Cómo saber si tu teléfono ha sido hackeado: señales, soluciones y prevención

La versión corta: un teléfono genuinamente hackeado suele mostrar un conjunto de síntomas, no uno solo. El indicador más claro no es «mi teléfono va lento», sino actividad inesperada en tus cuentas que tú no iniciaste (correos de restablecimiento de contraseña que no solicitaste, códigos de doble factor que llegan sin que los hayas pedido, alertas de inicio de sesión desde lugares donde nunca has estado). Si ves eso, ve directamente a la sección «qué hacer» más abajo. Si estás aquí porque tu batería se descarga rápido o tu teléfono va lento, la respuesta honesta es que esos síntomas casi nunca indican que te han hackeado, pero recorreremos el diagnóstico completo para que puedas descartarlo correctamente.

La tabla de diagnóstico: síntomas, causas probables y cuándo preocuparse

Antes de entrar en detalle, aquí tienes la tabla de referencia. La mayoría de los síntomas que la gente asocia con el hackeo tienen explicaciones mundanas. La columna de la derecha indica cuándo ese mismo síntoma es realmente una señal de alarma.

El patrón a vigilar: un único síntoma casi nunca es suficiente. Los compromisos reales suelen producir un conjunto: consumo de datos inesperado más descarga de batería más una app que no reconoces, o actividad en cuentas más códigos 2FA que no solicitaste. Si solo experimentas un elemento de la columna izquierda sin evidencia corroborante, la explicación mundana es abrumadoramente más probable.

Señales de que tu teléfono podría estar realmente hackeado

Estos son los indicadores que los profesionales de seguridad toman en serio: aquellos en los que la probabilidad de un compromiso real es lo suficientemente alta como para justificar una investigación inmediata.

1. Señales de toma de control de cuentas

Recibes correos de restablecimiento de contraseña que no solicitaste. Te llegan códigos de verificación 2FA por SMS o autenticador que tú no activaste. Ves alertas de inicio de sesión desde dispositivos o ubicaciones que no reconoces. La carpeta «enviados» de tu correo contiene mensajes que no escribiste. Tus cuentas en redes sociales publican contenido que tú no creaste. Este es el indicador de mayor confianza: significa que tus credenciales están comprometidas (lo que puede o no involucrar tu teléfono) o que algo en tu dispositivo está interceptando los flujos de autenticación.

2. Instalaciones de apps inexplicables con permisos elevados

En Android: ve a Ajustes, luego Apps, luego ordena por instalación reciente. Busca cualquier cosa que no reconozcas. Después comprueba Ajustes, luego Seguridad, luego Apps de administración de dispositivos: si una app que no instalaste tiene privilegios de administrador, es una señal de alarma grave. En iOS: revisa tu pantalla de inicio en busca de apps desconocidas y comprueba Ajustes, luego General, luego VPN y gestión de dispositivos para ver si hay perfiles de configuración que no instalaste. El stalkerware y el spyware casi siempre requieren permisos elevados para funcionar: administrador de dispositivo en Android, perfiles de configuración en iOS.

3. Patrones de exfiltración de datos

Comprueba el desglose de uso de datos por app (Ajustes, luego Datos móviles en iOS; Ajustes, luego Red e internet, luego Uso de datos en Android). Si una app que usas raramente está consumiendo cientos de megabytes, o si «Servicios del sistema» o un proceso no identificable está usando datos significativos, vale la pena investigarlo. El malware que exfiltra fotos, mensajes o grabaciones de llamadas necesita subir esos datos a algún lugar, y la subida aparece en las estadísticas de datos.

4. Actividad financiera no autorizada

Cargos en tu factura telefónica por servicios de SMS premium o llamadas internacionales que no realizaste. Transacciones en apps de pago (Venmo, Cash App, Apple Pay, Google Pay) que no autorizaste. Esta suele ser la primera señal concreta que nota la gente porque tiene un importe en euros o dólares. Si tu factura muestra cargos de SMS a tarifa especial a códigos cortos, es un fuerte indicador de malware que envía SMS.

