Cómo saber si me han hackeado el móvil y qué hacer

Un síntoma no es una prueba

Casi todas las listas de señales de un móvil hackeado son listas de cosas que hacen todos los móviles. Las baterías pierden capacidad, las aplicaciones trabajan en segundo plano, la cobertura tiene días malos y las actualizaciones hacen que un teléfono antiguo parezca más lento. Nada de eso es un diagnóstico.

Una prueba es otra cosa. Es algo que ha pasado en una cuenta, no una sensación sobre el aparato: un inicio de sesión desde un sitio donde no has estado, un mensaje que no enviaste, un dispositivo que no es tuyo en la lista de tu cuenta, un perfil de configuración que no instalaste. Todo eso deja un registro.

Esto importa por lo que cuesta equivocarse. Perseguir un síntoma suele acabar en un restablecimiento de fábrica que no arregla nada, porque el problema de verdad era una contraseña que se filtró hace dos años. Buscar pruebas te dice en cuál de las dos situaciones estás, y cada una se arregla de forma distinta.

Las señales que prueban muy poco

Son las quejas que traen a casi todo el mundo a esta página. Cada una, por sí sola, tiene una explicación aburrida mucho más probable que un intruso.

La batería dura menos que antes. Las baterías de litio pierden capacidad con los años, y tanto iPhone como Android muestran en los ajustes el estado de la batería y qué aplicación gasta más. Mira cuál es antes de pensar en nada más.

El móvil se calienta. Cargarlo, usar el navegador GPS, ver vídeos, dejarlo al sol o instalar una actualización grande lo calientan.

Va lento o las aplicaciones se cierran. El almacenamiento casi lleno, un sistema nuevo en un aparato antiguo o una sola aplicación que funciona mal lo explican casi siempre.

Salen anuncios emergentes. Normalmente vienen de una aplicación cargada de publicidad o de una página web, no de un ataque al sistema. Aun así, conviene quitar esa aplicación.

Se ha disparado el consumo de datos. Mira las cifras por aplicación en los ajustes. Las copias de seguridad automáticas, los vídeos y un móvil que se desconectó del wifi explican la mayoría de los picos.

Te ha llegado un SMS raro o una llamada de spam. Los números de teléfono circulan sin parar, y recibir uno no dice nada de tu móvil. Cómo reconocer esos mensajes está en qué es el smishing.

INCIBE, en su artículo sobre qué hacer si sospechas que están monitorizando tu móvil, también menciona el menor rendimiento, la batería que se agota rápido y las aplicaciones que se abren o cierran solas. Cualquiera de estas cosas puede acompañar a un problema real, pero ninguna, sola, lo demuestra. Úsalas como motivo para mirar, no como conclusión.

Las señales que sí piden actuar

Estas dejan rastro en algún sitio, y por eso merece la pena actuar. Con una sola ya está justificado revisar hoy todas tus cuentas.

El móvil se queda sin cobertura sin motivo, o tu compañía te avisa de un cambio de SIM que no has pedido. Así empieza la estafa del duplicado de SIM, y es la señal de esta lista en la que la primera hora cuenta más.

Hay mensajes o correos que no enviaste en la carpeta de enviados, o tus contactos contestan a algo que nunca escribiste.

Te llegan avisos de inicio de sesión, correos para cambiar la contraseña o códigos de verificación sin que estuvieras entrando en ningún sitio. Alguien está en la puerta con tu contraseña.

Aparece un dispositivo que no reconoces en la lista de tu cuenta, o una sesión en un país donde nunca has estado.

Una aplicación, un perfil o un administrador que no instalaste. En iPhone aparece como un perfil de configuración o de gestión de dispositivos. En Android, como una aplicación con permisos de administrador del dispositivo o de accesibilidad que no tiene por qué necesitar.

Ajustes que han cambiado solos: una regla nueva de reenvío del correo, un teléfono o correo de recuperación nuevo, un dispositivo de confianza nuevo o una forma de pago que no añadiste.

Alguien sabe cosas que solo estaban en tu móvil. INCIBE lo señala como motivo de sospecha: que otra persona conozca detalles o conversaciones que solo habías compartido a través del teléfono.

Una notificación de amenaza oficial. Apple envía notificaciones de amenazas a usuarios que cree que han sido objetivo de programas espía mercenarios. Son raras y van dirigidas a muy pocas personas, pero son una prueba.

¿Hay un código para saber si me han hackeado el móvil?

No hay ningún código que marques en el teléfono y te diga si te han hackeado el móvil. Los que circulan en vídeos y cadenas, como *#21#, *#62# o *#43#, son códigos de las compañías para consultar servicios de tu línea: el desvío de llamadas y la llamada en espera. Maldita.es lo comprobó con el *#21#: muestra qué desvíos tienes activados, no si alguien rastrea tu teléfono.

