Uno de cada cuatro móviles sufrió un ciberataque en 2024, según el Informe Global de Amenazas de la plataforma de ciberseguridad Zimperium Lab, que destaca que han aumentado un 13% los programas maliciosos detectados respecto al año pasado, y que muchos de ellos fueron de virus de nuevas familias, para los que aún no había una respuesta tecnológica. Los troyanos bancarios, los virus que bloquean el móvil y piden un rescate para recuperar sus datos y los programas espía son los que más crecen.
Los ciberdelincuentes han puesto su foco en el móvil, porque su uso ya es más amplio que el del ordenador, y porque los teléfonos están menos protegidos: es aún raro el uso de antivirus y no se ve todo el código URL de las páginas.
La avalancha de ciberataques a móviles ha llevado hasta al Ejército americano a lanzar un código de buenas prácticas para evitar que hackers o gobiernos enemigos, con programas de espionaje como Pegasus, tomen el control de los móviles de sus oficiales.
No hay seguridad total
Según la National Segurity Agency (NSA), la agencia de inteligencia del ministerio de Defensa de Estados Unidos, “las funciones disponibles en estos dispositivos ofrecen comodidad y capacidad pero sacrifican la seguridad”. De hecho, a su juicio, se pueden tomar medidas para “proteger mejor los dispositivos y la información personal”, que podrán prevenir los ataques o mitigarlos, pero no evitarlos completamente.
Qué hacer para tener un móvil seguro
Hacer
No hacer
Evitar
Apagar
4
Bluetooth
Desactiva el Bluetooth cuando no lo uses. El modo avión no siempre lo desactiva.
Control
Manten el control físico del dispositivo. No te conectes a dispositivos externos desconocidos.
Funda
Considera el uso de una funda que cubra el microfono para bloquear el acceso remoto. Cubre la cámara cuando no
la uses.
Conversaciones
No tengas conversaciones sensibles en presencia de dispositivos móviles que no estén configurados para gestionar datos sensibles.
4
WIFI
No te conectes a redes públicas
y desactívalo cuando no lo uses. Borra redes WIFI no usadas.
Software updates
Actualiza siempre que puedas el software y las aplicaciones.
Aplicaciones
Instala sólo aplicaciones imprescindibles y sólo de tiendas oficiales. Sé cauteloso con tus datos personales. Cierra las aplicaciones cuando no las uses.
Biometría
Considera usar la biometría sólo para proteger datos de poca sensibilidad.
Contraseñas
Usa contraseñas o PIN seguro. Un PIN de 6 digitos es suficiente si
el dispositivo se borra después de 10 intentos incorrectos. Configura
el dispositivo para que se bloquee automáticamente después de 5 minutos.
Persona 1
Hola, ¿sabías que...?
Persona 2
Hola. Mira este enlace tan interesante: http://www.enlace-dudoso-no-tefies.com
¿Instalar nueva app?
SÍ
NO
Mensajes de texto
No tengas conversaciones sensibles en dispositivos personales, aunque creas que su contenido es genérico.
Adjuntos y enlaces
No abras adjuntos ni enlaces de correos desconocidos. Incluso remitentes legítimos pueden pasar por accidente contenidos maliciosos o ser suplantados.
Accesorios de confianza
Usa sólo cables de carga y accesorios originales o de fabricantes confiables. No uses estaciones de carga USB públicas. Nunca conectes dispositivos personales
a dispositivos gubernamentales.
Localización
Desactívala cuando no sea necesaria. No lleves el dispositivo contigo
a localizaciones sensibles.
Energía
Apaga y enciende el dispositivo
por lo menos una vez por semana.
Modificaciones
No hagas jailbreak al dispositivo o accedas a él como root.
Ventanas emergentes
Si son inesperadas suelen ser maliciosas. Si te aparece alguna fuerza el cierre de todas las aplicaciones.
Fuente: National Security Agency, NSA
Qué hacer para tener un móvil seguro
Hacer
No hacer
Evitar
Apagar
4
Bluetooth
Desactiva el Bluetooth cuando no lo uses.