5. Tu teléfono hace cosas cuando no lo estás tocando

La pantalla se ilumina y navega sola. Las apps se abren sin tu intervención. Los ajustes cambian: el WiFi se activa, el Bluetooth se habilita, el modo avión se alterna. Si alguien tiene acceso remoto a tu dispositivo (a través de un RAT —troyano de acceso remoto—), el dispositivo lo delatará ocasionalmente realizando acciones sin intervención física. Esto es menos frecuente que antes porque los RAT móviles modernos son mejores para mantenerse invisibles, pero cuando ocurre, es inconfundible.

Señales que parecen sospechosas pero normalmente no lo son

Internet está lleno de artículos con «15 señales de que tu teléfono está hackeado» que incluyen síntomas tan comunes que se aplican a prácticamente cualquier teléfono. Seamos honestos sobre lo que realmente significan.

«Mi teléfono va lento» — casi con certeza no es un hackeo

Un teléfono con el 90% del almacenamiento usado, 47 apps con actualización en segundo plano habilitada y una batería de 18 meses irá lento. Eso es física, no malware. El malware móvil moderno está diseñado para ser ligero: un keylogger o un ladrón de credenciales usa CPU insignificante porque el atacante quiere pasar desapercibido. Si el malware hiciera que tu teléfono fuera notablemente lento, sería un malware mal escrito que se detectaría rápidamente. El sofisticado es invisible para la monitorización del rendimiento.

«Mi batería se descarga rápido» — primero comprueba el estado de la batería

En iOS: Ajustes, luego Batería, luego Estado y carga de la batería. Si la Capacidad máxima está por debajo del 80%, tu batería está degradada y eso explica la descarga. En Android: Ajustes, luego Batería, luego Uso de batería muestra qué apps consumieron más. Los servicios de ubicación en segundo plano (apps del tiempo, rastreadores de actividad física, apps de navegación que no se cerraron correctamente) son los mayores consumidores de batería. Si el estado de la batería está por encima del 90% y ninguna app explica la descarga, entonces tienes algo que vale la pena investigar, pero primero reinicia el teléfono y monitoriza durante un día antes de asumir un compromiso.

«Veo anuncios dirigidos» — así es como funciona el ecosistema publicitario

Ver un anuncio de algo de lo que hablaste cerca de tu teléfono parece vigilancia, y es el desencadenante más común de las búsquedas de «creo que me han hackeado». La realidad: tu teléfono no está escuchando tus conversaciones a través del micrófono para la orientación publicitaria. Eso requeriría procesamiento de audio constante, agotaría la batería visiblemente y generaría tráfico de red detectable. Lo que sí ocurre es que las redes publicitarias son extraordinariamente buenas en la segmentación inferencial: conocen tu ubicación, tu historial de navegación, tu historial de compras, tu grafo social y el comportamiento de personas demográficamente similares a ti. Eso es suficiente para producir anuncios que parecen psíquicamente precisos. Es inquietante, pero no es hacking. Es el modelo de negocio. El bloqueo de rastreadores aborda esto cortando la recopilación de datos que alimenta el motor de inferencia de la red publicitaria.

«Pop-ups aleatorios» — probablemente notificaciones del navegador, no malware

En algún momento visitaste un sitio web y tocaste «Permitir» en una solicitud de permiso de notificación. Ahora ese sitio envía notificaciones push que parecen pop-ups. La solución: en iOS, ve a Ajustes, luego Safari, luego Avanzado, luego Datos del sitio web y bórralos, o gestiona las notificaciones por sitio. En Android, abre Chrome, luego Ajustes, luego Notificaciones, luego Sitios y revoca los que no reconozcas. Son molestos pero no son evidencia de un compromiso: son una característica de la API de notificaciones web que sitios agresivos están abusando.

Qué hacer si crees que tu teléfono ha sido hackeado

Si has identificado un conjunto genuino de indicadores sospechosos en la sección anterior, aquí está la respuesta paso a paso. El orden importa: sigue estos pasos secuencialmente, no en paralelo.

