¿Me han hackeado el móvil? Las señales que importan y las que no

Busca esta pregunta y encontrarás la misma lista en todas partes: la batería se agota, el teléfono se calienta, el consumo de datos sube. Esas listas no son tanto falsas como inútiles, porque cada síntoma que aparece en ellas tiene media docena de explicaciones perfectamente normales. Esto es lo que de verdad distingue una señal real de una simple inquietud.

Por qué los síntomas de siempre no prueban nada

Un teléfono caliente con poca autonomía es, en la inmensa mayoría de los casos, un teléfono con una batería envejecida, con una actualización reciente del sistema operativo que todavía está reindexando, con una aplicación que se comporta mal, o con mala cobertura que obliga a la antena a trabajar más.

Eso no significa que el síntoma no signifique nada. Significa que no es diagnóstico por sí solo. Un síntoma que está presente en miles de teléfonos sanos por cada uno comprometido no puede decirte cuál de los dos tienes tú. Trata esas señales como un motivo para mirar más a fondo, nunca como una conclusión.

La única notificación que sí significa algo

Si usas un iPhone, hay una señal que es genuinamente específica.

Apple envía notificaciones de amenaza a los usuarios que cree que han sido atacados de forma individual por spyware mercenario. Cuando detecta actividad compatible con un ataque así, muestra una notificación de amenaza en la parte superior de la página después de que inicies sesión en account.apple.com, y además envía un correo electrónico y un iMessage a las direcciones y números asociados a la cuenta de Apple.

Hay dos cosas de esto que conviene entender bien.

Apple no explicará qué la ha activado. Sus propias palabras: no puede facilitar información sobre qué motiva el envío de estas notificaciones de amenaza, porque eso podría ayudar a los atacantes a adaptar su comportamiento para evitar ser detectados en el futuro. Así que no hay ninguna lista de comprobación que puedas deducir a partir de una notificación.

Estos ataques van dirigidos a muy pocas personas. Apple describe el spyware mercenario como algo enormemente más complejo que la actividad cibercriminal habitual y que el malware de consumo: cuesta millones de dólares, apunta a un número muy reducido de personas concretas y a menudo tiene una vida útil corta. Los objetivos suelen ser personas señaladas por quiénes son o por lo que hacen: periodistas, activistas, diplomáticos, altos cargos.

Para la inmensa mayoría de quienes leen esto, no es lo que está ocurriendo. Decirlo con claridad resulta más útil que alimentar la preocupación.

Las comprobaciones que sí merecen la pena

Son concretas, verificables y llevan unos minutos. Además cubren el problema mucho más habitual, que no es el spyware sino que te hayan comprometido una cuenta.

Mira los dispositivos asociados a tu cuenta. Tanto Apple como Google muestran todos los dispositivos con sesión iniciada en tu cuenta. Un dispositivo desconocido ahí es una señal muchísimo más fuerte que cualquier síntoma de batería, y apunta al riesgo real: alguien que tiene tus credenciales, no software instalado en el teléfono.

Revisa los permisos de las aplicaciones, sobre todo los de accesibilidad. Los servicios de accesibilidad pueden leer el contenido de la pantalla y simular pulsaciones, que es justo lo que quiere una aplicación maliciosa. Comprueba qué aplicaciones tienen ese permiso y si cada una de ellas tiene motivos para tenerlo.

Comprueba qué aplicaciones pueden instalar otras aplicaciones y si hay algún administrador de dispositivos activado que no reconozcas.

Mira qué hay realmente instalado, incluidas las aplicaciones sin icono en el menú. En un teléfono que configuró otra persona o al que alguien tuvo acceso físico, ahí es donde estaría una aplicación de stalkerware.

Revisa el reenvío de correo y las opciones de recuperación de tu cuenta de email. Si alguien quisiera un acceso persistente, ahí es donde lo dejaría, y sobrevive a cualquier limpieza del teléfono.

Cuando el acceso físico es la verdadera historia

El stalkerware de consumo es un problema distinto del spyware mercenario, y es mucho más frecuente. Normalmente requiere que alguien haya tenido tu teléfono desbloqueado en las manos.

Si esa posibilidad es realista en tu caso, la lista técnica pasa a segundo plano. Cambiar las contraseñas desde un dispositivo que la otra persona nunca haya tocado, y activar la autenticación en dos pasos, importa más que cualquier análisis. Si estás en una situación en la que tu seguridad puede estar en riesgo, una organización de apoyo es mejor primera llamada que un foro de seguridad.

Si sí has recibido una notificación de amenaza de Apple

Tómatelo en serio y no improvises. Apple sugiere explícitamente buscar ayuda experta, y remite a la asistencia de seguridad de emergencia y respuesta rápida de la Digital Security Helpline gestionada por la organización sin ánimo de lucro Access Now, accesible las veinticuatro horas a través de su sitio web.

Este es uno de los raros casos en los que lo correcto es dejar de seguir consejos genéricos, incluido este artículo, y hablar con gente que se dedica a estos casos.

El resumen honesto

La mayoría de los teléfonos que parecen hackeados no lo están. Los síntomas que todo el mundo enumera son experiencias reales con causas de lo más corrientes, y tomarlos como pruebas lleva a la gente a reinstalarlo todo mientras el problema de verdad, una cuenta comprometida, sigue intacto.

Revisa los dispositivos de tu cuenta, comprueba los permisos de accesibilidad y las aplicaciones instaladas, y protege la cuenta de correo que puede restablecer todo lo demás. Si recibes una notificación de amenaza de Apple, eso es otra cosa muy distinta, y merece ayuda experta en lugar de una lista de comprobación.

La descripción de las notificaciones de amenaza de Apple, incluida la afirmación de que Apple no revelará qué las activa y la remisión a la Digital Security Helpline de Access Now, procede de la propia documentación de soporte de Apple, consultada en el momento de redactar este texto. Este artículo no pretende detectar spyware dirigido; ninguna herramienta de consumo lo hace. Los enlaces comerciales llevan el atributo rel=“sponsored nofollow”; puede aplicarse una comisión de afiliación sin coste adicional para ti.