El modo avión no siempre lo desactiva.
Control
Manten el control físico del dispositivo. No te conectes a dispositivos externos desconocidos.
Funda
Considera el uso de una funda que cubra el microfono para bloquear el acceso remoto. Cubre
la cámara cuando no la uses.
Conversaciones
No tengas conversaciones sensibles en presencia de dispositivos móviles que no estén configurados para gestionar datos sensibles.
4
WIFI
No te conectes a redes públicas y desactívalo cuando no lo uses. Borra redes WIFI
no usadas.
Software updates
Actualiza siempre que puedas el software
y las aplicaciones.
Aplicaciones
Instala sólo aplicaciones imprescindibles y sólo
de tiendas oficiales. Sé cauteloso con tus datos personales. Cierra las aplicaciones cuando
no las uses.
Biometría
Considera usar la biometría sólo para proteger datos de poca sensibilidad.
Contraseñas
Usa contraseñas o PIN seguro. Un PIN de 6 digitos
es suficiente si el dispositivo se borra después de
10 intentos incorrectos. Configura el dispositivo para bloquearse automáticamente después de 5 minutos.
Persona 1
Hola, ¿sabías que...?
Persona 2
Hola. Mira este enlace tan interesante: http://www.enlace-dudoso-no-tefies.com
¿Instalar nueva app?
SÍ
NO
Mensajes de texto
No tengas conversaciones sensibles en dispositivos personales, aunque creas que su contenido es genérico.
Adjuntos y enlaces
No abras adjuntos ni enlaces de correos desconocidos. Incluso remitentes legítimos pueden pasar por accidente contenidos maliciosos o ser suplantados.
Accesorios de confianza
Usa sólo cables de carga y accesorios originales
o de fabricantes confiables. No uses estaciones
de carga USB públicas. Nunca conectes
dispositivos personales a dispositivos gubernamentales.
Localización
Desactívala cuando no sea necesaria. No lleves el dispositivo contigo a localizaciones sensibles.
Energía
Apaga y enciende el dispositivo por lo menos una vez por semana.
Modificaciones
No hagas jailbreak al dispositivo o accedas
a él como root.
Ventanas emergentes
Si son inesperadas suelen ser maliciosas.
Si te aparece alguna fuerza el cierre de todas
las aplicaciones.
Fuente: National Security Agency, NSA
Qué hacer para tener un móvil seguro
Hacer
No hacer
Evitar
Apagar
Bluetooth
Desactiva el Bluetooth cuando no lo uses.
El modo avión no siempre lo desactiva.
WIFI
No te conectes a redes públicas y desactívalo cuando no lo uses. Borra redes WIFI no usadas.
Software updates
Actualiza siempre que puedas el software
y las aplicaciones.
Control
Manten el control físico del dispositivo. No te conectes a dispositivos externos desconocidos.
Aplicaciones
Instala sólo aplicaciones imprescindibles y sólo de tiendas oficiales. Sé cauteloso con tus datos personales. Cierra las aplicaciones cuando
no las uses.
Funda
Considera el uso de
una funda que cubra el microfono para bloquear
el acceso remoto. Cubre la cámara cuando no la uses.
Conversaciones
No tengas conversaciones sensibles en presencia de dispositivos móviles que
no estén configurados para gestionar datos sensibles.
Biometría
Considera usar la biometría sólo para proteger datos de
poca sensibilidad.
Contraseñas
Usa contraseñas o PIN seguro. Un PIN de 6 digitos
es suficiente si el dispositivo se borra después de
10 intentos incorrectos. Configura el dispositivo para bloquearse automáticamente después de 5 minutos.
Mensajes de texto
No tengas conversaciones sensibles en dispositivos personales, aunque creas que su contenido es genérico.
Localización
Desactívala cuando no sea necesaria. No lleves el dispositivo contigo a localizaciones sensibles.
Persona 1
Hola, ¿sabías que...?