Paso 1: Desconéctate y conserva las pruebas

Pon tu teléfono en modo avión. Esto detiene cualquier exfiltración de datos activa y corta el acceso remoto del atacante. Antes de hacer cualquier otra cosa, haz capturas de pantalla de: las apps sospechosas, el desglose del uso de datos, cualquier alerta de cuenta inusual y tus registros recientes de llamadas y SMS. Si esto se convierte en un asunto policial o en una reclamación al seguro, necesitarás las pruebas.

Paso 2: Cambia las contraseñas críticas desde otro dispositivo

Usando un ordenador u otro teléfono de confianza, cambia las contraseñas de: tu correo electrónico (esta es la llave maestra: la mayoría de los restablecimientos de contraseña pasan por el correo), tu banco, tu ID de Apple o cuenta de Google, y cualquier cuenta donde hayas visto actividad sospechosa. Activa la autenticación de dos factores en todos los sitios que lo ofrezcan. No lo hagas desde el teléfono potencialmente comprometido: si hay un keylogger presente, le estarías entregando también las nuevas contraseñas.

Paso 3: Comprueba y elimina las apps sospechosas

En iPhone:

1. Ve a Ajustes, luego General, luego VPN y gestión de dispositivos. Elimina cualquier perfil de configuración que no hayas instalado.
2. Ve a Ajustes, luego General, luego Almacenamiento del iPhone. Revisa todas las apps y elimina cualquier cosa que no reconozcas.
3. Comprueba Ajustes, luego Privacidad y seguridad, y revisa qué apps tienen acceso a Ubicación, Micrófono, Cámara y Contactos. Revoca cualquier permiso sospechoso.

En Android:

1. Ve a Ajustes, luego Seguridad, luego Apps de administración de dispositivos. Desactiva cualquier cosa que no hayas autorizado.
2. Ve a Ajustes, luego Apps. Ordena por instalación reciente. Desinstala cualquier cosa que no reconozcas. Si una app no se puede desinstalar, probablemente tiene privilegios de administrador del dispositivo (vuelve al paso 1 y desactívala primero).
3. Comprueba Ajustes, luego Apps, luego Acceso especial a apps. Revisa «Instalar apps desconocidas», «Superponer sobre otras apps» y «Acceso al uso»: revoca los permisos de todo lo que no reconozcas.
4. Ejecuta un análisis con Google Play Protect (Play Store, luego toca tu perfil, luego Play Protect, luego Analizar).

Paso 4: Actualiza todo

Instala cualquier actualización pendiente del SO. Actualiza todas las apps. Las actualizaciones del SO frecuentemente parchean las vulnerabilidades específicas que el malware explota: una vez parcheadas, el malware puede perder su punto de apoyo incluso sin un restablecimiento de fábrica. En iOS, ve a Ajustes, luego General, luego Actualización de software. En Android, ve a Ajustes, luego Sistema, luego Actualización del sistema. Luego abre la tienda de apps y actualiza todas las apps.

Paso 5: Restablecimiento de fábrica (si lo anterior no lo resolvió)

Si el comportamiento sospechoso continúa tras eliminar apps y actualizar, un restablecimiento de fábrica es la opción nuclear que funciona. Haz una copia de seguridad de tus fotos y datos esenciales en un ordenador (no en la nube desde el dispositivo comprometido, ya que algunos malware persiste tras la restauración desde la nube). Luego: en iOS, ve a Ajustes, luego General, luego Transferir o restablecer iPhone, luego Borrar todo el contenido y los ajustes. En Android, ve a Ajustes, luego Sistema, luego Opciones de restablecimiento, luego Borrar todos los datos (restablecimiento de fábrica). Configura el dispositivo como nuevo: no lo restaures desde una copia de seguridad, ya que puede contener la app comprometida o el perfil de configuración. Reinstala las apps manualmente desde la tienda oficial.

