La mayoría de los artículos sobre Pegasus te cuentan qué es. Muy pocos te dicen cómo averiguar si está en tu teléfono. Este trata de lo segundo, incluidas las partes incómodas.
Empecemos por plantearlo con sinceridad: Pegasus no es una amenaza para el gran público. Lo vende NSO Group a clientes gubernamentales, cada despliegue es caro y se dirige a personas concretas, normalmente periodistas, defensores de los derechos humanos, abogados, políticos de la oposición y diplomáticos. Si te preocupa porque tu teléfono va lento, la explicación con diferencia más probable es que tu teléfono va lento.
Pero las personas que son objetivo no son raras en términos absolutos. Apple ha enviado notificaciones de amenazas a usuarios de más de 150 países desde 2021, y una sola ronda de notificaciones en abril de 2024 llegó a personas de 92 países. Si por tu trabajo eres un objetivo verosímil, la pregunta merece una respuesta de verdad y no solo palabras tranquilizadoras.
Por qué no puedes detectar Pegasus mirando tu teléfono
Pegasus es un ataque sin clic (zero-click). No hay ningún enlace sospechoso que no supiste evitar, ningún icono de app que detectar, ningún cuadro de permisos que aceptaste. Se ha introducido a través de iMessage y otras plataformas de mensajería sin ninguna interacción. Una vez instalado, puede acceder a mensajes, correo, llamadas, cámara, micrófono y ubicación.
Además, es silencioso a propósito. Algunas variantes viven solo en la memoria, lo que significa que un reinicio las elimina, y con ellas la mayor parte de las pruebas. Se ha visto a otras borrar los archivos de registro detrás de sí.
Esto significa que la lista de consejos habitual —vigila si la batería se agota, busca apps desconocidas, fíjate en las ventanas emergentes— aquí casi no sirve. Esos síntomas describen el stalkerware de consumo, que es una amenaza distinta con un presupuesto distinto. Frente al software espía de nivel estatal, la ausencia de síntomas no te dice nada.
Solo hay un tipo de respuesta que funciona: el análisis forense de los datos del teléfono desde fuera del teléfono.
Las tres comprobaciones que merecen la pena, por orden
1. Comprueba si Apple ya te ha avisado
Apple avisa a las personas que cree que han sido objetivo de forma individual. Es la comprobación más valiosa que existe, se tarda dos minutos y es gratuita.
Inicia sesión en account.apple.com y busca un aviso en la parte superior de la página. Apple también envía un correo electrónico y un iMessage a las direcciones asociadas a tu Apple ID.
Dos cosas que conviene tener en cuenta. Una notificación es una prueba sólida de que fuiste objetivo, pero que no la recibas no prueba que no lo fueras, porque la detección de Apple no puede ser completa. Y como las notificaciones son alarmantes y se han difundido mucho, se suplantan con frecuencia: una auténtica nunca te pide que pulses un enlace, instales software, abras un archivo adjunto o des una contraseña.
2. Haz que examinen los propios registros del teléfono
En el dispositivo sí sobreviven rastros, en lugares a los que las apps no pueden llegar:
- Bases de datos que registran qué procesos usaron la red y cuándo
- Registros de fallos de intentos de explotación que no salieron bien
- Un archivo del sistema que registra los apagados y que puede conservar anomalías en torno a una infección
- Metadatos de archivos adjuntos de mensajes y restos en la caché
El Security Lab de Amnesty International reconstruyó la cadena de infección de Pegasus precisamente a partir de este tipo de material, y publicó tanto la metodología como las herramientas en julio de 2021, dentro del Proyecto Pegasus. Su herramienta de código abierto, el Mobile Verification Toolkit, conocida normalmente como MVT, compara una copia de seguridad de iPhone con indicadores de compromiso: dominios, nombres de procesos y rastros de archivos asociados a campañas conocidas.
Si te manejas con un terminal, MVT es la implementación de referencia y es gratuita. La instalas con Python, haces una copia de seguridad cifrada del iPhone, descargas un archivo de indicadores actualizado y ejecutas el análisis. El resultado es un conjunto de archivos JSON que después tienes que interpretar.
Si esa frase te ha encogido el estómago, esa es la verdadera barrera. El método es público y sólido; lo que frena a la mayoría es la distancia práctica entre un periodista preocupado y un análisis forense terminado. Haris Shield existe para acortar esa distancia, con un límite que debes conocer. Compara los registros de fallos con los mismos indicadores públicos y presenta el resultado como un informe, no como JSON. La versión actual no analiza una copia de seguridad cifrada, así que por sí sola lee menos que una ejecución completa de MVT; importar un sysdiagnose añade las bases de datos de uso de red y de ejecución de procesos. Si tienes motivos concretos para creer que eres objetivo de Pegasus, ejecuta MVT sobre una copia de seguridad cifrada o pide ayuda al Security Lab de Amnesty o a la Digital Security Helpline de Access Now.