Energía
Apaga y enciende el dispositivo por lo menos una vez por semana.
Adjuntos y enlaces
No abras adjuntos ni enlaces de correos desconocidos. Incluso remitentes legítimos pueden pasar por accidente contenidos maliciosos
o ser suplantados.
Persona 2
Hola. Mira este enlace tan interesante: http://www.enlace-dudoso-no-tefies.com
Modificaciones
No hagas jailbreak al dispositivo o accedas
a él como root.
Accesorios de confianza
Usa sólo cables de carga
y accesorios originales o de fabricantes confiables. No uses estaciones de carga USB públicas.
Nunca conectes dispositivos personales
a dispositivos gubernamentales.
Ventanas emergentes
Si son inesperadas
suelen ser maliciosas.
Si te aparece alguna
fuerza el cierre de todas
las aplicaciones.
¿Instalar nueva app?
SÍ
NO
Fuente: National Security Agency, NSA
La medida más efectiva para frenar los programas espía o Spyware más frecuentes como Pandora, Igexin, IdShark o el más conocido, Pegasus, es la más sencilla: reiniciar el móvil.
Xavier Ibars, agente de la unidad central de los Mossos d’Esquadra, señala que la mayoría de estos programas los instala el propio usuario inadvertidamente al clicar un enlace que recibe frecuentemente por SMS o por otras vías como Telegram. “Esto da al hacker el control remoto del dispositivo, pero al apagarlo se rompe el vínculo”. Por ello la NSA aconseja apagar el móvil frecuentemente, y como mínimo una vez a la semana, y también usar una funda que cubra el micrófono. También aconseja no tener conversaciones sensibles cerca de otros móviles si no se tiene constancia de su seguridad.
Lee tambiénTe roban y te culpan: la nueva táctica de los hackers para encubrir sus crímenes
La mayor parte del espionaje, sin embargo, viene del propio entorno de la víctima y es otra persona, como un padre preocupado o sobre todo una pareja celosa, la que instala un programa malicioso en el móvil, en una práctica que los técnicos denominan stalkerware. Esos programas, que están haciendo de oro a las empresas que los venden, rastrean la ubicación, vigilan la actividad en Internet y en redes sociales, graban llamadas y acceden a los mensajes de aplicaciones como Whatasapp o Telegram, y envían esos datos a un dispositivo del agresor.
El Incibe (Instituto Nacional de Ciberseguridad) recuerda que el uso de estos programas es ilegal salvo si lo autoriza el afectado o lo realizan las autoridades con autorización judicial.
Hay signos que permiten sospechar que se está siendo víctima de un programa de este tipo, recuerda el Incibe, como un funcionamiento lento, batería agotada rápidamente, consumo inusualmente alto de datos móviles, aplicaciones que se abren o cierran solas, cambios en los ajustes de algunas aplicaciones o detectar alguna nueva. Según la NSA la apertura de una ventana emergente usualmente es indicio de una infección: hay que forzar el cierre de todas las aplicaciones y reiniciar luego el móvil.
Para prevenir que estos programas consigan robar la información, la NSA recomienda desactivar la localización, así como la conexión de red, wifi y bluetooth cuando no se utilice.
No son los hackers, sino una pareja celosa o unos padres preocupados los que instalan con más frecuencia los programas espías
La NSA recomienda descargar aplicaciones solo desde las tiendas oficiales de Google y Apple (hay más de 300 tiendas de aplicaciones no oficiales), pero incluso hacerlo así no es garantía de seguridad: un estudio del equipo de Ciberseguridad de Zscaler detectó en doce meses 200 aplicaciones que incluían programas maliciosos en Google Play, entre ellos troyanos que permitían acceso a cuentas bancarias, suscribían a los usuarios a servicios de pago o robaban credenciales.
