El gobierno alemán investiga un ciberataque dirigido contra dispositivos iPhone de diputados del Bundestag y miembros del propio gobierno federal, tras notificaciones de amenaza enviadas por Apple que alertaban que ciertos aparatos habían sido comprometidos por spyware mercenario. El ataque, ocurrido alrededor del 29 de octubre, ilustra la creciente vulnerabilidad de los políticos en las democracias occidentales ante la industria cada vez más lucrativa de herramientas de espionaje digital.
El descubrimiento comenzó cuando la Oficina Federal para la Seguridad de la Información (BSI, Bundesamt für Sicherheit in der Informationstechnik) detectó que varios miembros del Bundestag y figuras públicas alemanas habían recibido notificaciones de amenaza de Apple. Estas notificaciones se envían cuando Apple identifica indicios de que un usuario fue blanco de un ataque específico con spyware comercial desarrollado para actividades de inteligencia y espionaje.
El ministro federal del Digital, Karsten Wildberger (CDU), confirmó públicamente los informes en ARD, reconociendo que el ataque ocurrió y declarando que la investigación estaba en curso. "Esto es algo que, naturalmente, acompañamos con preocupación", dijo Wildberger a ZDFheute. "Lamentablemente, esto ya ha ocurrido antes."
El BSI emitió una alerta detallada durante el fin de semana, aconsejando a los usuarios afectados que asumieran que sus dispositivos estaban comprometidos. La agencia recomendó que todos los afectados se comunicaran directamente con el BSI. El 30 de octubre, la agencia envió una carta informativa a todos los miembros del Bundestag, alertándolos sobre el peligro y orientándolos sobre las medidas de seguridad recomendadas.
Según el BSI, el ataque utilizó técnicas "zero-click", lo que significa que los mensajes maliciosos no necesitaban ser abiertos o interactuados por el usuario para infectar el dispositivo. "Los afectados generalmente no se percatan de nada", dijo un portavoz del BSI. Una vez infectado, el spyware puede eludir todas las barreras de seguridad del dispositivo, acceder a mensajes —incluso en aplicaciones de mensajería encriptadas—, llamar contactos, rastrear ubicación, activar cámaras y micrófonos sin el conocimiento del propietario.
Lo que hace este caso particularmente preocupante es que, aunque Apple envía este tipo de notificación en varios países, esta vez un número significativamente mayor de políticos alemanes parecen haber sido blancos. La propia Apple confirmó a Heise que las notificaciones fueron enviadas el 29 de octubre, pero afirmó no proporcionar detalles sobre la identidad de los atacantes o el tipo exacto de spyware utilizado. La compañía también destacó que, aunque las notificaciones son altamente confiables como indicador de un ataque dirigido, no confirman si el ataque fue exitoso o si los datos fueron efectivamente exfiltrados.
Hasta el momento, no se ha aclarado si el canciller alemán Friedrich Merz u otros ministros de alto rango estaban entre los afectados. El portavoz del gobierno federal, Stefan Kornelius, dijo al Financial Times que el gobierno "está tomando el incidente y la advertencia muy en serio", pero no especificó quiénes estaban entre los blancos.
El spyware mercenario se refiere a programas de espionaje comercialmente desarrollados y vendidos principalmente a gobiernos y agencias de inteligencia. El NSO Group israelí, fabricante del controvertido Pegasus, es la empresa más conocida del sector, pero hay varios otros proveedores, incluyendo la francesa Cybellum y compañías estadounidenses. Estos softwares son extremadamente caros —informes anteriores estimaron que una única licencia puede costar cientos de miles de dólares—, lo que sugiere que los atacantes son probablemente estados-nación con presupuestos de ciberoperación substanciales.
El caso plantea cuestiones importantes sobre la seguridad digital de gobiernos democráticos. La propia Alemania tiene una relación ambigua con spyware mercenario: el BKA (oficina federal de policía) compró acceso al Pegasus en 2019, según revelado por Forbidden Tech. La compra fue posteriormente cuestionada por organizaciones de derechos humanos y llevada al Parlamento Alemán, que realizó audiencias sobre el uso de spyware por autoridades de aplicación de la ley.
Apple envió notificaciones de amenaza similares en 150 países, afectando usuarios en 99 naciones en esta ronda, que fue la segunda en menos de un año —la primera ocurrió en agosto. En las rondas anteriores, Apple también alertó sobre ataques a periodistas, activistas y figuras políticas en todo el mundo, incluyendo México, Brasil, India y países europeos. El hecho de que la empresa nunca divulgue exactamente cuáles amenazas identificó o qué proveedores de spyware estaban involucrados deja a los usuarios afectados con pocas opciones de respuesta más que asumir lo peor y reemplazar sus dispositivos.
La investigación del BSI continúa. La agencia aún no ha divulgado estimativas del número exacto de dispositivos comprometidos, ni ha identificado el grupo o estado responsable del ataque. Hasta ahora, los especialistas del BSI no han podido determinar el origen o el contexto específicos de las notificaciones.
El caso refuerza una tendencia preocupante: a medida que la espionaje digital se vuelve más sofisticada y accesible a actores estatales, los propios gobiernos democráticos se vuelven blancos vulnerables. Para parlamentarios que lidian con cuestiones sensibles —desde investigaciones de ciberseguridad hasta decisiones sobre regulación de inteligencia artificial—, la posibilidad de comunicación privada comprometida no es solo una amenaza a la privacidad individual, sino un riesgo sistémico a la gobernanza democrática.
La pregunta que queda es si, en un mundo donde incluso el canciller puede tener un iPhone espiable, las democracias occidentales están preparadas para proteger a sus propios decisores políticos de una industria que mueve billones y crece sin control efectivo.
Fuentes: Heise Online, ZDFheute, Der Spiegel
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
