A veces uno se levanta, se toma el primer café del día —doble, por supuesto, que aquí en Cartagena ya sabemos que sin cafeína no hay quien arranque— y se encuentra con noticias que parecen sacadas de una novela de Tom Clancy, pero con un toque de chapuza digital que asusta. Resulta que el kit «Coruna», una herramienta de hacking de altísimo nivel diseñada específicamente para asaltar iPhones, ha terminado en las manos menos indicadas. Sí, hablo de Rusia y China. Y no, no es que lo hayan comprado en una oferta de Black Friday; es que la tecnología de L3Harris, un gigante de la defensa estadounidense, se ha filtrado como si fuera el guion de la última temporada de una serie de Netflix.
La verdad es que esto de la ciberseguridad es un poco como el juego del gato y el ratón, pero con esteroides y presupuestos de miles de millones de euros. Lo que nos cuenta Diario฿itcoin no es solo un cotilleo de oficina técnica; es un recordatorio de que, en el mundo del código, nada es realmente privado si alguien con suficiente paciencia y recursos decide que quiere entrar. Y cuando hablamos de L3Harris, no estamos hablando de cuatro chavales en un garaje de Silicon Valley. Estamos hablando de una de las corporaciones más potentes del complejo militar-industrial de Estados Unidos. Que se les escape un juguete así es, para que nos entendamos, como si a la Guardia Civil se le olvidaran las llaves de todos los cuarteles de España puestas en la cerradura.
Vamos por partes, que diría aquel. El kit Coruna no es una aplicación que te descargas de la App Store para ponerle filtros de gatito a tus fotos. Es lo que en el mundillo llamamos un «exploit kit» de grado militar. Su objetivo principal es el iPhone, ese dispositivo que muchos llevamos en el bolsillo convencidos de que es una caja fuerte inexpugnable. La gracia (o la desgracia) de estas herramientas es que aprovechan vulnerabilidades que ni siquiera Apple conoce, las famosas «Zero-Days».
Imagina que tu casa tiene una cerradura de última generación, alarmas, cámaras y un perro que muerde. Pero, de repente, alguien descubre que si golpeas la ventana de la cocina de una forma muy específica, la puerta principal se abre de par en par. Eso es un Zero-Day. Y el kit Coruna es el martillo diseñado para dar ese golpe exacto. Lo que hace que este caso sea especialmente sangrante es el nombre: «Coruna». No sé si el ingeniero que le puso el nombre estuvo de vacaciones por Galicia comiendo pulpo o si simplemente le pareció un nombre sonoro, pero lo cierto es que ver un nombre tan nuestro vinculado a una herramienta de espionaje internacional tiene su aquel.
Ojo con esto: estas herramientas no se usan para leerle el WhatsApp a tu ex. Se usan para espionaje de alto nivel, para entrar en los teléfonos de políticos, periodistas, activistas o directivos de empresas estratégicas. En España, ya tenemos el cuerpo curtido con el tema de Pegasus, ¿os acordáis? Pues esto es, básicamente, el primo zumosol de Pegasus, desarrollado por una empresa que factura miles de millones vendiendo armas y sistemas de comunicación al Pentágono.
L3Harris: El gigante que tropezó con su propio código
Para entender la magnitud del desastre, hay que saber quién es L3Harris. No es una empresa que verás anunciada en la tele entre un anuncio de detergente y uno de coches. Son los que fabrican desde sistemas de visión nocturna hasta radios tácticas para el ejército. Hace un tiempo, intentaron comprar NSO Group, la empresa israelí detrás de Pegasus, pero el gobierno de Biden les paró los pies porque, claro, eso de que una empresa americana controle un software de espionaje tan polémico no quedaba muy bien en las fotos.
Pero claro, si no puedes comprar el juguete, te lo fabricas tú. Y ahí es donde entra el desarrollo de herramientas propias como Coruna. El problema es que el software, a diferencia de un tanque o un misil, es extremadamente fácil de copiar una vez que alguien le pone la mano encima. No necesitas un camión para llevártelo; te basta con un pendrive o una conexión a internet medio decente. Y según las informaciones que están circulando, parece que los servicios de inteligencia de Rusia y China no solo le han puesto la mano encima, sino que ya lo están destripando para ver cómo funciona.
La verdad es que esto me recuerda a cuando dejas una herramienta buena a un vecino y nunca te la devuelve, solo que aquí el vecino tiene armas nucleares y muchas ganas de saber qué se cuece en los despachos de la Unión Europea o de la Moncloa. La filtración de este tipo de tecnología nivela el campo de juego de una forma muy peligrosa. Si los rusos tienen el kit Coruna, pueden empezar a buscar formas de defenderse de él o, peor aún, usarlo contra objetivos occidentales utilizando la propia tecnología de «casa».
El impacto en el tablero español: ¿Estamos en el punto de mira?
