DarkSword ataca iPhone con iOS 18 sin parches: qué versiones están a salvo

11 de octubre de 2026

Entras desde el iPhone en la web de una tienda, de un periódico local o de un organismo público. La página carga como siempre, no descargas nada, no pulsas ningún botón raro y cierras la pestaña. Si el teléfono seguía en una versión vieja de iOS 18, ese rato pudo bastar para que alguien se llevara tus contraseñas guardadas, tus notas, tus fotos y los datos de tus carteras de criptomonedas.

Así funciona DarkSword, un kit de espionaje para iPhone del que la empresa de seguridad iVerify describió el jueves 8 de octubre de 2026 una variante nueva, a la que llama P7. Ataca iPhone con iOS 18.4 a 18.7.2, versiones a las que les faltan los parches que Apple empezó a publicar a finales de 2025. Con iOS 18.7.3 o posterior, o con iOS 26.3 o posterior, la cadena de fallos que usa ya no funciona, dice Lookout, una de las empresas que lo destaparon. iOS 27 (su última versión es la 27.0.1, del 28 de septiembre) y la última de iOS 26, la 26.7.1, están a salvo de lo que se conoce hasta hoy. Saber cuál tienes lleva medio minuto en Ajustes > General > Información.

Qué es DarkSword y qué añade la variante P7

DarkSword salió a la luz el 18 de marzo de 2026 en un informe conjunto de Google, Lookout e iVerify. Lookout dio con él mientras rastreaba los servidores de Coruna, otro kit para atacar iPhone, y Google lo había visto en uso desde noviembre de 2025 por al menos tres grupos. Uno atacaba en Arabia Saudí desde una web falsa con aspecto de Snapchat; otro era PARS Defense, una empresa turca de vigilancia, en Turquía y Malasia, y el tercero, que Google relaciona con el espionaje ruso, infectó webs ucranianas, entre ellas la de un tribunal de apelación.

Encadena seis fallos de iOS, y tres se usaron cuando todavía no tenían arreglo, de acuerdo con la tabla de Google. Lookout recuerda que herramientas así se consideran carísimas y propias de gobiernos y de las empresas que venden espionaje a policías y servicios de inteligencia. Una filtración lo puso al alcance de muchos más. Poco después del informe de marzo, alguien ajeno a la investigación publicó su código, cuenta iVerify, y como está escrito entero en JavaScript es fácil de copiar y retocar. A finales de marzo, la empresa Proofpoint atribuyó a Star Blizzard, un grupo ligado al servicio de inteligencia ruso FSB, una campaña de correos con falsas invitaciones a debates del Atlantic Council que llevaba a DarkSword, según SecurityWeek. Un grupo de habla china, además, lo ofrece como servicio, con revendedores, para robar criptomonedas, como ha documentado Censys.

Se suele pensar que un ataque así solo apunta a periodistas, activistas o políticos. Desde la filtración, DarkSword está también en manos de grupos que buscan dinero y que lanzan el anzuelo a cualquiera que entre en la web equivocada.

P7 es una de esas copias, y de las cuidadas. iVerify la encontró en agosto de 2026, al investigar una infección en el iPhone de uno de sus clientes, y le puso el nombre por el prefijo «p7_» que sus autores dejaron en el código. Muchas variantes hechas con ayuda de IA ni siquiera funcionan, dice la empresa, pero esta la retocó alguien que entendía lo que tocaba. Deja menos rastro, evita atacar dos veces el mismo teléfono y saca del llavero, donde el iPhone guarda contraseñas y claves, los datos ya ordenados antes de enviarlos.

Además, se queda funcionando. La versión que analizó Lookout en marzo entraba, se llevaba los datos en cuestión de minutos y borraba sus archivos. P7, como dos de las que describió Google, espera órdenes. Se mete dentro de SpringBoard, el proceso que maneja la pantalla de inicio, y pregunta al servidor de los atacantes cada 15 segundos si hay alguna nueva. Con ellas puede recorrer y subir archivos, copiar la base de datos de Notas, enviar fotos, listar las apps instaladas, buscar apps de criptomonedas y extraer datos de una de ellas, imToken.

Por qué basta con abrir una web

Una página web trae código, en JavaScript, que el navegador ejecuta para que funcione. Para que vaya rápido, Safari lo traduce al vuelo con un compilador llamado JIT, y ahí están los dos fallos por los que entra DarkSword (uno para cada tanda de versiones), como detalla Google. Con ellos, la página consigue ejecutar sus propias instrucciones en el teléfono. Después salta fuera de la caja aislada en la que iOS encierra cada web, llega al núcleo del sistema y desde ahí puede leer lo que quiera, sin ningún aviso en pantalla.

En la campaña de Arabia Saudí, si la víctima abría la web en Chrome, la página intentaba abrirla en Safari. Google lo interpreta como que ese grupo no tenía entonces un ataque para Chrome, pero no dice que Chrome proteja, y los fallos solo los cierra una actualización de iOS.

