Morpheus de IPS: spyware italiano roba WhatsApp con huella falsa

¿Qué es Morpheus y por qué debería importarte como founder?

El 24 de abril de 2026, investigadores de Osservatorio Nessuno revelaron la existencia de Morpheus, un spyware italiano capaz de robar el acceso completo a WhatsApp con solo un toque de huella dactilar. Este malware, atribuido a IPS Intelligence Public Security S.p.A., empresa con más de 30 años en el sector y operaciones en más de 20 países, representa una amenaza real para la privacidad de founders, equipos y clientes.

Si tu startup maneja datos sensibles, comunicaciones confidenciales o dispositivos corporativos, entender esta amenaza no es opcional: es parte de tu estrategia de ciberseguridad.

¿Cómo funciona el ataque de Morpheus?

El esquema de infección es sofisticado pero efectivo. Todo comienza con un bloqueo deliberado de datos móviles ejecutado por el operador telefónico en coordinación con autoridades. Inmediatamente después, la víctima recibe un SMS falso que aparenta ser del operador, invitando a instalar una "app de actualización o restauración de conexión".

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Una vez instalada, la aplicación falsa utiliza los servicios de accesibilidad de Android para leer la pantalla, interactuar con otras apps y elevar privilegios mediante ADB (Android Debug Bridge). La interfaz simula una pantalla de actualización del sistema, seguida de una interfaz falsa de WhatsApp que solicita verificación biométrica (huella dactilar o facial) para "confirmar identidad".

Con ese simple toque, Morpheus obtiene control total: lectura de mensajes, asociación de dispositivos adicionales, grabación de audio y video, robo de datos personales y acceso completo al dispositivo.

¿Qué evidencia vincula a Morpheus con IPS Intelligence?

El informe de Osservatorio Nessuno proporciona múltiples puntos de conexión técnica. La dirección IP del servidor de comando y control (C2), 109.239.245.172, está registrada directamente a IPS. Los servidores se encuentran en Italia bajo el nombre "Mobile Service Integration", posible cobertura operativa de IPS.

Además, los certificados TLS del malware contienen referencias a "IPS", y el código incluye frases en italiano, incluso referencias culturales como "Gomorra" y "spaghetti". Otras firmas conectadas a esta infraestructura incluyen Rever Servicenet e Iris Telecomunicazioni.

¿Cómo se compara Morpheus con otros spyware gubernamentales?

Italia se ha consolidado como un hub emergente de proveedores de spyware para agencias gubernamentales. El ecosistema incluye empresas como IPS, CY4GATE, eSurv, RCS Lab y SIO. En abril de 2026, WhatsApp notificó a 200 usuarios sobre ataques de spyware atribuidos a SIO, principalmente contra activistas políticos.

Comparativa rápida del mercado:

Pegasus (NSO Group, Israel): Técnica zero-click en iOS/Android, usado globalmente por gobiernos, bloqueado por Apple y Google entre 2021-2026.
Predator (Cytrox/Intellexa, Grecia): Combina exploits con apps falsas, campañas documentadas contra periodistas y activistas en Europa (2022-2025).
SIO y RCS Lab (Italia): Apps falsas distribuidas vía SMS, 200 víctimas confirmadas en abril 2026.
Morpheus (IPS, Italia): SMS de operador + engaño biométrico, primer vínculo público establecido el 24 de abril de 2026.

El patrón común: aplicaciones falsas de Android distribuidas para gobiernos, con Italia emergiendo como centro de este mercado opaco.

¿Qué significa esto para tu startup?

Como founder, tu dispositivo móvil y el de tu equipo no son solo herramientas de comunicación: son puertas de entrada a toda tu operación. WhatsApp Business, correos corporativos, documentos en la nube, accesos bancarios y comunicaciones con inversores están en riesgo.

La lección de Morpheus es clara: la ingeniería social combinada con complicidad de operadores supera muchas defensas técnicas tradicionales. No basta con tener antivirus; necesitas protocolos, formación y cultura de ciberseguridad.

5 acciones concretas para proteger tu startup hoy

Verifica SMS de operadores: Ignora enlaces de "actualizaciones" o "restauraciones" recibidas por SMS. Contacta a tu operador mediante su app oficial o número conocido, nunca mediante enlaces en mensajes no solicitados.
Restringe servicios de accesibilidad en Android: Ve a Configuración > Accesibilidad y desactiva permisos para apps no confiables. Considera usar perfiles de trabajo separados para dispositivos corporativos.
Implementa autenticación multifactor (MFA): Activa MFA en WhatsApp y todas las cuentas críticas. Prefiere apps autenticadoras (Google Authenticator, Authy) sobre verificación por SMS, que es vulnerable a interceptación.
Establece política de tiendas oficiales: Prohíbe la instalación de apps fuera de Google Play o App Store en dispositivos corporativos. Usa soluciones MDM (Mobile Device Management) como Jamf o Microsoft Intune para auditar y controlar flotas móviles.
Capacita a tu equipo en anti-phishing: Realiza simulacros trimestrales de ataques. Enseña a identificar SMS falsos, verificar URLs antes de hacer clic y reportar incidentes inmediatamente. Integra esto en tu onboarding.

¿Qué marco regulatorio protege (o no) a los usuarios?

En Europa, el Reglamento General de Protección de Datos (GDPR, 2018) exige consentimiento o base legal para el procesamiento de datos personales, con multas de hasta 4% de ingresos globales supervisadas por el European Data Protection Supervisor (EDPS).

El Digital Services Act (DSA, 2024) obliga a plataformas a mitigar riesgos sistémicos, mientras que el AI Act (2024) clasifica los datos biométricos como "alto riesgo". En Italia, la autoridad nacional es el Garante Privacy.

Sin embargo, el spyware "legal" opera en una zona gris regulatoria bajo el argumento de "seguridad nacional". Osservatorio Nessuno ha solicitado investigaciones urgentes, pero al momento de este reporte (25 de abril de 2026), no hay respuesta oficial de IPS ni acciones regulatorias confirmadas.

Conclusión: La ciberseguridad es ventaja competitiva

Morpheus no es una amenaza teórica: es un recordatorio de que la privacidad está bajo ataque constante, incluso de actores con legitimidad gubernamental. Para founders hispanohablantes, especialmente aquellos que operan entre LATAM, España y mercados globales, la ciberseguridad no es un gasto: es una ventaja competitiva que protege tu IP, tu reputación y la confianza de tus clientes.

En Ecosistema Startup hemos visto cómo startups que priorizan seguridad desde el día uno atraen más inversión, cierran deals con enterprise y evitan crisis reputacionales costosas. Tu próxima reunión de equipo debería incluir ciberseguridad en la agenda.

¿Quieres acceder a recursos exclusivos de ciberseguridad para startups? Únete gratis a la comunidad de Ecosistema Startup, donde +10.000 founders comparten protocolos, herramientas y experiencias reales para escalar con seguridad. Regístrate aquí.