El stalkerware es software de vigilancia que alguien instala en el teléfono de otra persona para espiarla sin su consentimiento. La Coalition Against Stalkerware lo define como software, disponible directamente para particulares, que permite a un usuario remoto vigilar la actividad del dispositivo de otra persona sin su consentimiento, y que puede facilitar la vigilancia de la pareja, el acoso, el abuso, la persecución o la violencia.
La mayoría del stalkerware usa las mismas capacidades de Android que las aplicaciones legítimas —ubicación, accesibilidad, acceso a notificaciones— y lo que lo define no es un exploit ingenioso sino la falta de consentimiento. Eso dificulta detectarlo sólo por firma y convierte la respuesta ante un caso sospechoso en una cuestión de seguridad personal antes que técnica.
La dimensión del problema
El informe de Kaspersky The State of Stalkerware in 2023, publicado en Securelist, contabilizó 31.031 usuarios únicos de sus productos móviles afectados por stalkerware ese año, frente a 29.312 en 2022. La cifra sólo cubre usuarios de Kaspersky y sólo aplicaciones que cumplen los criterios de la Coalition, así que el número real probablemente es mayor.
América Latina sumó 5.478 de esos usuarios. Brasil fue el segundo país del mundo, con 4.186 usuarios afectados, y México el noveno, con 592; dentro de la región les siguieron Colombia, Perú, Argentina, Ecuador y Chile.
| Puesto (2023) | País | Usuarios afectados |
|---|---|---|
| 1 | Rusia | 9.890 |
| 2 | Brasil | 4.186 |
| 3 | India | 2.492 |
| 4 | Irán | 1.578 |
| 5 | Turquía | 1.063 |
| 9 | México | 592 |
Fuente: Kaspersky, The State of Stalkerware in 2023. Filas seleccionadas del top diez.
En qué se diferencia del resto del malware Android
Un troyano bancario busca dinero y muchas víctimas a las que nunca conoce. El stalkerware apunta a una sola persona, y quien lo opera suele conocerla. De ahí salen cuatro consecuencias.
La instalación exige acceso físico. El stalkerware suele requerir acceso físico al teléfono desbloqueado. La política actual de Google Play sobre stalkerware entró en vigor el 1 de octubre de 2020, así que la vía habitual es un APK descargado de la web del proveedor con la instalación de orígenes desconocidos activada.
Quien instala configura los permisos. Como tiene el teléfono en la mano, las solicitudes de permisos y las pantallas de confirmación que frenan a otro malware las acepta el atacante, no la víctima. Las protecciones que Android añadió contra el abuso de accesibilidad —incluida la configuración restringida que se describe en ataques de superposición en Android— añaden pasos, pero no detienen a quien tiene el dispositivo.
La ocultación es el producto. Los criterios de detección de la Coalition incluyen ocultar su presencia, resistirse a la desinstalación, pedir privilegios adicionales, esconder su actividad y disfrazar su nombre o descripción después de instalarse. Una aplicación de stalkerware suele adoptar un nombre que parece de servicio del sistema e intenta ocultar su icono del lanzador, algo que Android 10 y posteriores dificultan a las aplicaciones que no son del sistema.
Los datos son personales, no financieros. Ubicación, mensajes, registro de llamadas, contactos, fotos, historial de navegación y, mediante accesibilidad o acceso a notificaciones, el contenido de las aplicaciones de mensajería.
La línea que traza Google Play
La política de stalkerware de Google Play lo define como código que recoge o transmite datos personales o sensibles del usuario sin aviso o consentimiento adecuados y sin mostrar una notificación persistente de que eso está ocurriendo.
Sólo las aplicaciones diseñadas y comercializadas exclusivamente para el control parental o la gestión empresarial pueden ofrecer rastreo en Play, y deben cumplir unas condiciones mínimas:
- No pueden presentarse como solución de espionaje o vigilancia secreta.
- No pueden ocultar ni disimular el rastreo, ni confundir al usuario sobre él.
