Hay palabras que pierden significado a medida que se popularizan. «Hacker» ya no significa lo mismo que en los ochenta. «Phishing» se usa para describir cualquier intento de engaño digital. Y «virus» es el término comodín para señalar cualquier actividad sospechosa en un terminal Android: desde un anuncio molesto hasta un troyano bancario.
El problema no es solo semántico. Cuando todo es «un virus», nada lo es en realidad; y esa confusión tiene consecuencias prácticas, lleva a la gente a instalar antivirus que no protegen contra amenazas reales, a ignorar vectores de infección que sí importan y a construir un modelo de protección poco o nada útil en el día a día.
Lo primero por tanto, es llamar a cada cosa por su nombre, identificar su modus operandi y finalmente tratar de contrarrestarlo o minimizarlo al máximo. Siempre teniendo la arquitectura Android como punto de partida.
La importancia de la terminología
Un virus, en sentido estricto, es un tipo de malware que se replica insertando su código en otros archivos o programas. Es lo que hacía el malware clásico en MS-DOS y Windows; infectar ejecutables, propagarse de máquina en máquina a través de disquetes o redes. El modelo de infección era autónomo, el usuario no necesitaba hacer más que ejecutar el archivo equivocado.
En Android, la infección por virus es prácticamente inexistente.
Pero sí existen otras categorías con comportamientos, objetivos y vectores de entrada muy distintos:
Troyano: Se presenta como una aplicación legítima (una linterna, un juego, una herramienta de PDF) y ejecuta código malicioso en segundo plano. Es, con diferencia, la forma más común de malware en Android. El usuario instala voluntariamente algo que parece inofensivo.
Spyware: Su objetivo es la vigilancia. Recopila mensajes, ubicación, contactos, capturas de pantalla o incluso audio ambiental. Puede llegar como troyano, pero también como componente preinstalado por el fabricante o el operador. Pegasus es el ejemplo más conocido, aunque opera en una categoría propia (spyware comercial de nivel gubernamental).
Adware: Genera ingresos publicitarios mostrando anuncios de forma agresiva, a menudo fuera del contexto de la propia app. Molesto, pero raramente peligroso en términos de seguridad de datos. Sin embargo, algunas variantes más sofisticadas sirven como puerta de entrada a comportamientos más perniciosos.
Banker malware (troyano bancario): Una subcategoría del troyano especializada en el fraude financiero. Intercepta SMS de autenticación, superpone pantallas falsas sobre apps bancarias reales (overlay attacks), roba credenciales, etcétera. Familias como Cerberus, Alien o Sharkbot han tenido una actividad documentada importante en los últimos años.
Backdoor: Abre un canal de acceso remoto al dispositivo sin conocimiento del usuario. Puede llegar como módulo oculto en firmware, como componente de un troyano o, en casos extremos, como modificación introducida en la cadena de suministro del fabricante.
Ransomware: Cifra archivos del dispositivo y exige un pago para recuperarlos. Mucho menos frecuente en Android que en sistemas de escritorio (en parte por las restricciones de acceso al sistema de archivos), pero existen variantes documentadas.
Botnet: El dispositivo infectado pasa a formar parte de una red controlada remotamente, usada para enviar spam, realizar ataques de denegación de servicio o minar criptomonedas. El usuario no nota nada especialmente llamativo; el coste es batería, datos y rendimiento.
Conocer -ni que sea mínimamente- estas categorías no es una cuestión de erudición. Incide directamente en la forma de evaluar los riesgos, cómo interpretar los síntomas y qué medidas tiene sentido tomar.
Por qué el «virus clásico» no funciona en Android
La arquitectura de Android está diseñada desde sus fundamentos para contrarrestar el modelo de propagación viral clásico. Es una decisión de diseño deliberada heredada de Linux y reforzada en capas sucesivas.
