Acaba de salir a la luz un nuevo spyware para Android gracias a Osservatorio Nessuno, una organización italiana de defensa de los derechos digitales.
Bautizado Morpheus, este programa espía destaca por un modo de operar sencillo pero temiblemente eficaz: en lugar de explotar vulnerabilidades técnicas costosas, se apoya en una ingeniería social avanzada para que sus objetivos instalen ellos mismos el spyware en sus dispositivos Android.
Un modo de operar sencillo pero temible
En el caso documentado por los investigadores, el ataque comienza con un corte deliberado de la conexión de datos del objetivo por parte de su propia operadora, a petición de quienes encargan la operación. Sin conexión, la víctima recibe un SMS que la invita a instalar una aplicación para actualizar su teléfono. La aplicación es un archivo APK que debe instalarse manualmente, fuera de Google Play.
Según Osservatorio Nessuno, este mecanismo —cortar un servicio para empujar al objetivo a instalar la aplicación— es el modo de operar habitual de los spyware de bajo coste, aunque pueda adoptar otras formas.
Una vez instalado, Morpheus abusa de los permisos de accesibilidad de Android para leer el contenido de la pantalla, interactuar con las aplicaciones y tomar el control del dispositivo. Muestra una falsa pantalla de actualización mientras se concede en segundo plano todos los permisos necesarios. El spyware desactiva también los antivirus presentes en el dispositivo y activa la depuración inalámbrica para mantener su persistencia.
Pero la técnica más llamativa de Morpheus tiene que ver con WhatsApp. El spyware muestra una falsa pantalla biométrica que imita a la aplicación y pide a la víctima confirmar su identidad. Cuando la víctima pone el dedo en el sensor, en realidad autoriza añadir un dispositivo vinculado a su cuenta de WhatsApp, lo que da al atacante un acceso completo y en tiempo real a todos sus mensajes y contactos.
Más allá de WhatsApp, Morpheus también puede grabar audio y vídeo, hacer capturas de pantalla, exfiltrar los archivos almacenados en el dispositivo y borrar sus propias huellas.
Quién está detrás de Morpheus
Los investigadores de Osservatorio Nessuno han vinculado el spyware a IPS, una empresa italiana especializada en tecnologías de interceptación legal desde hace más de 30 años, con actividad en más de 20 países y varias fuerzas policiales italianas entre sus clientes.
Morpheus se clasifica como una herramienta de vigilancia de tipo «lawful interception», concebida para su uso por agencias gubernamentales y fuerzas del orden, lo que explica que quienes encargan la operación puedan tener acuerdos formales con las operadoras para cortar la conexión de sus objetivos.
Un mercado de spyware comercial que se industrializa
Morpheus no es un caso aislado. IPS se suma a una lista creciente de fabricantes de spyware comercial expuestos en los últimos años: CY4GATE, eSurv, RCS Lab y, más recientemente, SIO. En abril de 2026, WhatsApp notificó a cerca de 200 usuarios que habían instalado una versión falsa de la aplicación con un spyware vinculado a SIO.
En 2025, un dispositivo móvil profesional cuenta de media con 15 aplicaciones maliciosas, frente a 9 en 2023.
Estos spyware comerciales no requieren necesariamente una tecnología avanzada, como Pegasus o Graphite, que explotan vulnerabilidades zero-click costosas y sofisticadas. Al contrario, Morpheus ilustra la aparición de una categoría de spyware «de bajo coste», técnicamente más simples pero igual de invasivos, que se apoyan en su acceso privilegiado a las infraestructuras para desplegar una ingeniería social especialmente eficaz.
Cómo protege Pradeo frente a este tipo de amenaza
El modo de operar de Morpheus explota varias carencias en la seguridad de los dispositivos móviles. Pradeo Mobile Threat Defense permite responder a cada una de ellas.
- Detección de aplicaciones maliciosas.
Pradeo detecta las aplicaciones maliciosas instaladas en los dispositivos, incluidas las instaladas fuera de las tiendas oficiales mediante sideloading, exactamente el mecanismo de infección de Morpheus. La solución identifica los comportamientos sospechosos antes de que la aplicación pueda acceder a los datos del dispositivo. - Detección de abusos de permisos.
La solución identifica las aplicaciones que solicitan permisos excesivos o abusan de los servicios de accesibilidad de Android, el mecanismo central que explota Morpheus para tomar el control del dispositivo. - Detección de configuraciones de riesgo.
Pradeo detecta los dispositivos cuya configuración favorece los ataques: modo desarrollador activado, depuración inalámbrica activada, permiso de fuentes desconocidas para descargar aplicaciones. Son exactamente los vectores que aprovecha Morpheus para mantener su persistencia y debilitar la seguridad del dispositivo. - Protección contra el phishing por SMS.
El SMS trampa es el punto de entrada del ataque de Morpheus. Pradeo detecta y bloquea los intentos de smishing e impide que el usuario pulse el enlace malicioso antes de que se produzca la infección.
Una señal de alerta para las organizaciones
Morpheus recuerda que las amenazas móviles más eficaces no siempre son las más sofisticadas técnicamente. Un spyware «de bajo coste» capaz de desactivar los antivirus clásicos y espiar un dispositivo plantea la pregunta de qué tipo de protección hace realmente falta en móvil. La detección tradicional por firmas no basta frente a amenazas concebidas para eludirla.
