Seguridad desde el diseño: El sistema de defensa del SecurePhone contra el spyware comercial

El spyware comercial solía ser un problema exclusivo de los gobiernos. Ya no es así. Esta industria monetizada ahora vende la capacidad de tomar el control de un teléfono en silencio, sin necesidad de hacer clic, a cualquier gobierno dispuesto a pagar y, cada vez más, a compradores completamente ajenos al ámbito gubernamental. Según la Fundación Carnegie para la Paz Internacional, al menos 74 gobiernos, casi el 40 % de todas las naciones, han contratado a empresas comerciales para adquirir spyware o tecnología de análisis forense digital desde 2011.

La mayor parte de las soluciones del mercado de teléfonos móviles ha consistido en hacer que el teléfono que ya tienes sea más difícil de intervenirse: modos de seguridad activables por el usuario, versiones reforzadas de los mismos sistemas operativos y restricciones de funciones que hay que recordar activar. Estos enfoques tienen un valor real. Pero todos funcionan restringiendo una base que nunca se diseñó pensando en la amenaza del spyware comercial.

El SecurePhone de Sotera parte de una premisa diferente. En lugar de reforzar un sistema operativo de uso general después de un suceso, está basado en una arquitectura diseñada para eliminar las condiciones específicas de las que depende la mayoría del spyware comercial para funcionar. A continuación encontrarás una explicación sencilla de cómo funciona esto. Si busca la información técnica completa, puedes descargar nuestro informe técnico sobre cómo el SecurePhone se defiende del spyware comercial.

Un teléfono actualizado no significa una protección completa

Mantener actualizado el sistema operativo de tu teléfono reduce brechas en vulnerabilidades conocidas y realmente vale la pena. Sin embargo, esa protección solo cubre fallas ya descubiertas y corregidas, y el spyware comercial más avanzado funciona a partir de vulnerabilidades de día cero que todavía no han sido. Sumado a los ataques de cero clics (sin clicks, enlaces o necesidad de errores), esto significa que un teléfono totalmente actualizado puede seguir expuesto a un ataque que nadie ha descubierto todavía.

Para poner esto en perspectiva, en enero de 2025, el iPhone de una periodista europea fue intervenido sigilosamente por el spyware Graphite de Paragon mediante un ataque de cero clics a través de iMessage que no requirió ninguna acción de parte de ella, y no a través de un clic descuidado. Su teléfono estaba actualizado en ese momento. Citizen Lab, el grupo de investigación que después confirmó la infección, solo pudo rastrearla después de los hechos. Apple no corrigió la falla subyacente hasta meses después.

No se trata de un caso aislado. Los proveedores de vigilancia comercial (las empresas que desarrollan y venden spyware como Pegasus, Graphite y Predator) ya han superado ahora a grupos de hackers patrocinados por Estados como principales explotadores de vulnerabilidades no reveladas por primera vez desde que Google comenzó a recopilar estos datos, según un análisis del Google Threat Intelligence Group de marzo de 2026. La razón es clara: los sistemas operativos generales combinados con ecosistemas de aplicaciones abiertos ofrecen a los atacantes con recursos necesarios un objetivo lo suficientemente amplio y estático como para justificar una inversión sostenida. Cada vulnerabilidad que se encuentra en iOS o Android afecta a más de mil millones de dispositivos a la vez. Esa escala no significa que ataquen todos los dispositivos: el spyware comercial suele usarse en campañas específicas y dirigidas contra personas concretas. Pero los proveedores venden a una amplia cartera de clientes, así que un exploit tiene que funcionar en un grupo enorme de dispositivos para que valga la pena revenderlo.

El mercado ha respondido con ajustes, no con cambios en la arquitectura

La industria no ha ignorado esta amenaza. El Modo de bloqueo de Apple y el Modo de protección avanzada de Android reducen específicamente las funciones de mensajería, navegación y conectividad para disminuir a lo que un atacante puede llegar, y ambos tienen un historial realmente sólido. Apple ha declarado a la prensa que no tiene constancia de ningún ataque exitoso de spyware mercenario contra un dispositivo con el Modo de bloqueo activado, unafirmación respaldada de forma independiente tanto por el Laboratorio de Seguridad de Amnistía Internacional como por Citizen Lab.

Estas limitaciones no garantizan efectividad. Depende del tiempo y decisión del usuario. Ambos modos son opcionales, lo que significa que esta protección solo existe una vez que alguien ha decidido que es un posible objetivo y lo ha activa. Ese es un umbral difícil de superar frente a una categoría de ataque que se define precisamente por no dejar ningún rastro visible al cual reaccionar. La protección tampoco es constante para quienes la activan. El Modo de bloqueo, por ejemplo, bloquea las llamadas entrantes de FaceTime de cualquier persona con la que el usuario no haya estado en contacto en los últimos 30 días. Alguien que espera una llamada de una fuente o un contacto nuevo tiene una sola opción: desactivar el Modo de bloqueo para todo el dispositivo. Cada una de estas acciones son un breve momento donde se regresa a la superficie de ataque completa y habitual del dispositivo.

Ese es el patrón en las respuestas del mercado: cada opción actual es una restricción superpuesta a una base, iOS o Android, que se diseñó pensando ante todo en la apertura y a la que se le añadieron protecciones después de las circunstancias. La protección es un modo que se activa, no la base en la que se sostiene el dispositivo.

