Un informe de la organización italiana Osservatorio Nessuno atribuye a la empresa IPS el spyware llamado ‘Morpheus’, distribuido mediante aplicaciones falsas que inducían a la víctima a instalar el malware. Según Infobae y Reuters, la campaña combinaba el bloqueo deliberado de la conexión móvil con un SMS que instruía al usuario a ‘actualizar’ el teléfono para recuperar datos; solo en abril de 2026 WhatsApp informó a 200 usuarios sobre versiones falsas que resultaron ser spyware (según Infobae). Este primer dato resume lo esencial: no siempre hacen falta fallos cero-clic; la ingeniería social y la cooperación con operadores son suficientes.

Qué pasó

La campaña descrita por Osservatorio Nessuno y recogida por Reuters funcionaba en etapas cortas y concretas. Primero, el objetivo quedaba sin datos móviles luego de un bloqueo que, según la investigación, contó con la colaboración de la compañía telefónica y, en algunos casos, autoridades locales. Luego llegaba un SMS que invitaba a instalar una app de actualización; la aplicación —‘Morpheus’— explotaba las funciones de accesibilidad de Android para leer pantallas y manipular otras apps. El malware simulaba un reinicio y suplantaba la interfaz de WhatsApp para pedir verificación biométrica; al aceptar, la huella o el rostro añadía un nuevo dispositivo autorizado y daba a los atacantes acceso a mensajes y contactos. Según la investigación, IPS, señalada como autora, lleva más de 30 años en herramientas de interceptación y opera en más de 20 países (según Infobae y Osservatorio Nessuno).

¿Cómo nos afecta en Argentina?

Vemos tres vías de riesgo concreto para el país. Primero, la técnica no requiere capacidad técnica extrema: basta la cooperación parcial de un operador y un SMS convincente, por lo que puede reproducirse aquí con relativa facilidad. Segundo, los objetivos suelen ser activistas y periodistas; la vulnerabilidad a la ingeniería social convierte a la sociedad civil en blanco. Tercero, la proliferación del mercado de spyware es real: Infobae menciona al menos ocho empresas italianas señaladas en los últimos años, además de la caída de Hacking Team. No disponemos de cifras oficiales sobre incidentes en Argentina vinculados a ‘Morpheus’; sin embargo, la presencia de proveedores globales que operan en más de 20 países sugiere riesgo transnacional, mientras que medidas defensivas básicas —actualizaciones legítimas y controles de operadores— siguen siendo las más efectivas para usuarios promedio.

Consecuencias no intencionadas y captura del Estado

Las autoridades que externalizan capacidades de vigilancia a empresas privadas crean incentivos perversos. El caso ‘Morpheus’ muestra la dispersión del conocimiento: las firmas privadas acumulan técnicas y datos que el Estado no puede auditar fácilmente. Además, la existencia de un mercado con al menos ocho firmas señaladas en Italia y sanciones administrativas puntuales —por ejemplo, la suspensión en 2021 de productos de CY4GATE y SIO según la nota— exhibe la captura y la opacidad. Las consecuencias no intencionadas incluyen normalizar la escucha como herramienta rutinaria, erosionar la confianza en operadores y promover que actores con menos escrúpulos ofrezcan soluciones más baratas y menos controladas. Vemos aquí una lección clásica: delegar sin transparencia produce rent-seeking y riesgos sistémicos.

Qué debemos exigir

No se trata de demonizar la tecnología: herramientas de interceptación pueden ser legítimas para la investigación criminal. Pero exigimos tres condiciones innegociables. Primera, protocolos públicos que definan usos autorizados, registros de acceso y límites temporales. Segunda, datos abiertos y auditorías independientes sobre quién compra, dónde se usa y con qué resultados; la sociedad tiene derecho a verificaciones externas. Tercera, controles sobre operadores de telecomunicaciones para que no faciliten bloqueos de datos sin orden judicial clara y supervisión. Estas demandas encajan con nuestra postura previa: apoyamos la innovación tecnológica, pero exigimos transparencia, datos abiertos y auditorías independientes para evitar captura del Estado y consecuencias no intencionadas. En ausencia de esas políticas, la solución política será siempre peor que la técnica: más secretismo, menos control público y mayor exposición de activistas y periodistas.