¿Cómo acabas en esa web? Nadie tiene que mandarte un enlace sospechoso. Los atacantes ponen su código en páginas que ya visita la gente, como la de una agencia de noticias y la de un tribunal en Ucrania, o montan su propio cebo. El 29 de septiembre, Malwarebytes contó que había encontrado una página falsa para reservar el iPhone Duo, el primer iPhone plegable, que ofrecía un vale de 500 dólares y lanzaba el DarkSword filtrado nada más abrirse, sin que hiciera falta rellenar nada.

El caso más reciente es más retorcido. Una empresa checa de analítica para tiendas online cerró y su dominio, ecomtrack[.]io, caducó. El 15 de septiembre de 2026, alguien lo volvió a registrar. Las tiendas que seguían cargando su código de seguimiento recibían desde ese día el del atacante, que mandaba a sus visitantes a casinos, a estafas y, por una de las rutas, a una falsa plataforma de compraventa de criptomonedas que servía DarkSword. Lo ha documentado el investigador Scott Helme, de Report URI, según recoge The Hacker News. Es una vuelta de tuerca al truco de la tienda hackeada que reenviaba a una descarga falsa de Claude.

¿Qué es un zero-day y por qué DarkSword ya no lo es?

Un zero-day, o vulnerabilidad de día cero, es un fallo recién descubierto que aún no tiene parche, explica el INCIBE. Hasta que el fabricante lo arregla y la gente instala la actualización, los atacantes pueden aprovecharlo sin que nada se lo impida, y por eso sirve incluso contra un teléfono al día.

Tres de los seis fallos de DarkSword fueron zero-days cuando se usaron, según Google. Apple reconoció en las notas de iOS 18.7.3 que dos de ellos pudieron aprovecharse «en un ataque extremadamente sofisticado contra personas concretas». Apple los fue cerrando desde iOS 18.6, de julio de 2025, hasta iOS 26.3, de febrero de 2026, que ya los tiene todos corregidos. En iOS 18, sus notas de seguridad no recogen el arreglo de uno de ellos, el de dyld (la pieza del sistema que carga los programas), pero con la 18.7.3, del 12 de diciembre de 2025, la cadena ya no funciona, según Lookout. Esa versión, eso sí, solo llegó al XS, el XS Max y el XR, y el resto de los iPhone que seguían en iOS 18 tuvo que esperar a abril. Hoy, DarkSword vive del retraso de quien no actualiza.

Qué versiones están en peligro

En marzo, iVerify calculaba que hasta 270 millones de aparatos tenían alguna de las versiones atacadas. Apple da otra pista. El 7 de junio de 2026, el 14 % de los iPhone que pasaron ese día por la App Store seguía en iOS 18, según sus datos para desarrolladores, aunque esa cifra incluye a los que tienen los parches.

Tu versión	¿Le afecta DarkSword?	Qué hacer
De iOS 17.3 a 18.3	Queda fuera del rango documentado, pero le faltan muchos parches	Actualizar hoy
De iOS 18.4 a 18.7.2	Sí, es el rango al que apunta; P7 trae módulos de la 18.4 a la 18.7	Actualizar hoy
De iOS 18.7.3 a 18.7.10	No, según Lookout	Instalar la última que ofrezca Ajustes
De iOS 26.0 a 26.2	No se conoce ninguna versión que funcione en iOS 26, pero aún tenían alguno de sus fallos	Pasar a iOS 26.7.1 o a iOS 27.0.1
iOS 26.3 o posterior, e iOS 27	No, los seis fallos están corregidos, según Google	Dejar activadas las actualizaciones automáticas
iOS 17.2.1 o anterior (iPhone viejos)	DarkSword no, pero sí Coruna, el kit que lo acompaña, que va de iOS 13 a 17.2.1	Instalar la última de tu modelo (iOS 16.7.16 en el iPhone 8 y el X; iOS 15.8.8 en el 6s, el 7 y el primer SE)

Qué hacer según la versión de iOS, a 11 de octubre de 2026. Fuentes: Google, Lookout, iVerify, Censys y Apple.

¿Puede llegar a iOS 26? El 19 de septiembre, el jefe de seguridad de SlowMist, una empresa de seguridad de blockchain, avisó en X de que los atacantes podrían haberlo adaptado ya a iOS 26.5. No dio detalles técnicos, y ni Apple ni Google lo han confirmado, como recoge crypto.news. Las empresas que han analizado el código no han visto ninguna versión que funcione. iVerify contó en septiembre que había encontrado varios intentos de adaptarlo a iOS 26, probablemente hechos con IA, y que todos fallaban. El 7 de octubre, Censys describió los módulos para iOS 26 que preparaba un operador, pensados para un fallo del motor de JavaScript de Safari que no figura en las notas de seguridad de Apple. Están a medio hacer y sin lanzar, y la empresa pide no presentarlos como un ataque que funcione. Por eso conviene instalar siempre la última versión y no darse por protegido solo por estar en iOS 26.

Cómo mirar tu versión y actualizar

La versión que tienes sale en Ajustes > General > Información, según la ayuda de Apple. Para actualizar, ve a Ajustes > General > Actualización de software y, si hay una versión nueva, toca Descargar e instalar. Antes, Apple pide hacer una copia de seguridad en iCloud o en el ordenador y dejar el iPhone cargando y conectado a una wifi.

