Meta alerta por un WhatsApp falso con spyware que espía mensajes, cámara y ubicación

Los equipos de seguridad de Meta han desarticulado una campaña de espionaje digital en la que una empresa italiana de vigilancia distribuyó un WhatsApp falso capaz de leer mensajes privados, encender la cámara y rastrear la ubicación del teléfono. La firma responsable es Asigint, filial del grupo SIO Spa, con sede en el norte de Italia. Unos 200 usuarios, principalmente italianos, instalaron sin saberlo la aplicación maliciosa.

Una app que parecía WhatsApp pero no lo era

La clave de esta campaña no estuvo en ninguna vulnerabilidad técnica de la aplicación oficial. WhatsApp fue explícito al respecto: el cifrado de extremo a extremo de sus mensajes nunca quedó comprometido. Lo que hicieron los atacantes fue algo más sutil —y, en cierto modo, más preocupante— convencer a los propios usuarios de que instalaran ellos mismos el programa de vigilancia.

Para conseguirlo recurrieron a la ingeniería social, una técnica que no requiere conocimientos avanzados de hackeo sino un buen manejo del engaño y la psicología. Las víctimas recibieron, por distintos canales, un enlace a una supuesta versión mejorada o actualización especial de WhatsApp. Nada de lo que se les envió procedía de la App Store ni de Google Play: la descarga se realizó a través de canales externos con menores controles de seguridad, lo que permitió esquivar los filtros de las tiendas oficiales. Según el diario italiano La Repubblica, aún no está claro si los atacantes aprovecharon técnicas antiguas de instalación mediante certificados o las nuevas posibilidades de carga lateral introducidas por el reglamento europeo DMA.

Una vez instalada, la aplicación funcionaba con aparente normalidad. Los usuarios enviaban y recibían mensajes sin percibir nada fuera de lo común. Lo que ignoraban es que, en paralelo, el programa reenviaba toda esa actividad a una infraestructura de vigilancia controlada por terceros. Mensajes, listas de contactos, registros de llamadas, micrófono activo en segundo plano, acceso a la cámara... todo quedaba expuesto.

Quién hay detrás: Asigint y el negocio europeo de la vigilancia

Asigint no es una empresa oscura recién nacida en un garaje. Es la filial de SIO Spa, una compañía con décadas de trayectoria en el sector de la vigilancia tecnológica institucional. En su web, SIO presume de ofrecer soluciones de ciberinteligencia de alto rendimiento para fuerzas de seguridad, organismos gubernamentales y agencias de inteligencia. Ese perfil es, precisamente, lo que hace el caso tan llamativo: no se trata de ciberdelincuentes operando en la clandestinidad, sino de una empresa que trabaja abiertamente con gobiernos y que, según la investigación de Meta, habría dirigido sus herramientas de vigilancia contra objetivos civiles.

La compañía ya había aparecido antes en el radar de los investigadores. TechCrunch publicó a principios de 2025 un informe que vinculaba a SIO con el desarrollo del spyware Spyrtacus, una familia de aplicaciones maliciosas para Android que suplantaban a WhatsApp y otras apps populares para extraer datos de los dispositivos infectados. El modus operandi de entonces y el de ahora presenta paralelismos evidentes: misma empresa matriz, mismo método de distribución, misma aplicación como señuelo.

Ni SIO ni Asigint han emitido comunicado alguno en respuesta a las acusaciones. Pese al impacto mediático del caso en Italia y al eco generado en toda Europa, la empresa guarda silencio.

Qué ha hecho Meta y qué debes hacer si usas WhatsApp

La respuesta de WhatsApp fue inmediata. En cuanto sus equipos identificaron a los usuarios afectados, cerraron sus sesiones activas y les enviaron alertas con información detallada sobre los riesgos para su privacidad. Además, les instaron a desinstalar la aplicación maliciosa y reinstalar la versión oficial desde las tiendas autorizadas.

Meta ha anunciado también su intención de emprender acciones legales contra Asigint para que cese cualquier actividad dañina. No sería la primera vez. La compañía subraya que este es el segundo caso en quince meses en el que se ve obligada a intervenir contra operaciones de spyware vinculadas a empresas italianas. El anterior episodio, protagonizado por Paragon —otra firma del sector, de propiedad americana—, derivó en la rescisión del contrato con el Gobierno italiano en medio de una intensa controversia política. Italia se ha convertido, de hecho, en uno de los centros de gravedad del debate europeo sobre el uso comercial del spyware: junto a SIO y Paragon, nombres como Cy4Gate, eSurv, Negg o RCS Lab confirman que el país alberga una industria de vigilancia consolidada.

Para los usuarios en España, la lectura es directa. La amenaza no llegó por ninguna falla técnica de difícil comprensión: llegó porque alguien hizo clic en un enlace y descargó algo fuera de los canales habituales. Eso puede pasarle a cualquiera.

La primera regla —y la más sencilla— es instalar siempre las aplicaciones desde Google Play o la App Store de Apple, sin excepciones. Si recibes un enlace para descargar una "versión especial" de WhatsApp o de cualquier otra app de mensajería, es una señal de alarma inmediata. La segunda: revisar con cierta regularidad las sesiones activas en WhatsApp. Desde el menú de ajustes de la aplicación oficial es posible ver en qué dispositivos está conectada la cuenta; si aparece alguno desconocido, hay que cerrarlo de inmediato.

Eso sí, el cifrado de extremo a extremo de WhatsApp sigue completamente intacto. Quienes usan la versión legítima descargada desde las tiendas autorizadas no tienen motivo de alarma por esta campaña concreta. El problema no está en la app oficial — está en sus imitaciones.

Casos como este recuerdan que el eslabón más débil de la cadena de seguridad digital no suele ser la tecnología, sino la confianza que depositamos en lo que instalamos. Italia será el epicentro de este escándalo, pero el método funciona en cualquier idioma y en cualquier país.