A ver, no quiero ser alarmista, pero España no es un espectador neutral en todo esto. Somos un nodo logístico importante, tenemos empresas tecnológicas punteras y, seamos sinceros, nuestra posición en el Mediterráneo nos hace muy jugosos para cualquier servicio de inteligencia. Si una herramienta diseñada para hackear iPhones cae en manos de potencias extranjeras, la seguridad de nuestras comunicaciones nacionales se pone en entredicho.
Pensemos en el tejido empresarial español. Muchas de nuestras empresas del IBEX 35 operan en sectores críticos: energía, banca, telecomunicaciones. Los directivos de estas empresas suelen usar iPhones por esa supuesta capa extra de seguridad. Si el kit Coruna permite saltarse esa seguridad, estamos hablando de que secretos industriales, estrategias de mercado o datos financieros sensibles podrían estar a un clic de distancia de Moscú o Pekín. Y no es que lo diga yo por decir, es que la historia reciente nos demuestra que el espionaje industrial es el pan de cada día.
Además, está el tema del CNI (Centro Nacional de Inteligencia) y el CCN-CERT. Estos organismos se pasan el día parcheando agujeros y vigilando amenazas. Que aparezca una herramienta nueva en el mercado negro (o en el mercado de inteligencia estatal) significa que tienen que volver a empezar de cero para analizar cómo proteger los dispositivos oficiales. Es un gasto de recursos brutal provocado, en última instancia, por la mala gestión de una empresa privada al otro lado del charco.
¿Cómo llega un software de este tipo a manos enemigas?
Esta es la pregunta del millón. ¿Cómo se le escapa a L3Harris algo tan valioso? Hay varias teorías, y ninguna es especialmente reconfortante:
- El topo interno: Alguien dentro de la empresa, ya sea por dinero o por ideología, decide filtrar el código. Es el clásico caso de Edward Snowden, pero sin el componente ético de «informar al público».
- Ciberataque directo: Irónicamente, la empresa que fabrica herramientas para hackear es hackeada. Los grupos de APT (Advanced Persistent Threats) rusos o chinos son maestros en infiltrarse en redes de contratistas de defensa.
- Ingeniería inversa en el campo de batalla: Si el kit Coruna se usó en alguna operación real y el dispositivo objetivo fue capturado o analizado, es posible que los expertos del otro bando lograran extraer y reconstruir la herramienta.
Sea como sea, el daño ya está hecho. Una vez que el código está «fuera», es imposible volver a meterlo en la botella. Es como intentar recoger el agua que se ha derramado en la arena de la playa de Cala Cortina; puedes intentarlo, pero al final solo te quedas con las manos mojadas y un montón de arena.
La fragilidad del ecosistema Apple ante ataques de estado
Apple siempre ha vendido la privacidad como uno de sus pilares fundamentales. «Lo que pasa en tu iPhone, se queda en tu iPhone», decían sus anuncios. Y en gran medida es cierto para el usuario común. El cifrado de iOS es excelente y la arquitectura de seguridad es de las mejores del mundo. Pero —y este es un «pero» del tamaño de la Catedral de Murcia— ninguna cerradura aguanta un ariete diseñado específicamente para derribarla.
El kit Coruna aprovecha lo que llamamos «cadenas de exploits». No es solo un agujero, es una serie de pequeños fallos que, combinados, permiten al atacante escalar privilegios hasta tener el control total del dispositivo. Puede activar el micrófono, la cámara, leer mensajes cifrados de Signal o WhatsApp (porque los lee antes de que se cifren o después de que se descifren en la pantalla) y rastrear la ubicación en tiempo real.
Lo que me parece más inquietante es que estos ataques suelen ser «Zero-Click». Es decir, no necesitas pinchar en un enlace sospechoso ni descargar un archivo raro. Te mandan un mensaje invisible, el teléfono lo procesa, y ya estás infectado. Sin que te des cuenta. Sin que el teléfono se caliente o la batería baje más rápido. Es ciberespionaje quirúrgico.
¿Qué podemos hacer los mortales?
Llegados a este punto, podrías pensar: «Vaya, pues tiro el móvil al Segura y me compro uno de esos antiguos de teclas». Bueno, tampoco hay que pasarse. Para el 99% de la población, un iPhone sigue siendo un dispositivo muy seguro. Estas herramientas son caras de usar y se reservan para objetivos de alto valor. Si eres un panadero de Cartagena o un programador en Madrid, es poco probable que el gobierno chino gaste un recurso de millones de euros en ver tus fotos del último caldero que te comiste.
Sin embargo, hay lecciones que todos podemos aprender:
- Actualiza siempre: Apple lanza parches de seguridad en cuanto descubre estos fallos. No ignores esa notificación de actualización.