En esa misma pantalla, dentro de Actualizaciones automáticas, activa Instalación automática. El teléfono instalará las nuevas versiones de noche, mientras carga, con un aviso antes. Es la vía que usó Apple para llegar a quien se había quedado atrás. El 1 de abril de 2026 ofreció iOS 18.7.7 a todos los iPhone que seguían en iOS 18, del XS al 16e, para que quien tuviera activada esa opción recibiera sin hacer nada la protección contra DarkSword, como explica en la nota de esa versión. Hasta ese día, un iPhone 11 o posterior que siguiera en iOS 18 no tenía ninguna versión de iOS 18 con el arreglo, porque de la 18.7.3 a la 18.7.6 fueron solo para el XS, el XS Max y el XR.

Si tu iPhone es del 11 en adelante y sigue en iOS 18, mira bien el número. La última versión de iOS 18 que Apple publicó para esos modelos fue la 18.7.8, del 22 de abril de 2026; las de mayo y agosto (18.7.9 y 18.7.10) son solo para el XS, el XS Max y el XR, según su lista de versiones de seguridad. Con la 18.7.8, DarkSword no funciona, pero el teléfono lleva desde abril sin parches nuevos. Para volver a tenerlos hay que pasar a iOS 26.7.1 o a iOS 27.0.1, y cuál te conviene lo contamos en nuestra guía sobre si actualizar a iOS 27 o seguir en iOS 26.

Si tu iPhone no puede pasar de iOS 18

Son el iPhone XS, el XS Max y el XR, porque iOS 26 empieza en el iPhone 11. Su última versión es iOS 18.7.10, del 17 de agosto de 2026, y con ella DarkSword no funciona. Apple todavía les publicó parches en agosto, sin decir hasta cuándo seguirá. Con los años, también las apps dejan atrás los sistemas viejos. WhatsApp, por ejemplo, ha empezado a no dejar entrar a algunos móviles sin actualizar, según WABetaInfo, aunque hoy pide iOS 15.1 o posterior y estos modelos van muy por encima.

Si además crees que puedes ser un objetivo, por tu trabajo o por lo que guardas en el móvil, tienes el modo de aislamiento (Lockdown Mode, en inglés). Existe desde iOS 16, de modo que también está en estos modelos, y Google lo recomienda a quien no pueda actualizar. Apple lo describe como una protección extrema para los pocos usuarios que podrían sufrir los ataques más sofisticados, y avisa de que el teléfono deja de funcionar como siempre.

Con él activado, Mensajes bloquea la mayoría de los adjuntos y las vistas previas de enlaces, no entran las llamadas de FaceTime de quien no hayas llamado en los últimos 30 días, se quitan los álbumes compartidos y el iPhone deja de conectarse solo a redes wifi no seguras y de usar 2G y 3G. En Safari se apagan algunas «tecnologías web complejas», entre ellas la compilación JIT de JavaScript, como explicó Apple al presentarlo en 2022. Es la pieza donde están los fallos de entrada de DarkSword, aunque ni Google ni Apple dicen expresamente que lo frene.

Se activa en Ajustes > Privacidad y seguridad > Modo de aislamiento > Activar el modo de aislamiento, y después hay que tocar Activar y reiniciar. Si una web de confianza deja de funcionar bien, puedes excluirla, a costa de perder la protección en ella.

Qué hacer si llevabas meses sin actualizar

No hay un botón que diga si te han infectado. iVerify detectó P7 gracias a su propia herramienta, instalada en el teléfono de un cliente, y a un análisis forense posterior. Ninguno de los informes publicados habla de víctimas en España. Si tu iPhone estuvo en una de esas versiones y lo usabas para navegar, cuando ya esté actualizado conviene hacer tres cosas.

Cambia las contraseñas que más te importan, como las del correo, el banco y tu cuenta de Apple, y activa la verificación en dos pasos donde no la tengas, mejor con una app que por SMS. P7 se lleva el llavero, que es donde el iPhone las guarda.
Si tienes carteras de criptomonedas en el móvil, no guardes la frase de recuperación (las 12 o 24 palabras que permiten recuperar la cartera) en Notas ni en una foto o captura de pantalla. Las versiones que analizó Censys la buscan precisamente en esos sitios. Si ya la tenías ahí mientras el iPhone estaba en una de esas versiones, trátala como robada.
Si una web te lleva sola a otra de casinos o de compraventa de criptomonedas, ciérrala. Por ahí pasaba una de las rutas del caso de ecomtrack.

La tienda online seguirá cargando igual de rápido, quizá con la etiqueta de aquella empresa de analítica todavía dentro. A un iPhone con la última de iOS 18 de su modelo (la 18.7.8 o la 18.7.10), con iOS 26.7.1 o con iOS 27, el código que llegue por ella no encuentra por dónde entrar. A uno que se quedó en iOS 18.6, sí.

Comparte este artículo