El sandboxing es el primer pilar. Cada aplicación corre en su propio proceso aislado, con un UID de usuario único asignado por el sistema. Acceder al espacio de memoria o al almacenamiento de otra aplicación requiere pasar por APIs explícitas del sistema, que a su vez están sujetas al modelo de permisos. Una aplicación no puede simplemente «infectar» a otra inyectando código en su proceso.
El modelo de permisos es el segundo. Los accesos a recursos sensibles (cámara, micrófono, ubicación, contactos, SMS) deben declararse en el manifiesto y, desde Android 6.0, solicitarse en tiempo de ejecución con la aprobación explícita del usuario. Una aplicación sin permisos declarados no puede leer mensajes por más que lo intente.
Los APKs firmados criptográficamente hacen que cualquier modificación del paquete de una aplicación invalide la firma. No es posible inyectar código en un APK instalado y que el sistema lo ejecute sin más. El gestor de paquetes verifica la firma en cada instalación y actualización.
SELinux (Security-Enhanced Linux), un sistema de control de acceso obligatorio desarrollado originalmente por la NSA e integrado en el kernel de Linux en modo enforcing completo desde Android 5.0. Lo que implica que sus políticas no solo registran violaciones, sino que las bloquean activamente. Aunque un proceso consiga escalar privilegios de alguna forma, SELinux puede impedirle el acceso a recursos del sistema que no estén explícitamente permitidos para su dominio.
Todo esto no hace de Android un sistema invulnerable; pero sí muy resistente a un tipo específico de amenaza (el virus que se autorreplica) mientras deja abiertas otras superficies de ataque que requieren modelos de defensa diferentes.
Las amenazas reales
Los mayores vectores de amenazas en Android poco tienen que ver con el marketing clásico de los antivirus. Es más específico, sofisticado y en muchos casos, más difícil de detectar.
Troyanos bancarios
Son la amenaza más activa y mejor documentada. Familias como TrickMo, Brokewell o las variantes modernas de SpyNote han sido analizadas en detalle por empresas como ThreatFabric, Cleafy o ESET. Su mecánica habitual combina varias técnicas: solicitan permisos de accesibilidad (que dan control casi total sobre la interfaz del sistema), usan overlay attacks para superponer formularios falsos sobre apps bancarias legítimas, e interceptan los SMS de verificación.
Lo que los hace especialmente peligrosos no es tanto su sofisticación técnica, sino su distribución; muy a menudo llegando camufladas dentro de actualizaciones de Chrome, aplicaciones de mensajería o herramientas que el usuario descarga desde un enlace recibido por WhatsApp o Telegram.
Malware preinstalado de fábrica
Este vector es, posiblemente, el menos conocido y el más difícil de contrarresta para el usuario final. Hay casos documentados de dispositivos Android de gama baja (especialmente de marcas distribuidas en mercados emergentes o a través de canales de distribución poco regulados) que llegan con malware preinstalado en la partición del sistema.
El informe HYAS Insight y varios análisis de Sophos y Dr. Web han identificado dispositivos con agentes de adware o spyware embebidos directamente en el firmware, en aplicaciones del sistema que no pueden desinstalarse y que tienen privilegios de sistema completos. Contra esto, ningún antivirus de usuario tiene nada que hacer: el malware opera en una capa a la que la Apps de seguridad no puede acceder.
Spyware distribuido por mensajería
La ingeniería social ha reemplazado la explotación técnica como vector principal. Un APK enviado por WhatsApp con el pretexto de una foto, una invitación de seguimiento, una aplicación de paquetería o una actualización de seguridad «urgente» son vectores de distribución muy eficaces. El usuario lo instala voluntariamente, concede los permisos solicitados y dá comienzo el drama.
Fraudes que superan el filtro de Play Store
Google Play Protect nunca ha sido infalible. A lo largo de 2024 y 2025 ha habido oleadas documentadas de aplicaciones que superaron la revisión inicial de Google y fueron retiradas solo después de haber acumulado decenas o cientos de miles de instalaciones. El patrón habitual es el de una aplicación que comienza siendo funcional y legítima, y que introduce el vector malicioso en una actualización posterior, cuando ya ha pasado la revisión inicial y ha ganado la confianza del usuario.