- Deben mostrar una notificación persistente mientras se ejecutan y un icono único que identifique claramente la aplicación.
- No pueden ofrecer una forma de activar funciones prohibidas, incluidos enlaces a APK no conformes alojados fuera de Play.
La política dice además que estas aplicaciones no pueden usarse para rastrear a nadie más.
El aviso es la frontera que aplica Google Play. Una notificación persistente y un icono identificable son condiciones para que una aplicación de monitorización siga en Play; no demuestran consentimiento, y una aplicación que las cumple puede usarse igualmente como stalkerware contra una persona adulta.
Orden de actuación ante un caso sospechoso
El instinto técnico es encontrar la aplicación y borrarla. Para una persona que puede estar vigilada por su pareja o un familiar, ése puede ser el primer paso equivocado, y también lo puede ser buscar información sobre el problema en el teléfono que quizá está vigilado.
La guía de Kaspersky, alineada con la Coalition, es explícita: no intentar borrar el stalkerware, cambiar ajustes ni manipular el teléfono antes de tener un plan de seguridad. Eliminar la aplicación puede alertar a quien la instaló, lo que puede agravar el abuso, y destruye pruebas que pueden hacer falta después. La misma cautela vale para instalar un antivirus nuevo o lanzar un escaneo en el dispositivo antes de valorar el riesgo de alertar al agresor.
La secuencia para quien apoya a una víctima —una mesa de ayuda, un equipo de fraude, un profesional de seguridad al que pide ayuda una amiga— es por tanto:
- Primero, el plan de seguridad. Se deriva a la persona a una organización de apoyo local; la Coalition Against Stalkerware mantiene contactos. Buscar información y planificar es más seguro desde un dispositivo al que la otra persona no haya tenido acceso.
- Documentación antes de cualquier cambio. Lo que se ve en los ajustes de la sección siguiente se registra con fotos de la pantalla tomadas con otro dispositivo, no con capturas en el teléfono vigilado.
- Seguridad de las cuentas dentro del plan. Cambiar contraseñas o cerrar sesiones también puede alertar a la otra persona, así que el momento lo decide el plan de seguridad; cuando se hace, se hace desde un dispositivo al que la otra persona no haya tenido acceso.
- Eliminación sólo cuando el plan lo permita. Un restablecimiento de fábrica elimina la mayoría del stalkerware, pero también las pruebas.
Dónde se hace visible el stalkerware en Android
Revisar estos ajustes no los cambia, pero el propio dispositivo puede estar vigilado, y no conviene cambiar ni borrar nada antes de tener un plan de seguridad.
Ningún ajuste aislado demuestra que haya stalkerware. La guía de Kaspersky califica de circunstanciales señales como el consumo rápido de batería, el uso elevado de datos o las aplicaciones desconocidas. Los lugares siguientes son donde hay que conceder sus capacidades, y por eso es ahí donde aparece. Los nombres de los menús varían según el fabricante.
| Dónde mirar | Qué necesita ahí el stalkerware |
|---|---|
| Ajustes → Accesibilidad → servicios instalados | Leer la pantalla y las aplicaciones de mensajería, impedir la desinstalación |
| Ajustes → Notificaciones → acceso a notificaciones | Leer los mensajes entrantes y los códigos de un solo uso |
| Ajustes → Seguridad → apps de administración del dispositivo | Resistirse a la eliminación, bloquear la pantalla |
| Ajustes → Aplicaciones → acceso especial → instalar apps desconocidas | La vía por la que se instaló |
| Ajustes → Ubicación → permisos de ubicación de apps | Rastreo continuo, a menudo «permitir todo el tiempo» |
| Ajustes → Panel de privacidad (Android 12 y posteriores) | Qué aplicaciones usaron hace poco la ubicación, la cámara y el micrófono |
| App Play Store → perfil → Play Protect | Si Play Protect está desactivado, algo que hacen algunos instaladores |
Dos patrones merecen atención. Una aplicación con nombre genérico o de aspecto de sistema que tiene a la vez accesibilidad, acceso a notificaciones y administración del dispositivo no tiene explicación ordinaria. Y un Play Protect desactivado en un teléfono cuyo dueño no lo desactivó indica que lo hizo otra persona.
