Cómo infectan los virus los teléfonos móviles: 6 vectores y prevención

El malware móvil es real, está en aumento y es costoso. Aquí tienes los seis vectores de infección principales y cómo bloquear cada uno.

1. Aplicaciones maliciosas (vector principal)

• Fuente: tiendas de terceros, APKs/IPA cargados lateralmente, actualizaciones falsas, aplicaciones legítimas clonadas.
• Carga útil: spyware, troyanos bancarios (Anubis, Cerberus), ransomware, adware, fraude por SMS, exploits de root.
• Defensa: solo tiendas oficiales (Play Store, App Store, Galaxy Store). Activa Play Protect / revisión de App Store. Desactiva "Instalar aplicaciones desconocidas" por aplicación.

2. Sitios web maliciosos (drive-by / phishing)

• Drive-by: exploits de día cero en el navegador/motor (poco comunes, se parchan rápido).
• Phishing: páginas de inicio de sesión falsas (banco, Google, Apple, cripto) → robo de credenciales.
• Malvertising: redes de anuncios comprometidas en sitios legítimos.
• Defensa: actualizaciones automáticas del navegador, Navegación segura (activada por defecto), uBlock Origin (Firefox para Android), no ingreses credenciales desde enlaces.

3. Archivos multimedia infectados

• Esteganografía: malware oculto en metadatos de imágenes/videos (rara vez se ejecuta sin un exploit).
• Cadenas de exploits: medios elaborados que desencadenan errores del analizador (Stagefright, CVEs de ImageIO).
• Ingeniería social: "Abre este video" → descarga de enlace/APK malicioso.
• Defensa: actualiza automáticamente el sistema operativo y las aplicaciones (parchea analizadores). No abras archivos inesperados.

4. Conexiones USB / físicas

• Juice jacking: puerto USB público comprometido → extracción de datos / instalación de malware (teórico, mitigado por el modo restringido de USB).
• PC infectado → teléfono: transferencia ADB/MTP si la depuración USB está activada / se otorga confianza.
• Defensa: cables solo de carga, bloqueadores de datos USB, desactiva la depuración USB, solicitudes "¿Confiar en esta computadora?".

5. Phishing / ingeniería social (capa humana)

• Smishing: SMS con enlace malicioso (entrega falsa, alerta bancaria, premio).
• Vishing: estafa de llamada de voz → instala "aplicación de seguridad" (malware).
• Quishing: código QR → sitio de phishing / descarga de malware.
• Defensa: verifica de forma independiente. Ninguna organización legítima pide contraseña/OTP por SMS o llamada. Escaneo de enlaces en iOS 17+ / Android 14+.

6. Sistema operativo / aplicaciones sin parchear (explotación de vulnerabilidades)

• Exploits de día cero / n-día: Pegasus (NSO), Predator, Triangulation — atacan iMessage, WebKit, kernel.
• Fragmentación: los proveedores de Android retrasan los parches; los teléfonos baratos nunca se actualizan.
• Defensa: activa actualizaciones automáticas del sistema operativo y las aplicaciones. Compra teléfonos con compromisos de actualización de 4–7 años (Pixel, Galaxy S/Ultra, iPhone). Reemplaza dispositivos en fin de vida útil.

Lista de verificación de protección integral

1. ✅ Solo tiendas oficiales de aplicaciones.
2. ✅ Actualizaciones automáticas del sistema operativo y las aplicaciones activadas.
3. ✅ Bloqueo de pantalla (PIN/biometría) + cifrado (predeterminado en dispositivos modernos).
4. ✅ Revisa los permisos de las aplicaciones trimestralmente (Configuración → Privacidad).
5. ✅ Instala seguridad móvil de buena reputación (Bitdefender, Malwarebytes, Lookout, Google Play Protect) — capa secundaria.
6. ✅ Copia de seguridad cifrada (iCloud, Google One, local).
7. ✅ 2FA en todas las cuentas (claves de acceso > autenticador > SMS).
8. ✅ Modo de bloqueo (iOS) / Protección mejorada (Android) si eres de alto riesgo.

El malware móvil apunta a las frutas bajas. La higiene básica detiene el 99% de las amenazas. Los exploits de estados nacionales (Pegasus) atacan a individuos específicos — poco probable para el usuario promedio.