¿Vendes tu smartphone? Un reset de fábrica no basta para proteger tus datos

La opción de restablecimiento de fábrica integrada en Google puede dejar tus datos expuestos incluso tras un reset. Aquí te explicamos por qué un reset de fábrica no borra todos tus datos, y qué puedes hacer antes de vender tu smartphone.

Hay varias buenas razones para hacer un reset de fábrica: arreglar bugs tras una actualización de Android, mantenimiento general para rendimiento, y supuestamente borrar todos los datos de tu móvil.

Por ejemplo, la empresa de seguridad Avast compró 20 móviles usados en eBay y usó software de recuperación disponible para recuperar cantidades increíbles de datos personales: 40.000 fotos, 1.000 búsquedas de Google, cientos de emails e incluso una solicitud de préstamo. Da miedo imaginar lo que otros podrían encontrar en tu móvil tras vendértelo.

Reset de fábrica: ¿por qué no funciona?

El problema del reset de fábrica fue descubierto por investigadores de la Universidad de Cambridge en el primer gran estudio de esta característica de seguridad de Android dada por sentada. Los investigadores probaron varios dispositivos Android de segunda mano con diferentes versiones de Android y encontraron que en todos los casos pudieron recuperar tokens de cuenta —usados para autenticarte una vez introducida la contraseña la primera vez— de proveedores como Google, Facebook y WhatsApp. En un asombroso 80% de casos, pudieron recuperar el token maestro.

El token maestro es esencialmente la llave de la puerta principal, el equivalente a instalar un sistema de seguridad de primera y luego esconder la llave bajo el felpudo. Una vez recuperado un token maestro, el archivo de credenciales del usuario puede restaurarse y todos tus datos re-sincronizarse al dispositivo: emails, fotos en la nube, contactos y calendarios.

• Lo mejor que puedes hacer para asegurar tu móvil

¿Por qué se pueden recuperar datos privados tras un reset de fábrica?

Hay varias razones. Parte de la culpa es de los fabricantes que simplemente no proporcionan el software necesario para borrar completamente el almacenamiento flash. Del mismo modo, el almacenamiento flash es notoriamente difícil de borrar, y por supuesto, Google tiene culpa por no dar una opción más a prueba de fallos a los usuarios.

Los investigadores señalaron que mientras empresas de seguridad y antivirus puedan usar estos hallazgos para promocionar sus herramientas y servicios, la única solución real probablemente venga de los propios fabricantes.

Por desgracia, ni siquiera dispositivos con cifrado integrado están a salvo de estas debilidades. La clave de descifrado también queda intacta en el dispositivo tras un reset de fábrica. Aunque esa clave está cifrada, acceder a ella sería trabajo de unos días para la mayoría de hackers, según los investigadores.

• Ten cuidado: Cómo detectar una app falsa en la Play Store

• Mejores apps antivirus y seguridad para Android

Cómo hacer un reset de fábrica correctamente, borrando todos tus datos

Lo principal que puedes hacer para protegerte es cifrar tu móvil. La opción de cifrar estará en diferentes lugares según el fabricante, pero en general la encuentras en Ajustes > Seguridad > Cifrar teléfono. Si tu móvil viene con Android 6.0 o superior, puede que ya venga cifrado por defecto.

Al cifrar tu dispositivo, usa una contraseña fuerte, generada aleatoriamente, con mayúsculas, minúsculas, números y símbolos, de al menos 11 caracteres. El problema es que es tan incómoda de teclear habitualmente que la mayoría de usuarios simplemente no la usan.

Alternativamente, una vez hecho el reset de fábrica, el almacenamiento flash puede rellenarse con datos basura para sobrescribir los tokens y claves criptográficas que quedan en el flash. Esto puede hacerse de forma rudimentaria con unos pocos archivos de vídeo grandes, o con una app hecha para ello. Hay varias apps bien valoradas en la Play Store, como Secure Erase con iShredder 6. (Por supuesto, si quieres estar extra seguro usando una app para llenar el móvil con datos ficticios, debería instalarse fuera de Google Play para evitar que se registre un token de Google en el dispositivo de nuevo.)

Esta solución, sin embargo, plantea problemas para usuarios con dispositivo perdido o robado, o dispositivos borrados remotamente con Android Device Manager. Hasta que haya una solución legítima, ten cuidado a quién vendes tu móvil de segunda mano.

¿Has vendido un móvil antes? ¿Creías que un reset de fábrica protegería tus datos? Comparte tus pensamientos en los comentarios.

• Qué hacer con tu Android antes de venderlo