Grupos estatales vienen desplazando sus campañas de phishing del correo electrónico hacia WhatsApp y Signal, con al menos ocho incidentes graves reportados en gobiernos europeos durante 2026. (Fuente: Dark Reading)
La Unión Europea confirmó que hackers respaldados por estados vienen realizando spear-phishing contra funcionarios de gobierno a través de aplicaciones de mensajería populares en lugar de correo electrónico. Los grupos de amenaza persistente avanzada suelen aplicar ingeniería social a sus objetivos por correo, pero las apps de mensajería no cargan con la misma reputación, y las cifradas, como WhatsApp y Signal en particular, suman una capa extra de confianza percibida.
Según un documento interno obtenido por Politico, los gobiernos del bloque europeo enfrentaron ocho incidentes significativos de spear-phishing a través de WhatsApp y Signal durante 2026. El 6 de febrero, dos autoridades del gobierno alemán publicaron un aviso conjunto de seguridad que señalaba a un actor probablemente controlado por un estado usando servicios de mensajería como Signal para apuntar a personas de alto rango en el ámbito militar, diplomático y político, tanto en Alemania como en el resto de Europa.
Los incidentes no involucraron vulnerabilidades de software ni malware, solo ingeniería social. En algunos casos, los atacantes se hicieron pasar por el equipo oficial de soporte de Signal o su chatbot de soporte, contactando a los objetivos con alertas de seguridad urgentes que sugerían que estaban en riesgo de perder sus datos, para convencerlos de compartir los PIN de sus cuentas. En otros casos, los atacantes buscaban convencer a los objetivos de escanear códigos QR sin que se dieran cuenta de que esos códigos vinculaban los dispositivos de los atacantes a sus propias cuentas.
Steven Adair, presidente de Volexity, señaló que existe una tendencia clara de actores de amenaza moviendo sus comunicaciones fuera del correo electrónico en sus ataques de phishing, a veces con el contacto inicial directamente por Signal, WhatsApp, Telegram o LINE, y otras veces empezando por correo para después intentar mover la comunicación de seguimiento a esas otras plataformas. Según Adair, esto se está volviendo común entre actores rusos, chinos e iraníes, porque mover la comunicación a esos canales alternativos suele sacar del radar de monitoreo de seguridad los detalles concretos de la comunicación y los señuelos de phishing, y además muchos de esos canales permiten borrar los mensajes, algo que no es tan sencillo con el correo electrónico.
La campaña de Signal en Alemania resultó sorpresivamente exitosa: aunque los atacantes no lograron comprometer al canciller Friedrich Merz, sí vulneraron a la presidenta del Bundestag, Julia Klöckner. En las semanas siguientes, una cadena de gobiernos de la UE se dio cuenta de que también estaban siendo blanco de ataques similares. A comienzos de marzo, el gobierno neerlandés reportó ataques a través de WhatsApp y Signal dirigidos a dignatarios, personal militar y funcionarios civiles, y por la misma época la Comisión Europea le pidió a un grupo de funcionarios senior que abandonara un grupo de Signal por temor a que estuviera comprometido. Países Bajos y luego Alemania identificaron a Rusia como responsable de estas campañas.
En julio, la Unidad Cibernética Conjunta de la UE confirmó la gravedad de estos ataques en una presentación a funcionarios de gobierno europeos, obtenida después por Politico, que remarcó que la toma de control de cuentas dirigida a funcionarios de alto rango fue una de las mayores amenazas para los gobiernos de la UE en 2026.
Frente a este panorama, algunos gobiernos europeos ya vienen desarrollando sus propias apps de mensajería internas: Francia, Alemania y Bélgica desplegaron sus propios servicios de mensajería, y Luxemburgo, Polonia y Países Bajos estarían avanzando en proyectos similares. Sin embargo, tener una app propia no garantiza seguridad: la app pionera francesa Tchap, que se volvió obligatoria para funcionarios públicos en 2025, sufrió en 2026 una filtración que, según trascendió, expuso tres años de comunicaciones sensibles entre 73.000 empleados públicos.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.