Pegasus y FORCEDENTRY en iPhone
Lo que dicen las fuentes sobre Pegasus en iPhone: fallos explotados, parches de Apple de septiembre de 2021 y hábitos sencillos para el empleado.
En 30 segundos
- Qué quiere el atacante
- Ejecutar su propio código en el dispositivo y pasar después de un acceso limitado a derechos ampliados1.
- El reflejo
- Instalar las actualizaciones sin esperar, porque a menudo contienen parches de vulnerabilidades1.
- Si ya ha ocurrido
- Avisar sin demora al servicio de seguridad de la empresa y no intentar limpiar el teléfono por su cuenta.
De qué se trata
Pegasus figura en el marco MITRE ATT&CK como «Pegasus for iOS», un software que explota vulnerabilidades de iOS para elevar sus privilegios1. Para un empleado, la consecuencia es sencilla: un teléfono actualizado es más difícil de comprometer.
Esta ficha se limita a lo que establecen las fuentes citadas aquí. Describen la lógica general de los ataques mediante vulnerabilidades en móviles, una distribución de Pegasus para iOS a través de un sitio web y un conjunto de parches de Apple de septiembre de 2021. No contienen el análisis técnico de FORCEDENTRY, ni el detalle de una infección sin clic por mensaje, ni las investigaciones de 2021 sobre los objetivos de Pegasus. Por eso estos puntos no se tratan aquí.
Preguntas directas
¿Qué es Pegasus para iOS?
En MITRE ATT&CK, «Pegasus for iOS» es un software que explota vulnerabilidades de iOS para elevar sus privilegios1. También existe una versión para Android, que intenta explotar fallos conocidos de Android con el mismo fin1.
¿Hay que hacer clic para infectarse?
Las fuentes citadas aquí no lo dicen para Pegasus. Describen un caso en el que la víctima visita un sitio: Pegasus para iOS se distribuyó a través de un sitio web, aprovechando fallos del navegador Safari2. Señalan que, en este tipo de ataque, el usuario a veces debe ayudar al proceso, activando scripts o ignorando los cuadros de diálogo de advertencia2.
¿Qué es CVE-2021-30860?
Es una referencia de vulnerabilidad citada por el CERT-FR en su aviso del 14 de septiembre de 2021 sobre productos de Apple, junto con CVE-2021-308583. El aviso clasifica estas vulnerabilidades en el riesgo «Exécution de code arbitraire à distance» (ejecución de código arbitrario a distancia)3. El texto del CERT-FR no relaciona esta referencia con Pegasus.
¿A qué dispositivos se refiere el aviso del CERT-FR?
Quedan afectados iOS e iPadOS anteriores a la versión 14.8, macOS Big Sur anterior a 11.6, Safari anterior a 14.1.2, watchOS anterior a 7.6.2 y Catalina anterior a 2021-0053.
1En la piel del atacante1 min
Un atacante que apunta a un teléfono empieza con pocos derechos. MITRE describe este punto de partida: el atacante se ejecuta primero en un proceso de pocos privilegios, que le impide acceder a ciertos recursos1. Existen fallos, casi siempre en componentes del sistema y aplicaciones que se ejecutan con derechos elevados, que permiten pasar del nivel de usuario a los derechos de root1.
Los mecanismos de seguridad, como los niveles de permisos, dificultan el acceso a los datos. Para eludirlos, el atacante probablemente tendrá que explotar un fallo de software1. Es el papel que MITRE atribuye a Pegasus para iOS1.
Cuando el objetivo lo es por pertenecer a una comunidad, el atacante puede elegir un sitio que esa comunidad visita: administración, sector de actividad o región. MITRE lo llama compromiso estratégico de sitio web, o ataque de abrevadero2.
