Google ha publicado recientemente su informe de Fraudes y Estafas de junio de 2026, que pone de relieve numerosos ataques dirigidos a los dispositivos móviles, convertidos en un vector predilecto de los atacantes. Entre técnicas concebidas para burlar los controles y campañas industrializadas por la IA, las amenazas móviles no dejan de evolucionar.
Aplicaciones financieras convertidas en herramientas de extorsión
El informe insiste en el avance de la extorsión móvil mediante falsas aplicaciones bancarias y financieras. Disfrazadas de herramientas de finanzas personales, solicitan permisos sin relación con la función que anuncian: acceso a los contactos, al historial de SMS o a las fotos. Las aplicaciones de este tipo acumulan ya más de ocho millones de descargas.
Este tipo de amenaza no es nuevo. Lo que cambia es la forma en que esas aplicaciones llegan a los usuarios. Ante el endurecimiento de los controles de Google Play, los atacantes recurren cada vez más al versioning: primero envían una aplicación de apariencia legítima, que supera la revisión de la tienda, y después distribuyen una actualización con el código malicioso una vez instalada la aplicación. Ese código explota entonces los servicios de accesibilidad del dispositivo. Para contrarrestar estas tácticas, los equipos de Google indican que priorizan la detección de los llamados permisos dormidos.
Un phishing móvil que se renueva y se industrializa
El informe de Google describe también un phishing en plena mutación, que multiplica las técnicas para eludir las protecciones tradicionales. Entre las mencionadas, el quishing, o phishing con códigos QR, apunta directamente al móvil. Un código QR manipulado se escanea con el teléfono y abre al instante un enlace fraudulento en el dispositivo, sin que el usuario pueda comprobar su destino y fuera del alcance de los filtros de correo. Esos códigos QR se apoyan a su vez en técnicas de evasión como la superposición o la fragmentación para burlar las herramientas de análisis.
Más allá de las nuevas técnicas, estas campañas se han industrializado. Se venden ya llave en mano, como phishing-as-a-service, y la IA generativa multiplica su alcance.
Google, de hecho, presentó una demanda el mes pasado contra una de esas redes, llamada Outsider Enterprise. Por una suscripción desde 88 dólares a la semana, el kit daba acceso a más de 290 plantillas de sitios falsos y sirvió para enviar 2,5 millones de SMS fraudulentos a dispositivos Android en dos semanas de mayo. Para generar esos sitios falsos en serie, los operadores desviaban Gemini, la IA generativa de Google. Precisamente ese uso indebido motivó esta primera acción judicial contra el aprovechamiento malicioso de su propia IA. El caso ilustra la magnitud que alcanza hoy el phishing móvil, donde la automatización reduce el nivel de competencia necesario para lanzar campañas a gran escala.
Cómo protege Pradeo los parques móviles
El móvil es hoy un vector de ataque privilegiado, pero todavía poco protegido. La solución Pradeo Mobile Threat Defense protege los parques móviles corporativos detectando automáticamente las amenazas en todos los vectores (aplicaciones, red y sistema):
- Análisis del comportamiento de las aplicaciones instaladas y detección de permisos excesivos o de actividad maliciosa, incluso cuando se manifiesta después de la instalación.
- Protección antiphishing que bloquea automáticamente los enlaces fraudulentos en el móvil, sea cual sea su origen (SMS, correos, códigos QR), antes incluso de que el usuario acceda a ellos.
- Detección de configuraciones del sistema de riesgo (modo desarrollador o depuración activados, parches de seguridad obsoletos…).