Esto es lo que enseña cada uno, según las páginas de ayuda de las compañías españolas, como la de desvío de llamadas de Orange y la de llamada en espera de Vodafone:

• *#21#: si todas tus llamadas se desvían a otro número.
• *#61#: el desvío para cuando no contestas.
• *#62#: el desvío para cuando el móvil está apagado o sin cobertura.
• *#67#: el desvío para cuando estás comunicando.
• *#43#: si tienes activada la llamada en espera, que te avisa de una segunda llamada mientras hablas.

Que aparezca un número en *#61#, *#62# o *#67# no es mala señal por sí solo. Suele ser tu buzón de voz: Movistar explica en su comunidad de ayuda que al activar el buzón se activan los desvíos para cuando el móvil está apagado o sin cobertura, cuando no contestas y cuando comunicas. Lo que sí merece atención es un desvío de todas las llamadas, el de *#21#, a un número que no conoces.

Si encuentras un desvío que no pusiste, quítalo (en Orange, ##21# desactiva el de todas las llamadas), llama a tu compañía al número de su web o de tu factura y cambia la contraseña de tu área de cliente. Maldita.es recuerda que para poner un desvío hace falta tener tu móvil en la mano o entrar en tu cuenta con la compañía, y que el desvío no permite escuchar tus conversaciones. Un desvío es un problema de la línea, como el duplicado de SIM, y no demuestra que haya un programa dentro del móvil.

Cómo revisar un iPhone

Cuatro pantallas cubren casi todo lo que puede comprobar alguien que no es especialista, y ninguna necesita instalar nada. Repásalas en orden y apunta lo que no reconozcas. Los nombres de los menús pueden variar un poco según la versión.

1. Gestión de dispositivos. En Ajustes, General, el apartado de VPN y gestión de dispositivos. Un móvil personal normalmente no muestra nada ahí, salvo un perfil del trabajo que instalaste sabiendo lo que era. Un perfil que no reconoces es un hallazgo real.
2. Los dispositivos de tu cuenta de Apple. En Ajustes, toca tu nombre y baja hasta la lista de dispositivos. Apple explica cómo comprobar los dispositivos en los que has iniciado sesión y cómo eliminar de la cuenta cualquiera que no reconozcas, que deja de tener acceso a iCloud y de mostrar códigos de verificación.
3. Comprobación de seguridad. En Ajustes, Privacidad y seguridad, Comprobación de seguridad. La guía de Apple explica que sirve para revisar qué compartes con otras personas, qué permisos tienen las aplicaciones y qué dispositivos están conectados a tu cuenta, y para cortar ese acceso.
4. Permisos y aplicaciones desconocidas. En Privacidad y seguridad, revisa la ubicación, el micrófono, la cámara, las fotos y los contactos. Después recorre la lista de aplicaciones buscando alguna que no recuerdes haber instalado.

Apple tiene además el modo de aislamiento, un ajuste extremo que limita funciones para reducir los puntos de ataque. Está pensado para personas que creen ser objetivo de un ataque dirigido y estropea cosas del uso normal, así que no es una recomendación general.

Cómo revisar un móvil Android

En Android las comprobaciones equivalentes están en cuatro sitios. Los nombres exactos cambian según el fabricante, pero las palabras que hay que buscar son las mismas.

1. Pasa Play Protect. Abre Google Play Store, toca tu foto de perfil y entra en Play Protect para analizar el móvil. Google explica que Play Protect comprueba las aplicaciones, analiza el dispositivo en busca de aplicaciones dañinas que vengan de otras fuentes y puede desactivarlas o quitarlas.
2. Revisa los permisos de las aplicaciones. Google explica cómo cambiar los permisos de las aplicaciones desde Ajustes. Fíjate sobre todo en los servicios de accesibilidad, el acceso a las notificaciones y las aplicaciones que pueden mostrarse encima de otras, porque son los permisos que dejan a una aplicación leer y manejar otra.
3. Comprueba las aplicaciones de administración del dispositivo. Suelen estar en Ajustes, Seguridad. Una entrada que no añadiste tú es un hallazgo real, y muchas veces no deja desinstalarse hasta que le quitas ese permiso.
4. Revisa los dispositivos de tu cuenta de Google. Google explica cómo ver los dispositivos con acceso a la cuenta y cerrar la sesión en los que no reconozcas.

Recorre también la lista completa de aplicaciones, incluidas las de nombre genérico. Un programa pensado para pasar desapercibido no se anuncia, y un nombre sencillo, como el de una utilidad del sistema, es el disfraz habitual.

Qué hacer si te han hackeado el móvil: el orden de la limpieza

Para sacar a alguien de tu móvil y de tus cuentas importa más el orden que la velocidad. Cambiar contraseñas desde un dispositivo del que no te fías puede entregarlas otra vez, así que se empieza por pisar terreno seguro.