Paso 6: Contacta con tu operador (si sospechas un SIM swap)

Si de repente perdiste servicio móvil y luego viste actividad de toma de control de cuentas, puede que seas víctima de un SIM swap. Llama a tu operador inmediatamente desde otro teléfono. Pídeles que: confirmen si se procesó un SIM swap, bloqueen tu cuenta contra futuros cambios de SIM, añadan un requisito de PIN o contraseña para los cambios de cuenta. La guía de CISA sobre autenticación multifactor recomienda los autenticadores basados en apps en lugar del 2FA por SMS precisamente por el vector del SIM swap.

Cómo se comprometen realmente los teléfonos en 2026

Entender los vectores de ataque reales importa más que memorizar síntomas. Si sabes cómo ocurren los compromisos, puedes evitar los comportamientos que los facilitan. Aquí están los vectores que explican la gran mayoría de los compromisos móviles reales en 2026, ordenados por frecuencia.

1. Enlaces de phishing (con diferencia, el más común)

Un SMS, correo electrónico, mensaje de WhatsApp o DM en redes sociales contiene un enlace. Lo tocas. El enlace lleva a una página que: (a) parece la página de inicio de sesión de tu banco, correo o red social y roba tus credenciales, (b) te pide que instales una app o un perfil de configuración, o (c) explota una vulnerabilidad del navegador para instalar algo sin permiso explícito (poco frecuente pero real: son exploits de día cero y son caros, así que generalmente se reservan para ataques dirigidos contra periodistas, activistas y ejecutivos, no consumidores aleatorios).

En 2026, los mensajes de phishing generados por IA son significativamente más difíciles de detectar que hace apenas dos años. Los errores ortográficos y la gramática torpe que antes eran señales fiables han desaparecido. Los mensajes de phishing modernos son contextualmente relevantes: hacen referencia a un paquete real que estás esperando, a un banco real que usas o a un evento real que está ocurriendo en tu área. La detección de amenazas con IA de Casper evalúa los enlaces en la capa DNS y de red antes de que lleguen a tu navegador, bloqueando la infraestructura de phishing conocida y usando modelos de aprendizaje automático para marcar dominios de phishing de día cero que aún no han llegado a las listas de bloqueo.

2. Apps maliciosas (principalmente un problema de Android)

Apps que parecen legítimas pero contienen malware. En Android, esto ocurre a través de: APK descargados fuera de la Play Store (el mayor riesgo), apps en la Play Store que superaron la revisión y luego enviaron actualizaciones maliciosas, y apps en tiendas de terceros. Google Play Protect detecta mucho, pero su detección va por detrás del malware nuevo horas o días: la ventana es real. En iOS, el riesgo es mucho menor porque la carga lateral requiere una acción deliberada (AltStore, jailbreak o la nueva vía de carga lateral del DMA de la UE), y la revisión de la App Store, aunque imperfecta, detecta la mayoría del malware antes de que salga.

Los tipos de apps maliciosas que tienen éxito en 2026: apps de «utilidad» (linterna, calculadora, escáner de QR) que solicitan permisos excesivos, versiones troyanizadas de apps legítimas distribuidas fuera de las tiendas oficiales, y apps que están limpias al instalar pero descargan cargas maliciosas tras la revisión. El hilo común es que necesitan permisos para hacer daño: una app maliciosa sin permisos concedidos no puede acceder a tus contactos, cámara o mensajes.

3. Ataques de SIM swap

Un atacante convence a tu operador móvil de transferir tu número de teléfono a una SIM que ellos controlan. Una vez que tienen tu número, reciben tus códigos 2FA por SMS y pueden restablecer contraseñas en tus cuentas. Este ataque no compromete tu teléfono físico: compromete tu número de teléfono, lo que podría decirse que es peor porque muchos servicios usan SMS para la autenticación.

Los SIM swaps ocurren a través de ingeniería social (llamar al operador y hacerse pasar por ti), a través de empleados del operador sobornados o comprometidos (documentado en múltiples casos del FBI), o explotando la seguridad de la cuenta del operador que se basa en información fácilmente obtenible (últimos cuatro dígitos del SSN, dirección de facturación, PIN de cuenta que el cliente puso como «1234»). La defensa: establece un PIN fuerte y único en tu cuenta de operador, usa 2FA basado en app (no SMS) siempre que sea posible, y considera un operador que soporte funciones de bloqueo de SIM.

