Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
La mayoría de guías de ciberseguridad móvil repiten los mismos cinco consejos y luego te dejan igual de expuesto. Esta lista está pensada como una comprobación real: cosas que puedes verificar en tu teléfono esta tarde, con criterios para distinguir lo que protege de verdad de lo que solo da tranquilidad. No es exhaustiva y no garantiza que no te hackeen; ningún checklist lo hace.
Antes de tocar nada: tres comprobaciones de estado
1. ¿Tu sistema sigue recibiendo parches?
Un Android de gama baja con tres años puede llevar meses sin actualizaciones de seguridad. Entra en Ajustes → Información del teléfono → Versión de Android → Nivel del parche de seguridad. Si la fecha tiene más de 90 días, asume que hay vulnerabilidades conocidas sin corregir. Según documentación oficial de Google, los dispositivos que dejan de recibir parches no deberían usarse para banca ni correo principal.
2. Revisa qué apps tienen permiso de accesibilidad
Este es el punto que casi nadie mira y donde más malware bancario opera. En Android: Ajustes → Accesibilidad → Apps instaladas. Cualquier aplicación que no sea lector de pantalla, control por gestos o un teclado legítimo y que tenga ese permiso merece una revisión inmediata. Los troyanos tipo banker abusan precisamente de este permiso para leer la pantalla y simular toques.
3. Perfil de administración de dispositivos
En iOS está en Ajustes → General → VPN y gestión de dispositivos. En Android, en Seguridad → Administradores del dispositivo. Si aparece algo que no instalaste tú (una empresa, un perfil de «optimización»), estás cediendo control del terminal.
Bloque de identidad y acceso
- Verificador en dos pasos con app, no con SMS. El SMS es interceptable por SIM swapping; las apps TOTP o las llaves físicas FIDO2 no. Si un servicio solo ofrece SMS, valora si merece la pena tenerlo ahí.
- Código de bloqueo de seis dígitos o más, no patrón. El patrón es fácil de leer por encima del hombro y queda en la huella de la pantalla.
- Cifrado activo. En iPhone viene de serie con código configurado. En Android, comprueba Ajustes → Seguridad → Cifrado (en versiones modernas está activo por defecto, pero en terminales antiguos o con ROMs modificadas puede no estarlo).
- Revisa sesiones abiertas en Google, Apple, correo y redes sociales al menos una vez al mes. Cerrar sesiones viejas es de las medidas con mejor relación esfuerzo/beneficio.
Lo que de verdad mueve la aguja en el día a día
Actualizaciones automáticas de apps: sí, pero con matiz
Actívalas. El matiz: las apps que ya no usas deberían desinstalarse, no actualizarse. Una app abandonada en el teléfono sigue teniendo permisos y sigue siendo superficie de ataque. Según estudios del sector, una parte importante de las filtraciones en móviles se origina en apps que el usuario ya no abre.
Wi-Fi público: el problema no es el cifrado
Con HTTPS generalizado, espiar el tráfico en una cafetería es mucho más difícil que hace diez años. El riesgo real son los portales cautivos falsos que piden credenciales de correo o datos de tarjeta. Regla práctica: si una red abierta te pide la contraseña de tu cuenta de Google, es un fraude. Una VPN ayuda en redes hostiles, pero no sustituye el sentido común y añade su propio proveedor a la cadena de confianza.
Copias de seguridad: la parte que se olvida
El ransomware móvil existe y el robo físico también. Una copia cifrada en la nube con verificación en dos pasos en la cuenta que la aloja evita que un incidente se convierta en pérdida total. Comprueba que la copia se hizo de verdad: restaurar en un dispositivo de prueba una vez al año es la única forma de saberlo.
Errores concretos que veo repetirse
Un caso típico: usuario que instala una app de linterna o de «limpieza» desde fuera de la tienda oficial porque la del fabricante consume batería. La app pide acceso a contactos y ubicación «para funcionar mejor». Meses después, sus contactos reciben SMS con enlaces. El vector no fue un hackeo sofisticado, sino un permiso concedido sin leer.
Otro: activar el desbloqueo por reconocimiento facial en un móvil de gama media con cámara 2D. No es equivalente a Face ID; se engaña con una foto en muchos modelos. Para pagos, usa PIN o biometría de huella bien implementada.
Lo que esta lista no resuelve
Ningún checklist protege frente a un ataque dirigido con recursos estatales, ni frente a un fabricante que deja de parchear. Tampoco sustituye la configuración de privacidad de cada servicio, que cambia con frecuencia. Y no entra en gestión empresarial (MDM, contenedores de trabajo), donde las reglas son otras. Si tu teléfono es de empresa, la política interna manda sobre estas recomendaciones.
Revisa esta lista cada tres o cuatro meses. La ciberseguridad móvil no es un estado que se alcanza, sino una revisión periódica de decisiones que envejecen rápido.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
