Una cadena de dos vulnerabilidades permitió a ciberdelincuentes acceder sin autorización a cuentas de WhatsApp en iPhones y hacerse pasar por sus titulares para solicitar transferencias de dinero a sus contactos. El ataque podía llevarse a cabo sin que la víctima advirtiera lo que estaba ocurriendo.
Los primeros casos fueron detectados en mayo en Italia y comunicados a Forenser, una empresa especializada en informática forense. El análisis determinó que habían sido afectados distintos modelos de iPhone que utilizaban alguna versión de iOS 16. En los equipos examinados no se encontró ningún dispositivo externo vinculado ni evidencia de que los usuarios hubieran realizado previamente una acción de vinculación.
La modalidad combinaba la vulnerabilidad CVE-2025-43300, ubicada en el sistema operativo iOS y relacionada con una escritura fuera de límites en ImageIO, con la falla CVE-2025-55177 de WhatsApp, asociada a mensajes de sincronización de dispositivos vinculados. Tras obtener el acceso, los atacantes enviaban mensajes a los contactos de la víctima para pedirles dinero y luego borraban las conversaciones mediante la opción “Eliminar solo para mí”, con el objetivo de ocultar sus acciones. Apple y WhatsApp corrigieron ambas vulnerabilidades durante 2025.
