En 2025, el informe ENISA Threat Landscape situaba el móvil como principal vector de ataque, con el 42 % de las amenazas. La edición 2026 se centra esta vez en el espionaje y, una vez más, numerosos casos pasan por el smartphone. Spyware comercial, mensajerías desviadas... ejemplos que muestran que los vectores de amenazas móviles no dejan de evolucionar.
Spyware comercial: las empresas también son objetivos
El sector público es el más afectado por el espionaje. Según la ENISA, este sector es un objetivo prioritario porque da acceso a datos estratégicos sobre posiciones políticas, relaciones exteriores, defensa y seguridad. Casi tres de cada diez casos de espionaje registrados en Europa se dirigen a este sector (29,4 %).
Muchos de estos casos de espionaje pasan por el móvil. Un alto cargo gubernamental europeo fue infectado por el spyware Pegasus, y el spyware Graphite se dirigió contra periodistas y activistas europeos a través de WhatsApp y después de iMessage.
El informe menciona también DCHSpy, un spyware para Android cuya nueva versión fue utilizada por el grupo MuddyWater, vinculado a Irán, en el contexto de la guerra de los doce días entre Israel e Irán.
Pero el espionaje móvil no se limita al sector público. El spyware comercial, herramientas de intrusión desarrolladas por empresas privadas y vendidas a gobiernos, también afecta al mundo económico. Se han identificado infecciones por Pegasus en la República Checa, Polonia y España, entre profesionales de la logística y las finanzas. La ENISA indica que el spyware Graphite también habría sido utilizado contra un directivo bancario.
Cuando el teléfono de un profesional se ve comprometido, sus mensajes, sus documentos y sus accesos a las herramientas de trabajo quedan expuestos y, con ellos, los datos de la empresa.
Mensajerías desviadas para ganarse la confianza de las víctimas
La ENISA señala otra tendencia destacada: el abuso creciente de las aplicaciones de mensajería. Campañas a gran escala han utilizado Signal o WhatsApp para establecer un contacto personalizado con sus objetivos.
En marzo de 2026, el FBI y la CISA alertaron sobre una campaña de grupos vinculados a la inteligencia rusa dirigida contra las cuentas de mensajería de altos cargos gubernamentales y periodistas, en particular en Signal. Los atacantes se hacían pasar por el soporte de la aplicación e incitaban a las víctimas a escanear un código QR o a validar la vinculación de un nuevo dispositivo, para después leer sus mensajes. Otra campaña de phishing, en mayo de 2026, se dirigía a las claves de recuperación de las copias de seguridad de Signal.
En su conclusión, el informe ENISA Threat Landscape 2026 describe una ingeniería social que se apoya cada vez más en estas plataformas de comunicación de confianza. No hace falta un programa espía para acceder a conversaciones sensibles: un mensaje que parece legítimo puede bastar. Y estas campañas no son aisladas: un dispositivo profesional recibe de media 288 intentos de phishing al año, y el 45 % de los usuarios hace clic en los enlaces recibidos.
Espionaje móvil: cuatro recomendaciones para limitar el riesgo
Para limitar el riesgo de ataques móviles, el FBI y la CISA, así como Google, recomiendan varias prácticas:
- No comunicar nunca un código de verificación, un código PIN o una clave de recuperación, ni siquiera a un supuesto soporte.
- No escanear un código QR ni validar la vinculación de un nuevo dispositivo sin haberlo solicitado.
- Revisar periódicamente los dispositivos vinculados a las aplicaciones de mensajería como Signal y WhatsApp, y eliminar los desconocidos.
- Mantener actualizados el sistema y las aplicaciones, ya que el spyware puede explotar fallos de seguridad.
Estas recomendaciones reducen la exposición, pero dependen de la vigilancia de cada usuario.
Cómo protege Pradeo los usos móviles profesionales
Ante ataques cada vez más sofisticados, la vigilancia por sí sola no basta. Pradeo Mobile Threat Defense protege las flotas móviles en tiempo real contra todos los vectores de amenazas. La solución de Pradeo para la protección de flotas móviles:
- Detecta y bloquea las aplicaciones maliciosas, así como las aplicaciones intrusivas que acceden a datos sin relación con su uso declarado
- Analiza los enlaces recibidos por SMS, correo electrónico, mensajería o código QR para bloquear los intentos de phishing
- Protege contra las amenazas de red y verifica la integridad de los dispositivos móviles
Pradeo también permite a las organizaciones mantener el control de sus datos móviles, gracias a una tecnología íntegramente diseñada y alojada en Europa, fuera del alcance de las legislaciones extraterritoriales.