4. WiFi público y ataques a nivel de red

Conectarse a una red WiFi maliciosa, típicamente un gemelo malicioso que imita una red en la que tu teléfono confía, permite al atacante observar tus consultas DNS, intentar phishing mediante portal cautivo y realizar análisis de tráfico. El miedo a «pueden ver tus contraseñas» está mayormente obsoleto (HTTPS lo previene), pero la exposición de metadatos, el espionaje DNS y el robo de credenciales mediante portal cautivo son reales en 2026. Lo analizamos en profundidad en nuestra guía de ataques en WiFi público.

5. Stalkerware (instalado por alguien con acceso físico)

Una pareja abusiva, un controlador o un empleador suspicaz instala software de monitorización directamente en tu teléfono mientras tiene acceso físico. Esta es una categoría distinta porque el vector de ataque es la confianza, no la tecnología: la persona conoce tu código de acceso o puede acceder a tu teléfono desbloqueado. El stalkerware puede grabar llamadas, leer mensajes, rastrear la ubicación y activar la cámara o el micrófono. En Android, normalmente requiere habilitar «Instalar desde fuentes desconocidas» y conceder privilegios de administrador del dispositivo. En iOS, históricamente requería jailbreak, aunque existe stalkerware basado en perfiles de configuración que no lo requiere.

Si sospechas que alguien de tu entorno instaló stalkerware, los recursos de la FTC sobre acoso y vigilancia incluyen orientación que tiene en cuenta la planificación de seguridad: simplemente eliminar el software puede alertar al abusador de que lo has descubierto, lo que puede escalar la situación.

Cómo evitar que hackeen tu teléfono

La prevención es sustancialmente más fácil que la remediación. Estas prácticas abordan los vectores de ataque reales descritos anteriormente, no los hipotéticos.

Mantén tu SO y tus apps actualizados

Esta es la práctica de seguridad de mayor impacto. La mayoría de los exploits usados en el malware móvil atacan vulnerabilidades que ya han sido parcheadas: el malware funciona porque el objetivo no ha instalado la actualización. Activa las actualizaciones automáticas. En iOS: Ajustes, luego General, luego Actualización de software, luego Actualizaciones automáticas: activa todo. En Android: Ajustes, luego Sistema, luego Actualización del sistema, luego busca actualizaciones regularmente y activa la actualización automática en los ajustes de la Play Store.

No toques enlaces en mensajes inesperados

El enlace de phishing es el punto de entrada número uno. Si recibes un mensaje sobre un paquete, una alerta bancaria o un problema con una cuenta —y no lo esperabas—, no toques el enlace. En su lugar, abre la app o el sitio web directamente (escribe la URL tú mismo o usa un marcador) y comprueba allí. Este único cambio de comportamiento bloquea la mayoría de los ataques de phishing porque el atacante necesita que visites su dominio, no el legítimo.

Usa 2FA basado en app, no en SMS

La autenticación de dos factores basada en SMS es vulnerable a los ataques de SIM swap. Cambia a una app autenticadora (Google Authenticator, Authy, 1Password o el autenticador integrado de tu SO) para cada cuenta que lo soporte. Las llaves de seguridad de hardware (YubiKey, Google Titan) son aún más seguras pero menos cómodas. Las Directrices de identidad digital del NIST (SP 800-63B) desaconsejan formalmente la autenticación basada en SMS debido a los riesgos de SIM swap e interceptación SS7.

Revisa los permisos de las apps regularmente

Cada pocos meses, revisa qué apps tienen acceso a tu ubicación, micrófono, cámara, contactos y fotos. En iOS: Ajustes, luego Privacidad y seguridad: toca cada categoría. En Android: Ajustes, luego Privacidad, luego Gestor de permisos. Revoca cualquier permiso que no tenga sentido. Una app de linterna no necesita tus contactos. Una calculadora no necesita tu ubicación. Restringir permisos limita el daño que una app comprometida o maliciosa puede causar.

