Al Jazeera afirma que una campaña de malware encubierta vinculada a la empresa israelí Candiru infectó 45 dispositivos pertenecientes a sus periodistas y personal, y extrajo datos de ellos sin ninguna acción por parte de los usuarios. La revelación es un ejemplo contundente de cómo el spyware de cero clics del que dependen los periodistas puede volverse en su contra, y de por qué la precaución ordinaria a menudo no es suficiente contra atacantes bien financiados.

Los detalles a continuación provienen de un informe que resume la declaración de Al Jazeera. Donde el registro público es escaso, lo indicamos.

Qué dice Al Jazeera que ocurrió

Según el informe, Al Jazeera describió un ataque de cero clics vinculado a Candiru que comprometió 45 de los dispositivos de sus periodistas. Se informa que el malware exfiltró datos sin ninguna interacción del usuario. En otras palabras, las personas afectadas no necesitaban abrir un archivo, tocar un enlace ni aprobar nada para que la infección se instalara.

El resumen de la fuente no proporciona más detalles, como qué sistemas operativos se vieron afectados, qué vulnerabilidades se utilizaron, durante qué período ocurrieron las infecciones o quién encargó la campaña. No vamos a especular sobre esos detalles. Los lectores deben tratar la cifra de 45 dispositivos como la afirmación reportada por Al Jazeera y estar atentos a un seguimiento técnico por parte de la emisora o de investigadores independientes.

Cómo funciona el spyware de cero clics sin ningún toque

La mayoría de las personas ha aprendido a evitar enlaces sospechosos y archivos adjuntos inesperados. Ese consejo apunta a ataques de "un clic", en los que la víctima tiene que hacer algo. El spyware de cero clics elimina ese paso.

En términos generales, los ataques de cero clics aprovechan fallos en el software que procesa automáticamente los datos entrantes, como aplicaciones de mensajería, analizadores de medios o servicios de red. Si un atacante encuentra una vulnerabilidad en ese manejo automático, un mensaje o paquete de datos especialmente diseñado puede desencadenar la ejecución de código en el teléfono o computadora antes de que el propietario vea algo. Puede que no haya ninguna notificación, ningún pop-up extraño ni ninguna señal obvia después.

Una vez instalado, el spyware de este tipo generalmente puede usarse para leer mensajes, recopilar archivos y reunir otros datos del dispositivo. El informe de Al Jazeera sobre la exfiltración de datos encaja con ese patrón.

El punto clave para los lectores no técnicos: esto no es un fallo del juicio del usuario. Un comportamiento cuidadoso no puede prevenir por completo un ataque que no requiere ningún comportamiento en absoluto.

Por qué los periodistas son objetivos principales de herramientas al estilo Candiru

Candiru se describe como una empresa israelí, y las herramientas de compañías como esta a menudo se denominan spyware mercenario: capacidades de vigilancia poderosas desarrolladas por proveedores privados y vendidas a clientes. Estas herramientas son costosas y complejas de construir, por lo que tienden a dirigirse a un pequeño número de objetivos de alto valor en lugar del público general.

Los periodistas encajan en ese perfil por razones claras. Los reporteros poseen material sensible: identidades de fuentes, hallazgos no publicados y comunicaciones privadas con personas que pueden estar en riesgo. Comprometer los dispositivos de una redacción puede exponer todo eso a la vez. Un solo teléfono infectado puede revelar no solo la actividad del propio periodista, sino también los contactos y las confidencias de todos aquellos con quienes habla.

La escala reportada aquí, 45 dispositivos en una sola organización, sugiere una campaña dirigida a toda una institución en lugar de a un individuo. Eso importa para las organizaciones de noticias, los grupos de derechos humanos y cualquier lugar de trabajo donde varias personas manejen información sensible.

La presión de vigilancia sobre el periodismo también se manifiesta de otras formas. Nuestra cobertura de el prolongado apagón de internet en la Cachemira administrada por Pakistán, basada en reportes de Al Jazeera, muestra cómo las restricciones a la comunicación pueden agravar los riesgos que enfrentan las personas al intentar compartir información.

Qué reduce realmente tu exposición

Ningún paso único hace que un dispositivo sea inmune a un atacante decidido y con buenos recursos. Pero algunas medidas aumentan de manera significativa el costo y la dificultad de un ataque.

  • Instala las actualizaciones del sistema operativo y de las aplicaciones con prontitud. Los ataques de cero clics dependen de fallos no parcheados o no divulgados. Las actualizaciones de seguridad cierran agujeros conocidos, y los retrasos los dejan abiertos.
  • Activa el Modo de Bloqueo cuando esté disponible. Algunas plataformas ofrecen una configuración de protección extrema que reduce la superficie de ataque al limitar ciertas funciones. Intercambia comodidad por seguridad, lo que puede ser un acuerdo razonable para personas con riesgo elevado.
  • Reinicia los dispositivos con regularidad. Algunos programas maliciosos no sobreviven a un reinicio, por lo que los reinicios periódicos pueden obligar a un atacante a reinfectar.
  • Reduce lo que se almacena en tu dispositivo. Los mensajes efímeros y la eliminación rutinaria limitan cuánto puede recopilar un intruso.
  • Separa el trabajo sensible. Usar un dispositivo dedicado para las comunicaciones más sensibles puede contener el daño si otro dispositivo se ve comprometido.
  • Denuncia un posible compromiso. Si trabajas en una organización de noticias o en un grupo de defensa, plantea tus preocupaciones a tu equipo de seguridad o a un especialista en seguridad digital en lugar de intentar investigar por tu cuenta.

Qué significa esto para ti

Es poco probable que la mayoría de los lectores sean objetivo de herramientas como las de Candiru. Pero las lecciones se aplican ampliamente. Mantener los dispositivos actualizados es el hábito más útil, y también protege contra muchas otras amenazas.

Si eres periodista, activista, abogado o alguien que pueda atraer el interés a nivel estatal, asume que tu riesgo es mayor y actúa en consecuencia: actualiza rápidamente, usa los modos de protección más fuertes que ofrezca tu dispositivo y limita los datos sensibles en tu teléfono.

También vale la pena ser claro sobre lo que una VPN hace y no hace. Una VPN cifra tu tráfico de red y oculta tu dirección IP de los sitios y las redes locales. No detiene el spyware que ya se está ejecutando en tu dispositivo, y no puede prevenir un exploit de cero clics que se dirige al software del propio teléfono. Las VPN siguen siendo útiles para la privacidad de la red, pero no son una defensa contra este tipo de ataque.

Conclusiones clave

La revelación reportada por Al Jazeera de una campaña vinculada a Candiru contra 45 dispositivos es un recordatorio de que el spyware de cero clics que enfrentan los periodistas puede eludir incluso a los usuarios cuidadosos. Trata los detalles como en desarrollo, ya que el resumen público es limitado.

Para cualquier persona en mayor riesgo: aplica las actualizaciones del sistema operativo tan pronto como estén disponibles, activa el Modo de Bloqueo si tu dispositivo lo admite, reinicia con regularidad, almacena menos datos sensibles y comprende que una VPN no te protegerá del spyware en el propio dispositivo.