2Lo que ve en la pantalla1 min
En el escenario que MITRE describe para un ataque a través de un sitio web, unos scripts se ejecutan automáticamente y buscan la versión del navegador y de sus extensiones2. Si se encuentra una versión vulnerable, el código de explotación se envía al navegador. Si la explotación tiene éxito, el atacante obtiene ejecución de código en el dispositivo, salvo que existan otras protecciones2. En algunos casos, hace falta una segunda visita al sitio antes de que se envíe el código2.
Las fuentes citadas aquí no describen lo que muestra o deja de mostrar la pantalla de un iPhone infectado. Por tanto, no permiten afirmar que no aparezca ninguna señal.
Otra vía posible, que afecta a otros programas maliciosos: un enlace a una aplicación, enviado por correo electrónico, SMS, iMessage o WhatsApp, o mediante un código QR4. MITRE señala que esta técnica no se evita fácilmente con controles preventivos, porque aprovecha funciones normales del sistema4.
3Bajo el capóEquipos de TI1 min
El mecanismo se desarrolla en dos tiempos. Primero, un acceso inicial, por ejemplo a través del navegador2. Después, una elevación de privilegios, mediante un fallo del sistema o de un componente que se ejecuta con derechos elevados1.
MITRE cita varios programas afines en iOS. INSOMNIA explota un fallo de WebKit para obtener acceso root1. En la operación Triangulation, los atacantes explotaron un fallo del kernel para obtener derechos de root1.
Un teléfono conectado a la red de la empresa, de forma local o por VPN, también puede servir de punto de entrada. El atacante explota entonces servicios remotos para llegar a otros sistemas internos5. Entre las medidas citadas, configurar una VPN por aplicación en lugar de para todo el dispositivo limita el acceso a los recursos internos a las aplicaciones aprobadas5.
El teléfono también puede verse afectado antes de llegar al usuario. MITRE describe el compromiso de la cadena de suministro, que abarca las dependencias de software, las herramientas de desarrollo y el hardware6. Las actualizaciones de seguridad pueden contener parches para los dispositivos comprometidos a ese nivel6.
En defensa, la atestación del dispositivo suele poder detectar un teléfono con jailbreak o con root, y los productos de seguridad móvil también1.
4AutopsiasCasos reales1 min
13 y 14 de septiembre de 2021: los parches de Apple recogidos por el CERT-FR
El 13 de septiembre de 2021, Apple publica cinco boletines de seguridad, de HT212804 a HT2128083. Al día siguiente, el CERT-FR extrae de ellos un aviso titulado «Multiples vulnérabilités dans les produits Apple»3. Indica que estos fallos permiten a un atacante provocar la ejecución de código arbitrario a distancia3. La solución propuesta es consultar los boletines del fabricante para obtener los parches3. Las dos referencias CVE citadas son CVE-2021-30858 y CVE-2021-308603.
Para un empleado, la lección práctica es la del aviso: las versiones anteriores a iOS 14.8 y iPadOS 14.8 estaban afectadas, y la actualización era la respuesta3.
Pegasus para iOS: una distribución a través de un sitio web
MITRE informa de que Pegasus para iOS se distribuyó a través de un sitio web, mediante fallos del navegador Safari en iOS2. Las fuentes citadas aquí no dan fecha para este caso.
Ficha
- Identificador
- CP-139
- Ala
- 2. Malware y autopsias
- Competencia Brain
- Entender el hacking (understand_hacking)
- Reflejo Brain
- cr-012
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 6 fuentes verificadas el 3 de noviembre de 2026
Fuentes6 fuentes
- MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1456/ (consultado el 3 de noviembre de 2026)
- CERT-FR (ANSSI), «Multiples vulnérabilités dans les produits Apple - CERT-FR», 14 de septiembre de 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1476/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1428/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1474/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Pegasus y FORCEDENTRY en iPhone», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp139_es_2026,
author = {Brain},
title = {Pegasus y FORCEDENTRY en iPhone},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/pegasus-nso-forcedentry-iphone/},
note = {CC BY 4.0}
}