Solo instala apps de tiendas oficiales

En iOS, este es el comportamiento predeterminado (y la carga lateral requiere un esfuerzo deliberado). En Android, mantén «Instalar desde fuentes desconocidas» deshabilitado para todas las apps (Ajustes, luego Apps, luego Acceso especial a apps, luego Instalar apps desconocidas: todo debería decir «No permitido»). La Play Store no es perfecta, pero ejecuta análisis de Play Protect y tiene un proceso de revisión. Los sitios APK de terceros no tienen ninguno de los dos.

Usa protección a nivel de red

Aquí es donde Casper's Cloak encaja en la pila de prevención, y seremos específicos sobre lo que hace y no hace. Casper opera en la capa de red: un túnel VPN WireGuard cifra tu tráfico para que las redes hostiles no puedan observar ni inyectar nada; el filtrado a nivel DNS bloquea las conexiones a dominios maliciosos conocidos (infraestructura de phishing, servidores de comando y control de malware, rastreadores publicitarios que construyen los perfiles que permiten la ingeniería social dirigida); y la detección de amenazas basada en IA evalúa los nuevos dominios con modelos de aprendizaje automático entrenados en patrones de phishing, detectando amenazas de día cero que aún no han llegado a las listas de bloqueo estáticas.

Lo que Casper no hace: no analiza archivos en tu dispositivo, no monitoriza tus apps instaladas, no detecta stalkerware y no puede evitar que escribas tu contraseña en una página de phishing que ya has cargado. Es una defensa en la capa de red: bloquea la conexión a la infraestructura maliciosa antes de que la amenaza llegue a tu dispositivo. Para las amenazas que no implican una conexión de red (stalkerware de acceso físico, ingeniería social por teléfono), necesitas otras defensas. El bloqueo de rastreadores aborda específicamente la recopilación de datos de redes publicitarias que alimenta el perfilado dirigido que muchas personas confunden con ser «hackeadas».

Usa un código de acceso al dispositivo fuerte y único

Un código numérico de 6 dígitos es el mínimo. Un código alfanumérico es mejor. Evita: 000000, 123456, tu fecha de nacimiento, tu número de teléfono. Activa el desbloqueo biométrico (Face ID, Touch ID, huella dactilar) para que el código fuerte no te ralentice en el día a día, pero sea necesario para operaciones sensibles. En iOS, considera activar la Protección del dispositivo robado (Ajustes, luego Face ID y código, luego Protección del dispositivo robado): esto añade retrasos temporales y requisitos biométricos para cambios sensibles cuando estás lejos de ubicaciones conocidas.

Conclusión

La mayoría de los miedos a «¿está mi teléfono hackeado?» se resuelven en comportamientos ordinarios una vez que consultas la tabla de diagnóstico. Los indicadores genuinos —señales de toma de control de cuentas, apps con permisos elevados inexplicables, patrones de exfiltración de datos, actividad financiera no autorizada— son específicos y verificables. Si los ves, sigue la respuesta paso a paso: desconéctate, cambia las contraseñas desde otro dispositivo, elimina las apps sospechosas, actualiza todo y, si es necesario, realiza un restablecimiento de fábrica.

La prevención es más manejable que la detección. Las prácticas que realmente importan son: mantén tu SO actualizado (parchea los exploits de los que depende el malware), no toques enlaces en mensajes inesperados (bloquea el punto de entrada principal), usa 2FA basado en app (derrota los ataques de SIM swap), revisa los permisos de las apps (limita el radio de explosión) y usa protección a nivel de red para bloquear las conexiones a infraestructura maliciosa antes de que lleguen a tu dispositivo.

El enfoque honesto: ningún producto te hace invulnerable. La seguridad es capas. El SO proporciona una capa (sandboxing, modelo de permisos, actualizaciones automáticas). Tu comportamiento proporciona otra (no tocar enlaces de phishing, usar contraseñas fuertes, revisar permisos). Las herramientas a nivel de red como Casper proporcionan una tercera (bloquear dominios maliciosos conocidos, cifrar el tráfico en redes hostiles, marcar amenazas de día cero). Apila las capas y la probabilidad de un compromiso exitoso cae drásticamente.