Robo financiero: cuando el móvil es también la cartera
El informe atribuye a ZeroDayRAT módulos para cripto-stealing y para robo en banca, con técnicas como sustitución de direcciones en el portapapeles y capturas mediante superposiciones en apps de pagos. La combinación de acceso a notificaciones, capacidad de observar pantalla y captura de OTP dibuja un escenario especialmente dañino: incluso con autenticación en dos pasos, el atacante puede intentar cerrar el círculo si ve el código llegar y controla el flujo de acceso.
En el ecosistema Apple, la conversación se vuelve aún más sensible por dos motivos. El primero, Apple Pay y los flujos de pago integrados: aunque Apple impone controles estrictos, el móvil sigue siendo un objetivo de alto valor para fraude y extorsión. El segundo, la dependencia del teléfono para verificar accesos a servicios críticos (banca, correo, redes sociales y, en muchos casos, sistemas corporativos).
Cómo entra: el viejo smishing sigue funcionando
iVerify sostiene que, para infectar un dispositivo, el atacante necesita colocar un binario o “payload” en el terminal, y que el método más habitual observado es el smishing: un SMS con enlace a una supuesta app legítima, descarga e instalación. También se citan campañas por correo (phishing), tiendas falsas y enlaces compartidos por WhatsApp o Telegram.
En clave iPhone, esto encaja con una realidad conocida: Apple ha reducido de forma drástica el margen de instalación fuera de su circuito habitual, pero los atacantes explotan el factor humano con el mismo guion de siempre: urgencia, suplantación de marcas, “tu cuenta será bloqueada”, “paquete pendiente”, “multas”, “verificación de pago”. El usuario no cae por la técnica; cae por el contexto.
Lo que deberían revisar los usuarios de iPhone desde hoy
Sin convertir la noticia en un manual, hay medidas concretas que un medio de Apple puede trasladar con claridad porque reducen el riesgo frente a spyware comercial:
- Desconfiar de enlaces en SMS y en mensajería, incluso si parecen venir de un contacto. Si hay duda, entrar a la web oficial desde el navegador, no desde el enlace.
- Instalar apps solo desde fuentes confiables y desconfiar de “apps corporativas” o “actualizaciones” que piden instalar perfiles o gestionar el dispositivo.
- Revisar en iOS la sección Ajustes > General para detectar perfiles, certificados o gestión de dispositivos no reconocidos (en entornos empresariales, confirmar con IT).
- Mantener iOS actualizado y evitar posponer parches: muchas campañas prosperan en dispositivos con retraso de actualizaciones.
- Para perfiles de riesgo (periodistas, activistas, ejecutivos con información sensible), valorar Modo Aislamiento (Lockdown Mode) y endurecer al máximo permisos y superficies expuestas.
El mensaje de fondo es simple: el iPhone no “se infecta por arte de magia” en la mayoría de casos masivos; suele haber un paso de ingeniería social, una instalación indebida o una configuración peligrosa aceptada sin revisar.
Impacto en empresa: el iPhone como llave del perímetro
La dimensión corporativa es igual de relevante. Un iPhone comprometido puede significar robo de credenciales, secuestro de sesiones, acceso a correos y a herramientas internas, y exfiltración de datos desde aplicaciones de trabajo. Por eso, varios análisis del sector insisten en que el móvil ya no puede tratarse como un dispositivo secundario: necesita controles de identidad, acceso condicional y capacidad real de detección de amenazas móviles, no solo gestión básica.
En definitiva, ZeroDayRAT actúa como síntoma: el mercado de spyware se está “productizando” y, con ello, el coste de entrada para perseguir a víctimas concretas baja. Para Apple —y para sus usuarios— la noticia no es que el iPhone sea inseguro, sino que el adversario está convirtiendo el ataque móvil en un servicio comercial, alimentado por el canal más barato y eficaz de todos: el engaño.
Preguntas frecuentes
¿Puede un spyware como ZeroDayRAT comprometer un iPhone sin que el usuario haga nada?
En campañas comerciales masivas, lo más habitual es que haya interacción: pulsar un enlace, instalar una app o aceptar una configuración/perfil. Aun así, los informes sobre ZeroDayRAT describen una plataforma que busca facilitar el compromiso del dispositivo y la vigilancia posterior.
¿Qué riesgos tiene usar SMS como verificación en dos pasos en un iPhone?
Si un atacante logra acceso a los mensajes (o a notificaciones que contienen códigos), puede capturar OTP y acelerar el robo de cuentas. Por eso se recomienda priorizar passkeys o apps autenticadoras cuando sea posible.
¿Qué revisar en iOS si se sospecha de spyware o de una app fraudulenta?
Revisar apps instaladas recientemente, permisos concedidos y, sobre todo, perfiles o “Gestión de dispositivos” no reconocidos en Ajustes. En entornos de empresa, confirmar con el departamento de IT si existe MDM legítimo.
¿Qué medidas de seguridad ayudan más en iPhone frente a smishing y spyware comercial?
Actualizar iOS, no instalar apps desde enlaces, desconfiar de mensajes con urgencia, revisar perfiles/certificados desconocidos y activar opciones de endurecimiento (como Lockdown Mode) en perfiles de alto riesgo.