- Reinicia el teléfono: Muchos de estos exploits viven en la memoria RAM y no sobreviven a un reinicio. Hacerlo una vez al día puede limpiar infecciones temporales.
- Sentido común: Aunque existan los ataques Zero-Click, la mayoría de las infecciones siguen entrando por el eslabón más débil: nosotros. No pinches en cosas raras.
El negocio de la guerra digital: Un dilema ético
La existencia de empresas como L3Harris o NSO Group plantea un debate que en España solemos pasar de puntillas, pero que es vital. ¿Debería permitirse que empresas privadas desarrollen armas digitales que pueden ser usadas contra ciudadanos o gobiernos aliados? El problema es que el software de espionaje es una zona gris. No es un misil que explota, es una herramienta de «vigilancia».
Vaya, que le ponemos nombres bonitos para que no suene tan mal. Pero al final del día, es tecnología que debilita la seguridad global. Cuando una empresa crea una llave maestra para entrar en cualquier iPhone, está creando un riesgo para todos los usuarios de iPhone del mundo. Porque, como hemos visto con el kit Coruna, las llaves maestras tienden a perderse o a ser robadas.
En el contexto español, esto debería hacernos reflexionar sobre nuestra dependencia tecnológica. Si usamos tecnología extranjera para nuestras comunicaciones críticas, estamos a merced de la seguridad (o la falta de ella) de esas empresas. Quizás va siendo hora de apostar más fuerte por soluciones de ciberseguridad soberanas, desarrolladas aquí, con talento local, que de eso en España nos sobra, aunque a veces tengan que irse fuera para que les hagan caso.
Crónica de una filtración anunciada
La noticia de Diario฿itcoin no es un hecho aislado. Si echamos la vista atrás, recordaremos la filtración de las herramientas de la NSA (la famosa «EternalBlue» que causó el caos con el ransomware WannaCry). Parece que las agencias de inteligencia y sus contratistas no aprenden la lección: si construyes un arma digital, tarde o temprano alguien la usará contra ti.
Lo que hace que el caso de L3Harris sea especialmente irónico es su posición en el mercado. Se presentan como los guardianes de la seguridad nacional, los proveedores de confianza del ejército más poderoso del mundo. Y sin embargo, han permitido que su «joya de la corona» para el hacking de iPhones acabe en los servidores de inteligencia de sus principales rivales geopolíticos. Es un golpe de realidad brutal.
Para que nos entendamos, es como si una empresa de seguridad que te vende la mejor alarma del mercado se dejara los planos de tu casa y los códigos de desactivación olvidados en un banco del parque. La confianza se rompe, y reconstruirla no es fácil.
¿Y ahora qué? El futuro tras el kit Coruna
La conclusión que saco de todo esto es que estamos entrando en una era de «proliferación digital» muy parecida a la carrera armamentística nuclear de la Guerra Fría, pero mucho más caótica. En aquella época, sabías quién tenía las bombas y dónde estaban los silos. Hoy, las armas son líneas de código que viajan a la velocidad de la luz y que pueden estar escondidas en cualquier servidor del mundo.
Apple seguramente ya esté trabajando a destajo (si no lo ha hecho ya) para cerrar los agujeros que el kit Coruna explotaba. Pero los servicios de inteligencia rusos y chinos ya tienen el manual de instrucciones. Saben qué buscar y cómo lo buscaban los americanos. Esto les da una ventaja táctica enorme para desarrollar sus propias herramientas o para mejorar sus defensas.
Al final, los que quedamos en medio somos nosotros, los usuarios. Aquellos que confiamos en que la tecnología que compramos es segura. La verdad es que la seguridad absoluta no existe, y menos cuando hay intereses estatales de por medio. Pero no por ello debemos tirar la toalla. La ciberseguridad es una responsabilidad compartida: desde el ingeniero de L3Harris que debe custodiar mejor su trabajo, hasta el usuario de a pie que debe mantener su dispositivo actualizado.
Me pregunto qué pensarán en las oficinas de Apple en Cupertino cada vez que sale una noticia así. Deben de estar de un humor de perros. Y con razón. Que una empresa externa se dedique a romper tu producto para vendérselo a gobiernos ya es molesto, pero que encima dejen que esa tecnología se filtre a potencias rivales es para apagar las luces e irse a casa.
En fin, seguiremos atentos a ver cómo evoluciona este culebrón digital. Por ahora, si tienes un iPhone, mi consejo es el de siempre: actualiza, reinicia de vez en cuando y no te creas que por ser un dispositivo de Apple es inmune a todo. Porque, como hemos visto, hasta los secretos mejor guardados de la defensa estadounidense acaban saliendo a la luz, a veces por la puerta de atrás y con un nombre tan español como «Coruna».
Y es que, la verdad, en este mundo de bits y bytes, a veces parece que aquí no hay quien viva… tranquilo.
Deja una respuesta