1. Si te has quedado sin cobertura o te ha llegado un aviso de cambio de SIM, llama primero a tu compañía, desde otro teléfono. Nada más funciona mientras tu número esté en otro móvil.
2. Pasa a un dispositivo de confianza para cambiar las contraseñas. El portátil de tu pareja o el ordenador de casa valen. Si no tienes otro, protege las cuentas igualmente y repite los cambios cuando el móvil esté limpio.
3. Cambia primero la contraseña del correo, después la de tu cuenta con la compañía telefónica, luego la del banco y los pagos, y por último el resto. El correo es el camino para recuperar todo lo demás.
4. Cierra todas las demás sesiones desde los ajustes de seguridad de cada cuenta, para que una sesión abierta no pueda seguir sin volver a entrar.
5. Revisa los datos de recuperación: correo y teléfono de recuperación, dispositivos de confianza y reglas de reenvío del correo. Es lo que se cambia para poder volver a entrar.
6. Activa el segundo paso más fuerte que ofrezca cada cuenta. En verificación en dos pasos está cuál elegir.
7. Quita lo que hayas encontrado en el móvil e instala todas las actualizaciones pendientes del sistema y de las aplicaciones.
8. Avisa a tu banco si se podía llegar a alguna cuenta con dinero, y revisa los movimientos las semanas siguientes. Si hay cargos que no has hecho, tienes hasta 13 meses para comunicarlos, según el Real Decreto-ley 19/2018 de servicios de pago, pero cuanto antes avises, mejor.

Cuándo tiene sentido restablecer de fábrica y qué no arregla

Restablecer el móvil de fábrica tiene sentido cuando has encontrado algo en el dispositivo y no consigues quitarlo, o cuando las pruebas apuntan al teléfono y no a una cuenta. En casi todos los demás casos es un mal primer paso.

No arregla una contraseña filtrada, porque la contraseña está en el servidor de la empresa, no en tu móvil. No saca a nadie de tus cuentas. Y restaurar una copia de seguridad hecha cuando el problema ya estaba puede devolverlo tal cual, así que configura el móvil como nuevo e instala las aplicaciones a mano en lugar de restaurarlo todo de golpe.

Antes de restablecer, apunta lo que has encontrado y haz capturas desde otro dispositivo. Si después presentas una denuncia, esa nota será el único registro, porque el restablecimiento borra el resto.

Si quien tiene acceso es alguien cercano

Un programa de control instalado por una pareja, una expareja o un familiar es una situación distinta a la de un delincuente lejano, y los consejos habituales pueden empeorarla. Quien vigila el móvil puede ver qué ajustes abres y qué aplicaciones quitas.

Si hay cualquier riesgo para tu seguridad, pide orientación antes de cambiar nada en el dispositivo. El 016, el servicio del Ministerio de Igualdad para todas las formas de violencia contra las mujeres, es gratuito, atiende las 24 horas y también por WhatsApp en el 600 000 016, por correo y por chat. El ministerio indica que en muchos móviles comprados en España las llamadas al 016 no quedan guardadas en el registro de llamadas. Para la parte técnica, el 017 de INCIBE también atiende estos casos. Apple publica además una guía de seguridad personal pensada para esta situación.

Si en algún momento estás en peligro, llama al 112. Cuando empieces a cambiar contraseñas, hazlo desde un dispositivo al que la otra persona no llegue, y cuenta con que las cuentas, la ubicación compartida y los planes familiares pueden necesitar resolverse por separado. No es algo para arreglar en una tarde desde el móvil afectado.

Dónde pedir ayuda y denunciar

Si no tienes claro qué has encontrado, la Línea de Ayuda en Ciberseguridad de INCIBE atiende en el 017, gratis y de forma confidencial, de ocho de la mañana a once de la noche todos los días del año, también por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017. Ofrece asesoramiento técnico, legal y psicosocial.

Si alguien ha entrado en tus cuentas, ha usado tu nombre o te ha quitado dinero, presenta denuncia. La Policía Nacional la admite por internet en su Oficina Virtual de Denuncias, con la obligación de firmarla en comisaría en un plazo máximo de 72 horas. La Guardia Civil tiene una denuncia electrónica para estafas y cargos fraudulentos por medios informáticos. Los casos con violencia, con un autor conocido o con testigos no se pueden denunciar por internet y van a comisaría o al cuartel.

Ninguna de estas vías recupera por sí sola un dispositivo, una contraseña o el dinero. Guarda un registro mientras avanzas: fechas, qué viste, capturas hechas desde otro dispositivo, números de expediente y nombres de las personas con las que hablaste. El banco y las plataformas te pedirán detalles más adelante.

Preguntas frecuentes sobre el móvil hackeado