TL;DR:
- Tres funciones de WebKit (prefetch de DNS, WebAuthn y WebTransport) abren conexiones directas desde el dispositivo y esquivan el proxy de la Retransmisión privada de iCloud.
- La fuga que usa las llaves de acceso existe desde iOS 18.0, de septiembre de 2024, y se dispara sin que el usuario toque la pantalla.
- Apple dijo a 404 Media que investiga el reporte. Los investigadores no le avisaron antes de publicar y no hay fecha de parche.
Tres funciones del motor de navegación de Apple dejan salir conexiones directas desde el dispositivo, y con ellas la dirección IP real, aunque el usuario tenga encendida la Retransmisión privada de iCloud. Lo documentaron el 4 de agosto de 2026 los investigadores Talal Haj Bakry y Tommy Mysk, y la historia la levantó primero 404 Media. El caso más delicado ni siquiera pide permiso: basta con que una página diga soportar passkeys (llaves de acceso, en el vocabulario que Apple usa en español) para que el sistema dispare una petición por fuera de Safari. Apple respondió a 404 Media que está investigando el reporte. La función no es gratuita: viene incluida en la suscripción iCloud+.
La Retransmisión privada de iCloud es un servicio de iCloud+ que manda el tráfico web de Safari y sus consultas DNS por dos relevos independientes, operados por entidades distintas, para que ningún eslabón vea al mismo tiempo quién eres y qué visitas. La página de soporte de Apple en español lo promete sin matices: garantiza que "nadie (ni siquiera Apple) pueda saber quién eres ni los sitios que visitas". Esa es la frase que hoy está bajo presión.
Tres funciones que se salen del túnel
Desde iOS 17 y macOS 14 existe una interfaz, WKWebsiteDataStore.proxyConfigurations, que permite a un navegador enrutar todo su tráfico por un proxy. Sobre ese cimiento están construidos los navegadores proxy de iPhone. Haj Bakry y Mysk encontraron tres piezas de WebKit que se saltan esa configuración y hablan directo con la red del usuario:
- Prefetch de DNS. Cuando una página incluye la etiqueta que pide resolver un dominio por adelantado, WebKit hace la consulta por la ruta normal del equipo. Un sitio puede sembrar un nombre distinto para cada visitante y ver llegar la consulta a su propio servidor, con el DNS real de quien navega. Disponible en iPhone desde iOS 26.0, de septiembre de 2025.
- Related Origin Requests de WebAuthn. Es la pieza que permite usar una misma llave de acceso en varios dominios de una organización. Para validarla, el servicio de credenciales del sistema operativo descarga un archivo directamente, sin pasar por la pila de red del navegador ni enterarse del proxy. Disponible desde iOS 18.0, de septiembre de 2024.
- WebTransport. La llamada que abre una conexión QUIC de baja latencia sale del dispositivo con parámetros propios de WebKit, que nunca le ofrece el proxy de la sesión. Llegó al público con iOS 26.4, en marzo de 2026.
Montar el ataque no exige gran cosa. Según detalló MacRumors, cualquiera puede levantar un sitio que invoque WebAuthn: no aparece la ventana de la llave de acceso, no hay aviso, no queda señal visible de que alguien acaba de quedarse con la IP. Mysk lo resumió así a 404 Media:
"cualquier sitio web que soporte, o finja soportar, passkeys puede ver la dirección IP real del usuario a pesar de tener activada la Retransmisión privada de iCloud"
La fuga de las llaves de acceso lleva casi dos años a la vista
La aritmética incomoda. La pieza de WebAuthn viaja en los iPhone desde septiembre de 2024, o sea unos veintitrés meses. Nadie ha publicado un recuento de sitios que la hayan aprovechado, pero 404 Media apunta a algo más mundano que un atacante dedicado: muchas páginas pudieron recolectar esas direcciones sin proponérselo, como subproducto normal de ofrecer inicio de sesión con llaves de acceso.
El radio de la falla se ensancha por una regla de la App Store: todos los navegadores de iOS deben usar WebKit. Eso arrastra a los navegadores que enrutan por proxy, incluido Onion Browser, la app que conecta con la red Tor desde el iPhone, y Psylo, el navegador de los propios investigadores. El Tor Browser oficial del Tor Project queda fuera del problema.
