Una falla en iOS y otra en WhatsApp permitió a ciberdelincuentes entrar a cuentas y solicitar transferencias a contactos.
Una vulnerabilidad en el sistema operativo iOS está siendo aprovechada por ciberdelincuentes para acceder a WhatsApp y suplantar la identidad de usuarios con el fin de pedir dinero a sus contactos sin que estos sepan qué está sucediendo.
Los primeros casos de esta estafa se detectaron en mayo en Italia y fueron comunicados a Forenser, una empresa italiana dedicada a la informática forense. Entonces, se comprobó que se vieron afectados distintos modelos de iPhone, todos ellos con alguna versión de iOS 16.
Dos fallos fueron explotados en cadena
La investigación permitió detectar que se explotan en cadena dos vulnerabilidades: una del sistema operativo iOS, CVE-2025-43300, de escritura fuera de límites en ImageIO, y otra de la propia aplicación de WhatsApp, CVE-2025-55177, relacionada con mensajes de sincronización de dispositivos vinculados, como recogen en Incibe.
Con ellas, el ciberdelincuente consigue acceso no autorizado al WhatsApp de su víctima. Lo particular del análisis forense es que en todos los móviles analizados no había rastro de un dispositivo externo vinculado ni de ninguna acción previa de vinculación por parte de la víctima.
Solicitudes de dinero a los contactos
Con dicho acceso, el ciberdelincuente enviaba mensajes a los contactos de la víctima en los que solicitaba transferencias de dinero.
Luego, limpiaba su rastro eliminando los mensajes con la opción “Eliminar solo para mí”.
Apple y WhatsApp corrigieron los fallos
Apple y WhatsApp corrigieron en septiembre de 2025 las vulnerabilidades CVE-2025-43300, un fallo de escritura fuera de límites en ImageIO, y CVE-2025-55177, relacionada con los mensajes de sincronización de dispositivos vinculados.
WhatsApp solucionó el problema en sus versiones para iOS (2.25.21.73) y Mac (2.25.21.78), mientras que Apple lo hizo en iOS 16.7.12.
WhatsApp notificó a menos de 200 usuarios que consideró “potencialmente afectados”, mientras que Apple informó de que había detectado “indicios de explotación contra personas concretas”.
El riesgo persiste para quienes no hayan actualizado tanto la aplicación como el sistema operativo.
Recomendaciones para evitar el fraude
En términos prácticos, mantener actualizado iOS y WhatsApp constituye una de las medidas principales para reducir la exposición a este tipo de ataques.
También resulta recomendable desconfiar de solicitudes de dinero recibidas desde cuentas de conocidos, incluso cuando el mensaje parezca proceder directamente de ellos, y verificar la petición mediante otro canal de comunicación.