Tanto Google como Apple, señala el informe de Zimperium Lab, han eliminado miles de aplicaciones de sus tiendas cuando han detectado conductas maliciosas o fallos de seguridad, sobre todo apps de juegos, citas y entretenimiento. Pero a menudo siguen instaladas en los móviles. Por ello, señalan los servicios de inteligencia estadounidenses, es clave actualizar el programarlo del móvil y las aplicaciones tan frecuentemente como sea posible.
Los agentes estadounidenses destacan la importancia de tener tan pocas aplicaciones como sea posible. El portavoz de los Mossos destaca también el peligro que suponen las aplicaciones, porque solicitan permisos que van más allá de su función. “No hay que dar todos las autorizaciones que nos piden”, señala.
Ojo a los permisos inapropiados
En el mismo sentido, los expertos de Zimperium recomiendan “preguntémonos, ¿porque una aplicación de linterna necesita acceder a nuestros contactos?”. La firma destaca que incluso en aplicaciones muy formales, como las de negocios, hay algunas que piden acceso pleno a todo el sistema operativo (el mayor riesgo para el usuario), y son frecuentes las que piden permiso para conocer el historial de actividad reciente del teléfono y más aún las que pueden realizar llamadas.
“Con el Internet de las cosas, y la multitud de aparatos conectados que piden permisos para usar nuestros datos y tienen conectividad propia estos riesgos se han disparado”, advierte Ibars.
Ahora que se han generalizado los teléfonos con sistemas de autentificación biométrica, como la huella dactilar o la cara, la NSA recomienda usarlos solo para proteger datos de poca sensibilidad, porque son cada vez más vulnerables con el crecimiento de la IA. El móvil, recomiendan, debe bloquearse automáticamente cuando lleve solo 5 minutos inactivo. Y debe tener una contraseña de bloqueo de pantalla de al menos 6 dígitos, que incluya el borrado total del teléfono tras 10 intentos fallidos. Perderemos quizás fotos, videos y recuerdos, pero habremos salvado nuestros datos y seguramente nuestra cuenta corriente.
10 minutos bastan para infectar un teléfono en una wifi pública
Conectarse a una red pública, como las de cafeterías o centros comerciales, es uno de los mayores riesgos para el usuario de un móvil: la NSA recomienda no hacerlo nunca, e incluso desactivar el wifi cuando no se use y hacer que el móvil olvide las redes antiguas.
Según un estudio realizado por Zimperium, un hacker necesita menos de de 10 minutos para controlar un móvil que se ha conectado a una red insegura: en ese tiempo intercepta sus comunicaciones, accede a su sistema y le instala un virus.
Los usuarios, reconoce, no son conscientes del riesgo: solo un 5% considera que son completamente inseguras. Los hackers buscan específicamente a los viajeros de negocios –que suelen ser personas de alto poder adquisitivo- y el 23% de los ataques que sufrieron estas personas ocurrieron conectados al wifi de aeropuertos.
Según Zimperium la operativa más frecuente (33%) es la que se conoce como “Man in the Middle”: los hackers entran en la red pública, y se interponen entre el usuario y los sitios que visita. Así, roban sus datos mientras pueden dejar que continúe la comunicación o bien llevarle a páginas webs falsas. Cuando las redes públicas son seguras, los hackers crean una red que imita el nombre de la del establecimiento, para que los clientes se conecten a ella sin saberlo e interceptar su tráfico
“Los intrusos pueden introducir un programa en tu móvil que crea un efecto espejo: ve lo que haces y puede hacer que tu veas una pantalla falsa”, señala Xavier Ibars. Desde este tipo de redes recomienda no hacer ninguna compra ni consultar el saldo bancario, para evitar que los hackers copien la tarjeta o accedan a la cuenta bancaria, o le lleven a páginas falsas que simulen las auténticas para que le estafen al hacer esas transacciones. Pero cuando es imprescindible recurrir a estas redes, como en algún viaje al extranjero, recomienda usar una red privada virtual (VPN)o al menos “desinstalar todas las aplicaciones excepto las más imprescindibles. No hay que dejar ni Instagram, para evitar que nos roben los datos”.
