Una empresa de seguridad usó herramientas de IA para encontrar un fallo en WeChat y montar, en poco más de una semana, un virus que se propagaba solo con una videollamada sin contestar. Ya está parcheado, pero el aviso va para todos: el tiempo entre descubrir un agujero y explotarlo se ha desplomado.
La empresa de seguridad Calif ha presentado WeWorm, un virus de prueba que secuestraba la app de mensajería WeChat tanto en iPhone como en Android a través de una llamada de voz que la víctima no contestaba. Una vez dentro, usaba la cuenta de esa persona para llamar a sus contactos y repetir el proceso. En la demostración encadenaron un Android atacante con un iPhone y de ahí a un segundo Android, y los teléfonos objetivo seguían sonando mientras ya estaban comprometidos.
Lo relevante no es el virus, es el reloj. Trabajando con herramientas de IA, el equipo dice que encontró el fallo de memoria en el sistema de llamadas de WeChat y escribió el primer código capaz de ejecutar órdenes en el móvil a distancia en unos dos días, y que tardó otra semana en convertirlo en un virus que se propaga solo. Calif avisó a Tencent, la dueña de WeChat, en julio, y la empresa ya ha publicado parches para Android (versión 8.0.77), iOS (8.0.76) y sus servidores. Según recogió The New York Times, los expertos consultados calculan que una versión real de este ataque podría haber alcanzado cientos de millones de cuentas en cuestión de horas.
Hasta ahora, encontrar un agujero de este tipo en una app usada por cientos de millones de personas y convertirlo en algo que se propaga solo era trabajo de un equipo grande durante meses. Aquí lo ha hecho un laboratorio pequeño con ayuda de modelos de IA en poco más de una semana.
Eso cambia una regla que mucha gente da por buena sin pensarla: la idea de que "nadie va a molestarse en atacarme a mí". Cuando el coste de fabricar el ataque baja tanto, lo que se ataca ya no es una persona, es una plataforma entera de golpe. Y hay un detalle que conviene entender bien: esto era cero clics. La víctima no pinchó en nada, no descargó nada, no metió ninguna contraseña. Solo tenía el móvil encima de la mesa sonando.
Aquí en España WeChat casi no se usa, así que no te toca directamente. Pero la app da igual: WhatsApp, Telegram, Zoom o el sistema de videollamada de tu centro de salud comparten el mismo tipo de ingredientes —llamadas, vídeo, audio—, que son justo la parte más delicada de cualquier aplicación. Y hay otra pata: en el mismo repaso de ayer aparecía que los delincuentes están montando sistemas de varios agentes de IA coordinados para automatizar el robo de credenciales, repartiéndose el trabajo entre buscar víctimas, preparar el engaño y ejecutarlo. La ofensiva se está abaratando por los dos lados.
No hay nada que comprar y nada que instalar. Hay una rutina que dejar de aplazar:
Esto lo hemos leído en el repaso diario de Tech Startups, que es un agregador: resume lo que publicó The New York Times, y no hemos ido al artículo original ni al informe técnico de Calif. Los detalles finos pueden variar respecto a la fuente primaria.
Tampoco está confirmado por nadie que este ataque se haya usado de verdad contra usuarios reales: por lo que se cuenta, era una prueba de concepto de una empresa de seguridad, avisada al fabricante y ya parcheada. La cifra de "cientos de millones de cuentas en horas" es una estimación de expertos consultados por el periódico, no una medición de algo que haya pasado.
No sabemos qué herramientas de IA concretas usó el equipo ni cuánto del trabajo hizo la máquina y cuánto las personas, que es justo el dato que diría si esto lo puede repetir cualquiera o sigue haciendo falta un especialista. Y no hay ninguna indicación de que apps de mensajería europeas tengan un fallo parecido ahora mismo: eso es una precaución razonable por nuestra parte, no un hecho.
