Un SMS que contiene un enlace, una aplicación gratuita descargada fuera de la tienda oficial, una red Wi-Fi pública en un café: estas situaciones banales a veces son suficientes para abrir el acceso completo a un teléfono. Las técnicas utilizadas por los piratas no son ciencia ficción. Explotan fallos simples, a menudo relacionados con el comportamiento del usuario más que con la tecnología en sí.
Desvío de tokens OAuth: hackear un teléfono sin contraseña
¿Alguna vez has autorizado una aplicación para que se conecte a través de tu cuenta de Google o Microsoft? Este mecanismo se basa en el protocolo OAuth, que entrega un token de acceso a la aplicación de terceros. El problema: kits de hacking como Kali365 industrializan el robo de estos tokens sin necesidad de la contraseña ni de la doble autenticación.
Leer también : Cómo acceder a su espacio digital universitario: pasos y consejos prácticos
El principio es aterradoramente simple. El atacante envía una solicitud de autorización de dispositivo OAuth, a menudo disfrazada de notificación legítima. La víctima valida un código. A partir de ahí, el pirata recupera un token que le da acceso a los correos, archivos, contactos, calendario y mensajería sincronizados en el teléfono profesional.
Este tipo de ataque elude la mayoría de las protecciones clásicas. Dado que el token es válido a los ojos del sistema, no se activa ninguna alerta. Para prevenirlo, es necesario desactivar los flujos de autenticación por código de dispositivo en la configuración de administración de su cuenta profesional, una opción que la mayoría de los usuarios ignora. Aquellos que buscan entender cómo hackear un teléfono o un número a menudo descubren esta técnica primero, ya que es muy común en los ataques documentados desde 2025.
Ver también : Los secretos de la conversión de volúmenes en la cocina: de mililitros a centilitros
Malware móvil y falsas aplicaciones: el hackeo por instalación engañosa
Instalar una aplicación fuera de la tienda oficial es como abrir la puerta de su teléfono sin verificar quién entra. Los malwares móviles se infiltran en archivos APK distribuidos a través de enlaces en redes sociales, foros o mensajes directos.
Una vez instalado, el software malicioso puede activar la cámara, el micrófono y la geolocalización sin que el usuario se dé cuenta. El dispositivo sigue funcionando normalmente en apariencia.
Lo que hace concretamente un malware móvil
- Vigilancia en tiempo real: grabación de audio, capturas de pantalla, seguimiento GPS enviado a un servidor remoto
- Intercepción de SMS y registros de llamadas, incluidos los códigos de verificación enviados por los bancos
- Extracción de las credenciales almacenadas en el navegador o las aplicaciones de mensajería
- Instalación silenciosa de otros softwares maliciosos para mantener el acceso incluso después de un reinicio
El punto de partida es casi siempre el mismo: un enlace engañoso o una aplicación que imita un servicio conocido. La demostración grabada por un experto en ciberseguridad para la Autoridad israelí de radiodifusión mostró que un teléfono podía ser controlado completamente a distancia en cuestión de segundos después de la instalación de tal software.
Web skimming en móvil: robo invisible durante las compras en línea
El hackeo no siempre pasa por el teléfono en sí. Scripts maliciosos inyectados en las páginas de pago de sitios de comercio electrónico roban los datos bancarios en el momento en que el usuario introduce su número de tarjeta. Este procedimiento, llamado web skimming, funciona de manera totalmente invisible para el comprador.
En móvil, el riesgo se amplifica. Las pantallas más pequeñas hacen que las anomalías visuales de una página de pago modificada sean más difíciles de detectar. El usuario no ve ninguna advertencia ni cambio de apariencia.
PCI DSS 4.0 y sus consecuencias concretas
La norma PCI DSS 4.0, que se volvió obligatoria en marzo de 2025 para los sitios de comercio electrónico, ahora impone un inventario detallado de todos los scripts ejecutados en las páginas de pago. Cualquier modificación no autorizada de un script debe activar una alerta. Esta obligación apunta directamente al web skimming.
Para el usuario móvil, esta evolución regulatoria no cambia mucho en el día a día. La protección recae en el sitio comercial. Dos reflexos siguen siendo útiles: privilegiar los sitios que muestran el protocolo HTTPS y utilizar tarjetas bancarias virtuales de un solo uso ofrecidas por la mayoría de los bancos.
Falsas redes Wi-Fi e interceptación de datos móviles
Crear un falso punto de acceso Wi-Fi no requiere ninguna habilidad avanzada. Un pirata instala una red abierta con el nombre de un café, un hotel o un aeropuerto. El teléfono a veces se conecta automáticamente si el Wi-Fi está activado y la conexión automática no ha sido desactivada.
Una vez conectado, todo el tráfico no cifrado pasa por el dispositivo del pirata. Credenciales, mensajes, historiales de navegación: los datos circulan en claro.
- Desactivar la conexión Wi-Fi automática en la configuración del teléfono
- Eliminar las redes guardadas que ya no se utilizan
- Utilizar un VPN en redes públicas para cifrar todo el tráfico
- Nunca introducir credenciales bancarias o profesionales en una red abierta
Este vector de ataque sigue siendo uno de los más simples de implementar. No requiere contacto físico con el teléfono de la víctima y funciona en cualquier lugar público concurrido.
La mayoría de las técnicas descritas aquí comparten un punto en común: explotan la confianza del usuario más que una falla técnica compleja. Un enlace clicado demasiado rápido, una autorización concedida sin leer, una red Wi-Fi aceptada por costumbre. La primera protección de un teléfono sigue siendo el comportamiento de la persona que lo sostiene.