Nuevas alertas de Apple contra el spyware mercenario: qué significan y cómo verificar su autenticidad

Los avisos a los usuarios y el significado de la alerta

El 13 de agosto de 2026, algunos usuarios informaron en Reddit de que habían recibido nuevas Apple Threat Notifications, las alertas con las que Apple informa a los propietarios de iPhone cuando considera que han sido objetivo de spyware mercenario.

No se trata de notificaciones de seguridad genéricas. Apple las considera alertas de alta confianza, elaboradas a partir de actividades de investigación e inteligencia sobre amenazas. La empresa no garantiza una certeza absoluta, pero indica que quienes reciben el mensaje tienen una alta probabilidad de haber sido seleccionados individualmente como objetivos.

Apple distribuye este tipo de notificaciones varias veces al año desde 2021. Por tanto, la nueva campaña no señala la introducción de una función reciente, sino una nueva ronda de alertas dirigidas a posibles objetivos.

La empresa no ha atribuido públicamente las notificaciones a un gobierno, grupo criminal, compañía o región concretos. Por ello, no es posible determinar, basándose únicamente en la alerta, quién llevó a cabo la operación.

Quiénes son objetivo y por qué estos ataques son diferentes

El spyware mercenario suele emplearse en operaciones muy selectivas contra un número limitado de personas. Entre los posibles objetivos se encuentran periodistas, activistas, políticos y diplomáticos, es decir, individuos que pueden gestionar información sensible o realizar actividades que incomoden a gobiernos y organizaciones interesadas.

Según Apple, estas campañas pueden requerir inversiones de varios millones de dólares. Los operadores utilizan herramientas sofisticadas, a menudo durante periodos operativos breves, para reducir las posibilidades de que el ataque sea descubierto y analizado.

La gran mayoría de los usuarios de iPhone no es objetivo de este tipo de actividades. Sin embargo, recibir la alerta constituye una señal distinta de una recomendación de seguridad normal: indica que Apple ha observado elementos compatibles con una selección individual como objetivo.

Apple cita a NSO Group y su spyware Pegasus como ejemplo histórico de spyware mercenario. En algunos casos anteriores, los análisis forenses confirmaron infecciones por Pegasus después de recibir una Threat Notification. Esto no demuestra, sin embargo, que las alertas distribuidas el 13 de agosto estén relacionadas con Pegasus.

Apple no vincula públicamente cada notificación individual con el spyware utilizado.

Qué elementos están implicados y cómo llega la comunicación

Las alertas afectan principalmente al ecosistema del usuario, no a una versión específica de iOS identificada públicamente. Los productos y servicios implicados son:

• iPhone;
• Apple Account;
• Apple Threat Notification;
• Lockdown Mode;
• el portal account.apple.com.

No se han hecho públicas las versiones de software exactas afectadas. El caso no se ha presentado como una vulnerabilidad con una lista de versiones vulnerables, sino como una actividad de targeting detectada mediante la inteligencia sobre amenazas de Apple.

La empresa afirma enviar estas alertas a usuarios de más de 150 países. La distribución se realiza mediante:

• correos electrónicos enviados a las direcciones asociadas a la Apple Account;
• iMessage enviados a los números de teléfono vinculados a la cuenta.

Las direcciones utilizadas normalmente proceden de [email protected]. Sin embargo, este elemento por sí solo no basta para demostrar la autenticidad del mensaje: las campañas de phishing pueden imitar el remitente, el diseño y el lenguaje de las comunicaciones de Apple.

Para evitar que los operadores de spyware adapten sus herramientas, Apple no divulga los criterios técnicos que determinan el envío de una Threat Notification. La empresa debe equilibrar dos necesidades: informar rápidamente a la persona afectada y no revelar qué indicios condujeron a la detección.

Cómo distinguir una alerta real de un intento de phishing

Una notificación auténtica no solicita realizar acciones inmediatas desde el propio mensaje. En particular, Apple no pide:

• hacer clic en enlaces incluidos en el correo electrónico o iMessage;
• abrir archivos adjuntos;
• instalar aplicaciones, perfiles o certificados;
• comunicar la contraseña de la Apple Account;
• proporcionar códigos de verificación.

La verificación debe realizarse accediendo manualmente a account.apple.com, sin utilizar enlaces incluidos en la comunicación. Tras autenticarse, una alerta real aparece en la parte superior de la página.

Este paso es esencial porque un mensaje falso podría aprovechar la gravedad del tema para robar credenciales, códigos de autenticación multifactor o autorizar la instalación de componentes maliciosos. Incluso una comunicación procedente de una dirección aparentemente correcta no debe considerarse válida antes de comprobarla en el portal de Apple.

Además, el mensaje no identifica necesariamente el spyware ni constituye por sí solo una prueba forense de que la infección se haya completado. Indica más bien que el usuario ha sido considerado un objetivo de alta prioridad y que Apple ha detectado señales suficientes para alertarlo.

Qué hacer después de recibirla

Quien reciba una Threat Notification debería tratarla como un posible caso de compromiso o targeting dirigido, no como un correo informativo convencional.

El primer paso consiste en verificar la alerta directamente en account.apple.com. Si la notificación está presente, conviene evitar cualquier interacción con enlaces, archivos adjuntos, perfiles o solicitudes de credenciales incluidas en los mensajes recibidos.

Apple también recomienda activar Lockdown Mode en el iPhone. Esta modalidad reduce algunas funcionalidades y limita las superficies de ataque que pueden aprovechar las amenazas altamente sofisticadas. Puede afectar a la experiencia de uso, pero está diseñada precisamente para personas que consideran que pueden estar expuestas a operaciones dirigidas.

También es aconsejable recurrir a un experto en ciberseguridad para analizar el dispositivo y la Apple Account. Una investigación profesional puede ayudar a preservar evidencias, evaluar posibles indicios de compromiso y revisar las demás cuentas o dispositivos vinculados.

No consta que Apple haya proporcionado detalles técnicos específicos sobre la nueva distribución de alertas. Por tanto, no hay indicadores públicos asociados a esta campaña, como hashes, dominios, exploits o una firma atribuida a un spyware concreto. La notificación presente en la cuenta y el análisis posterior del dispositivo siguen siendo los elementos más relevantes para distinguir un riesgo real de un intento de suplantación.