Cinco principios detrás de la arquitectura del SecurePhone

El SecurePhone tiene un punto de partida diferente: en lugar de restringir una plataforma abierta, elimina las condiciones que la mayoría del spyware comercial necesita para funcionar. Este es el panorama general: cinco capas, cada una cierra una parte distinta de cómo el spyware normalmente entra y se propaga.

Protección n.º 1: Un sistema operativo creado para hacer frente a la amenaza

El SecurePhone no funciona con iOS ni con Android. Utiliza Integrity-178B, de Green Hills Software, un sistema operativo en tiempo real que no comparte código base, arquitectura ni historial de vulnerabilidades con las plataformas que el spyware comercial está diseñado para atacar. Su trayectoria se forjó en sistemas de defensa y aviación, entornos que llevan años bajo la atención constante de adversarios con muchos recursos, y cuenta con la certificación de seguridad más alta que haya recibido jamás un sistema operativo comercial. iOS y Android, en cambio, nunca han sido evaluados a ese nivel, ni a ningún nivel comparable.

Protección n.º 2: Reducción de la superficie de ataque por diseño

La segunda capa es todo lo que no se encuentra en el teléfono. No hay tienda de aplicaciones, navegador web ni capacidad para instalar o descargar software. No están desactivados mediante un ajuste: están ausentes del dispositivo tal como viene de fábrica. El hardware de Wi-Fi, Bluetooth y GPS existe físicamente dentro del teléfono, pero nunca se implementó en el firmware, así que no hay ningún sistema activo que atacar. Esta es una realidad distinta al de una restricción opcional. No existe ninguna función inactiva escondida detrás de un ajuste, esperando ser reactivada por un perfil de configuración o un interruptor que alguien se olvide de volver a activar.

Protección n.º 3: Sin conexiones entrantes expuestas

Casi todo ataque de cero clics necesita lo mismo para funcionar: una forma de llegar al teléfono. El SecurePhone bloquea esa brecha al no exponer ningún puerto abierto ni servicio de escucha al que algo del exterior pueda conectarse directamente. Toda conexión de red la inicia el propio dispositivo, de forma saliente, hacia los servidores de Sotera. Las llamadas y los mensajes siguen llegando. Los servidores de Sotera notifican al dispositivo a través de la conexión que ya tiene abierta, y el dispositivo recoge el mensaje mediante ese canal saliente existente. Simplemente no hay ningún punto en ese proceso en el que alguien externo pueda iniciar contacto directo con el dispositivo.

Protección n.º 4: Aislar lo desconocido con compartimentos de desinfección

Bloquear las conexiones entrantes resuelve una vía de entrega, pero un mensaje de un contacto conocido todavía tiene que recibirse y procesarse una vez que llega. Por defecto, los datos entrantes en el SecurePhone se decodifican primero dentro de un compartimento aislado y desechable, separado del resto del sistema. Si algo en esa decodificación falla o se comporta de forma inesperada, se trata como un incidente de contaminación: todo lo que tocó esos datos se limpia, y nada avanza más allá en el dispositivo. Esto no es un modo que se pueda desactivar. Es por defecto, la forma en que el dispositivo procesa los datos entrantes siempre.

Protección n.º 5: 96 particiones, impuestas a nivel de hardware

La última capa es lo que sucede en caso algo salga mal en algún punto. El SecurePhone está dividido en 96 particiones discretas a nivel de hardware, impuestas a nivel del núcleo y del hardware, y no solo por convención de software. Cada controlador y aplicación, sin importar su función, se ejecuta dentro de su propia partición, con acceso restringido a una versión virtualizada del hardware que realmente está autorizado a usar. Si el spyware lograra invadir una parte del dispositivo (un solo controlador o una sola aplicación), ese ataque queda confinado, por defecto, a la partición en la que ocurrió. No existe una ruta automática desde un proceso comprometido hacia las claves, los mensajes o los controladores de otra partición.

El cifrado es parte de la solución, no el panorama completo

Es fácil asumir que la mensajería cifrada equivale a protección contra el spyware, pero no es así.

Pegasus y otras herramientas similares no rompen la criptografía que protege un mensaje. Intervienen el propio dispositivo y escanean los datos desde el mismo lugar donde lo hace la aplicación auténtica: antes de que se cifren para enviarse o después de que se descifren para mostrarse en pantalla. Por eso aplicaciones cifradas como WhatsApp y Signal no detienen al spyware: su cifrado protege la conexión entre dispositivos, no el dispositivo en sí. Una vez que un dispositivo está comprometido, esa protección se evade y no se rompe.

El SecurePhone utiliza la misma familia de protocolos de cifrado que Signal para cifrar la voz y el texto entre dos SecurePhones. Ese cifrado mantiene las comunicaciones privadas en tránsito, pero es una capa de protección distinta a las cinco anteriores, ya que aborda una amenaza diferente. Juntas, abordan ambos problemas: que el spyware entre al dispositivo y que las comunicaciones sean interceptadas en tránsito.

Lee el informe técnico completo

Esta publicación aborda la arquitectura a un nivel general. El informe técnico, Seguridad desde el diseño: El sistema de defensa del SecurePhone contra el spyware comercial, va más allá: los protocolos de cifrado específicos y el diseño de gestión de claves, cómo se impone la arquitectura de particiones a nivel del núcleo, y el alcance completo de las pruebas de penetración independientes realizadas por Netragard, la empresa de seguridad que validó las afirmaciones centrales del SecurePhone en 2022.