3. Entiende qué significa un resultado limpio
Un análisis limpio significa que no se encontraron indicadores conocidos en los datos examinados. No significa que tu teléfono no haya estado nunca comprometido. Si había una variante que vivía solo en la memoria y el teléfono se ha reiniciado desde entonces, puede que no quede nada que encontrar. Si la campaña contra ti usó herramientas para las que ningún investigador ha publicado indicadores todavía, no hay nada con lo que comparar.
Quien te diga que puede certificar que un iPhone está limpio está vendiendo más de lo que puede dar. El análisis forense encuentra pruebas; no demuestra ausencias.
Qué hacer si se encuentra algo
No reinicies ni restablezcas el teléfono de fábrica de inmediato. Tu instinto será borrarlo. Si quieres que el hallazgo pueda utilizarse —por un abogado, una redacción, un tribunal o los investigadores que siguen la campaña—, el dispositivo y sus datos son pruebas, y restablecerlo las destruye.
Da por hecho que la cuenta, no solo el teléfono, está comprometida. Cambia la contraseña de tu Apple ID y cualquier contraseña importante desde otro dispositivo de confianza. Revisa qué dispositivos tienen sesión iniciada en tu Apple ID y quita los que no reconozcas.
Busca ayuda experta. Varias organizaciones hacen este trabajo para personas en riesgo, a menudo sin coste. Access Now tiene una Digital Security Helpline para la sociedad civil; el Security Lab de Amnesty investiga casos que afectan a defensores de los derechos humanos. Si tu trabajo te ha puesto en esta situación, eres exactamente el público al que se dirigen.
Piensa en la parte humana. Si eres periodista, las fuentes que se pusieron en contacto contigo también pueden haber quedado expuestas. Con frecuencia, ese es el verdadero objetivo.
Cómo reducir el riesgo a partir de ahora
- El modo de aislamiento es la medida individual más potente que existe en iOS. Desactiva la mayoría de los tipos de archivos adjuntos en mensajes, determinadas tecnologías web y algunas funciones de conexión. Apple ha afirmado que no tiene constancia de ningún ataque con éxito de software espía mercenario contra un dispositivo con el modo de aislamiento activado. Está en Ajustes, Privacidad y seguridad. Hace que el teléfono sea menos cómodo, y ese es el precio.
- Actualiza de inmediato. Estas cadenas de ataque dependen de fallos sin corregir; el retraso es la vulnerabilidad.
- Reinicia con regularidad. Frente a las variantes que residen en memoria, un reinicio elimina la infección. También elimina las pruebas, así que, si sospechas que hay una intrusión activa, pide consejo antes de reiniciar.
- Reduce tu superficie de ataque. Menos apps de mensajería, menos cuentas a las que puedan llegar desconocidos.
- Separa los ámbitos. Para un trabajo realmente de alto riesgo, un dispositivo aparte para los contactos delicados limita lo que te cuesta una sola intrusión.
Preguntas frecuentes, en breve
¿Hay alguna app que detecte Pegasus? En iOS, no. Las apps funcionan dentro de un entorno aislado (sandbox) y no pueden inspeccionar el sistema, y por eso todos los métodos de detección creíbles trabajan desde un ordenador sobre una copia de seguridad.
¿Lo eliminaría un restablecimiento de fábrica? Probablemente, pero también elimina las pruebas, y no corrige la exposición que te convirtió en objetivo. Es un paso, no una solución.
¿Me pueden infectar sin que pulse nada? Sí. Es la característica que define estas campañas.
¿Debería preocuparme? Si eres periodista, activista, abogado o una figura política, sobre todo si trabajas en temas que molestan a un gobierno, la pregunta es razonable y merece resolverse como es debido. Si no lo eres, y nada concreto te ha llevado a esta búsqueda, la respuesta es casi con seguridad que no, y el stalkerware corriente es una preocupación mucho más probable. Nuestra guía para detectar software espía en iPhone cubre ese caso.
Fuentes
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Mobile Verification Toolkit: mvt.re y github.com/mvt-project/mvt
- Apple, Acerca de las notificaciones de amenazas de Apple y la protección contra el software espía mercenario: support.apple.com/en-us/102174
- Access Now Digital Security Helpline: accessnow.org/help
Lecturas relacionadas: cómo detectar software espía en iPhone, las señales del stalkerware y lo que no debes hacer y la guía de MVT.