LightSpy ya no es una amenaza confinada a la China continental. Una investigación publicada por Arctic Wolf y difundida por TechCrunch muestra que esta plataforma modular de espionaje móvil, atribuida a actores estatales chinos, ha ampliado sus operaciones a al menos 13 países, incluidos Estados Unidos y varias naciones europeas. Lo que inquieta a los analistas no es solo la geografía, sino la naturaleza de la herramienta: LightSpy no es un simple malware que roba contraseñas, sino un arsenal completo capaz de exfiltrar contactos, mensajes, historial de navegación, datos de GPS, grabaciones de micrófono e incluso borrar el dispositivo comprometido.
La historia de LightSpy ayuda a explicar su madurez actual. Los investigadores de ThreatFabric han seguido el proyecto durante años y han documentado su evolución desde los primeros implantes para iOS. A mediados de 2024, la firma reveló que el grupo había migrado a una infraestructura de servidores unificada, orquestando campañas simultáneas contra macOS e iOS. En febrero de 2025, la plataforma ya soportaba más de cien comandos y amplió sus módulos de iOS de 12 a 28 plugins, siete de ellos con capacidad destructiva que impiden que el teléfono arranque. La conexión con el spyware Android DragonEgg, establecida por The Hacker News en 2023, refuerza la tesis de una familia integrada de implantes bajo un mismo ecosistema.
La distribución es otro rasgo sofisticado. En lugar de depender exclusivamente de vulnerabilidades, el grupo combina aplicaciones maliciosas, sitios web armados e infraestructura en la nube repartida por varios países. Arctic Wolf contabilizó al menos 117 servidores activos, y parte de los routers comprometidos está asociada a miembros de la OTAN, un claro indicio de que los objetivos no son solo ciudadanos comunes. La arquitectura modular utiliza un núcleo que despacha comandos y plugins que pueden actualizarse dinámicamente, lo que permite adaptar la carga útil a cada víctima sin volver a desplegar el implante completo.
La atribución es la parte más reveladora de la investigación. Los operadores terminaron delatándose por un detalle banal: un pedido de KFC hecho con el nombre real y la dirección de la oficina, lo que permitió a los investigadores rastrear la actividad hasta una empresa china concreta. El dato refuerza el vínculo con actores estatales chinos, aunque Arctic Wolf mantiene cautela y ha compartido sus hallazgos con el FBI y el Departamento de Seguridad Nacional de EE. UU.
Comparado con Pegasus y Predator, LightSpy ocupa un lugar propio en el oscuro mercado de la vigilancia. Pegasus, vinculado al grupo NSO, se vende comercialmente a gobiernos; LightSpy, en cambio, parece servir directamente a los intereses de la inteligencia china, con mucha menos transparencia sobre quién lo opera. Las implicaciones para el espionaje son profundas: al atacar routers, servidores y teléfonos, el grupo construye un retrato completo de diplomáticos, periodistas y activistas en el extranjero.
Para los usuarios en riesgo, la mitigación exige disciplina. Mantener sistemas y aplicaciones actualizados es esencial, pues el grupo reutiliza exploits divulgados públicamente. También conviene restringir instalaciones fuera de las tiendas oficiales, auditar permisos sensibles como el micrófono y la ubicación, y supervisar el tráfico de red en busca de servidores de mando y control desconocidos. La pregunta que queda es incómoda: si una plataforma tan sofisticada fue descubierta por casualidad, ¿cuántas otras siguen invisibles, esperando el próximo error humano para aparecer ante los ojos del mundo?
Fuentes: TechCrunch, The Hacker News, ThreatFabric, The Hacker News
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