Android 12 y posteriores muestran además un indicador en la barra de estado cuando la cámara o el micrófono están en uso, lo que puede revelar una grabación en directo.
Qué establece el análisis estático de un APK sospechoso
Cuando un analista tiene el APK —extraído por un especialista forense como parte de un plan de seguridad, nunca por la persona afectada en su propio teléfono; recibido como parte de una investigación; u obtenido de la web de un proveedor para estudiarlo—, el análisis estático muestra para qué está construida la aplicación sin ejecutarla.
| Señal en el paquete | Qué indica |
|---|---|
| Un servicio de accesibilidad configurado para recibir eventos de ventana y contenido de todas las apps | Captura de pantalla y mensajes |
| Un servicio de escucha de notificaciones | Lectura de mensajes y códigos entrantes |
| Un receptor de administrador del dispositivo | Resistencia a la desinstalación |
ACCESS_BACKGROUND_LOCATION con un servicio en primer plano y un receptor de RECEIVE_BOOT_COMPLETED |
Rastreo continuo que se reanuda tras los reinicios |
READ_SMS, READ_CALL_LOG, READ_CONTACTS |
Recogida de comunicaciones |
Sin actividad de lanzador, o código que la desactiva con setComponentEnabledSetting, más un nombre genérico |
Ocultación |
| Endpoints de subida escritos en el código | Adónde deben ir los datos recogidos |
Ninguna fila es concluyente por sí sola: las aplicaciones de control parental y las empresariales usan varias. Como en cualquier triaje, el hallazgo es la combinación. Droidwatch puntúa combinaciones y no permisos sueltos, mapea los hallazgos a técnicas de MITRE ATT&CK Mobile y extrae indicadores de red, que en un caso de stalkerware pueden señalar la infraestructura preparada para recibir los datos recogidos. El método general está en el flujo de triaje de un APK sospechoso; cuando la pregunta es sobre una aplicación de la que sólo se conoce el nombre de paquete, cómo identificar un paquete Android desconocido explica la consulta.
Hay dos límites. El análisis estático establece capacidad, no qué se recogió de un teléfono concreto. Y los envíos a Droidwatch son privados por defecto; un APK que puede ser prueba en un caso no debería ir a un servicio que comparte lo que se sube con terceros, como recoge la comparativa de herramientas para analizar APK.
Preguntas frecuentes
¿Qué es el stalkerware? Software de vigilancia instalado en el teléfono de una persona para seguir su ubicación, sus mensajes y su actividad sin su consentimiento, normalmente por alguien cercano que tuvo acceso físico al dispositivo.
¿Cómo saber si tengo stalkerware en el celular? Revisando dónde se conceden sus capacidades: servicios de accesibilidad, acceso a notificaciones, apps de administración del dispositivo, instalación de orígenes desconocidos, permisos de ubicación, el panel de privacidad y Play Protect. Una aplicación desconocida que reúne varios de ellos es la señal más fuerte. La batería y el consumo de datos son indicios circunstanciales. Como el teléfono puede estar vigilado, no conviene cambiar nada antes de tener un plan de seguridad.
¿Hay que borrar el stalkerware en cuanto se encuentra? No antes de tener un plan de seguridad. Borrarlo puede alertar a quien lo instaló y destruye pruebas. Kaspersky y la Coalition Against Stalkerware recomiendan contactar primero con una organización de apoyo.
¿Está permitido el stalkerware en Google Play? No. Con la política vigente desde el 1 de octubre de 2020, sólo las aplicaciones de control parental y de gestión empresarial pueden ofrecer rastreo, con notificación persistente e icono identificable, y no pueden usarse para rastrear a nadie más.
¿Puede Droidwatch decir si un teléfono está infectado? No. Droidwatch analiza un fichero APK, no un teléfono. Con el APK sospechoso, establece para qué está construida la aplicación y qué endpoints hay en su código.