Los investigadores prefirieron publicar antes que reportar
Aquí está el dato que casi nadie puso al frente y que cambia la lectura del caso. Mysk explicó en X que decidieron no reportar el fallo a Apple porque, según su experiencia previa con la compañía, hacerlo habría implicado "meses de retrasos, comunicación inconsistente" y, en algunos casos, la negación completa del impacto. TechCrunch, que recogió esa publicación, corrió la prueba por su cuenta y confirmó que el sitio de los investigadores devolvía su IP real.
Re: Responsible Disclosure
— Mysk 🇨🇦🇩🇪 (@mysk_co) August 5, 2026
We found ourselves in a bit of a dilemma with these DNS and IP leaks in WebKit and how to handle them responsibly.
We first became aware of a DNS leak in Psylo in late June 2026 after a user reported it. During our investigation, we found two… https://t.co/5kFu0jtUsJ
A quienes sí avisaron fue al Tor Project y a los desarrolladores de Onion Browser, antes de publicar. Mike Tigas, creador de esa app, le dijo a 404 Media que dos de las tres fugas dependen por completo de cómo funcionan iOS y WebKit y que su solución está "solo en manos de Apple". La tercera no afecta a la aplicación con su configuración por defecto. En su nivel de seguridad "Silver", Onion Browser activa el modo de aislamiento de WebKit, que apaga WebTransport y neutraliza esa vía.
Qué protege y qué nunca protegió
Los investigadores son explícitos en un punto: las VPN no están afectadas, porque encapsulan todo el tráfico del dispositivo a nivel de sistema y no solo el de un navegador. La Retransmisión privada nunca hizo eso. Cubre Safari y nada más, algo que Apple documenta pero que se pierde en la lectura cotidiana de una función que se vende como escudo.
Para revisar el propio equipo, Haj Bakry y Mysk publicaron el sitio de prueba leaks.psylo.app. Su navegador Psylo ya salió con correcciones en la versión 1.3.1: bloquea las sugerencias de prefetch de DNS y deja apagados WebTransport y WebAuthn, con interruptores por sesión para quien necesite alguno de los dos. En iPhone, el interruptor de Apple vive en Configuración (o Ajustes) > tu nombre > iCloud > Retransmisión privada.
No es la primera vez este verano. En julio, 404 Media reportó que Ocultar mi correo, la otra función estrella de privacidad de iCloud+, estaba revelando las direcciones reales de sus usuarios, un problema que Apple conocía desde hacía más de un año antes de corregirlo.
Preguntas rápidas sobre la fuga de IP en la Retransmisión privada
¿Cómo compruebo si mi iPhone está filtrando la IP?
Los investigadores publicaron el sitio de prueba leaks.psylo.app, que muestra qué datos escapan del proxy. 404 Media y TechCrunch lo corrieron por separado el 5 de agosto de 2026 y en los dos casos la página devolvió la dirección IP real del equipo, con la Retransmisión privada encendida.
¿Sirve de algo apagar la Retransmisión privada de iCloud?
Con la función apagada, el proveedor de red y los sitios visitados ven la dirección IP como en cualquier navegación normal, según la documentación de Apple. Los investigadores señalan que las VPN no están afectadas por estas fugas, porque enrutan todo el tráfico del dispositivo a nivel de sistema y no solo el de Safari.
¿Qué navegadores del iPhone quedan expuestos?
Los que enrutan su tráfico por un proxy, porque la App Store obliga a todo navegador de iOS a usar WebKit. Entre ellos, Onion Browser, que conecta con la red Tor, y Psylo, ya corregido en su versión 1.3.1. El Tor Browser oficial del Tor Project no está afectado.
Quien paga iCloud+ contrató, entre otras cosas, la promesa de que su dirección IP no llegara a los sitios que visita en Safari. Por estas tres rutas no llegó a cumplirse, y el arreglo depende de un calendario que hoy nadie conoce: Apple solo ha dicho que investiga.