Los vectores reales de infección
Hay una narrativa muy extendida que atribuye las infecciones a «navegar por webs peligrosas» o «hacer clic en enlaces sospechosos». Dicha narrativa es, en el mejor caso, incompleta.
Los exploits de navegador que permiten la ejecución remota de código sin interacción del usuario existen, pero están reservados a actores con importantes recursos (inteligencia estatal, grupos de cibercrimen organizado) y se usan de forma selectiva, no masiva. Para el usuario medio, el riesgo de infección mediante el navegador web es relativamente pequeño.
Los vectores reales son más senclllos y sociales:
Instalación fuera de tiendas confiables. El sideloading (instalar APKs de fuentes externas) no es un problema en sí mismo, pero requiere de cierto criterio. Un APK descargado de un repositorio desconocido o recibido por mensajería es el vector de entrada más frecuente para troyanos en Android. La diferencia entre usar F-Droid y descargar un APK random de un foro es abismal.
Permisos de accesibilidad mal concedidos. Este permiso es prácticamente una puerta abierta a la interfaz del sistema. Las Apps maliciosas lo solicitan de forma habitual, a menudo ocultando su propósito real detrás de una vaga justificación. Conceder accesibilidad a cualquier aplicación que lo pida sin entender por qué es uno de los mayores errores que podemos cometer.
Firmware comprometido desde el origen. Ya lo hemos mencionado, pero vale la pena repetirlo: si el dispositivo llega infectado de fábrica, poco o nada puede hacer el usuario. Es un fallo de los controles de calidad o una decisión deliberada del fabricante o del distribuidor.
Falsas actualizaciones del sistema. Personalmente la desconocía hasta verla citada en un foro.
El engaño ocurre a través de una página web, un SMS o un mensaje de WhatsApp; mostrando un aviso visual que imita el estilo de una actualización OTA y ofreciendo la descarga de un APK. La trampa funciona porque si usuario desconoce que las actualizaciones reales de Android llegan siempre a través de Ajustes, nunca desde un enlace externo ni un archivo descargado manualmente.
Alcance real de los antivirus
Un antivirus dentro de Android opera en el espacio de usuario:
- No dispone de privilegios especiales.
- Puede escanear los APKs instalados comparándolos contra bases de datos de firmas conocidas.
- Puede analizar el comportamiento de las Apps en tiempo real.
- Puede alertar sobre permisos excesivos.
Funciones de cierto valor, pero también muy limitadas.
Lo que no puede hacer un antivirus de usuario en Android sin privilegios de root:
- Acceder al sistema de archivos de otras aplicaciones
- Analizar el tráfico de red de forma fiable sin montar una VPN local
- Detectar malware embebido en el firmware del sistema
- Proteger contra exploits de privilegio que escalen por encima del espacio de usuario.
Google Play Protect, que ya viene activado en cualquier dispositivo con GMS, hace exactamente eso:
- Escaneado de Apps utilizando firmas conocidas.
- Análisis de comportamiento en tiempo real.
- Alertas sobre Apps potencialmente dañinas.
Añadir un antivirus de terceros encima de Play Protect en un dispositivo estándar tiene una utilidad prácticamente nula que rara vez justifica el impacto en rendimiento y privacidad. Tengamos en cuenta que los antivirus también recopilan datos.
Lo que sí protege, de forma efectiva:
- Actualizaciones de seguridad al día. Los parches mensuales de Android corrigen vulnerabilidades conocidas. Un dispositivo sin actualizaciones desde hace años tiene una superficie de ataque significativamente mayor.
- Control estricto de los permisos. Android permite revocar permisos individualmente. Vale la pena revisar periódicamente qué app tiene acceso a qué. Especialmente accesibilidad, notificaciones y administrador de dispositivos.
- Instalar solo desde fuentes conocidas y verificables. F-Droid tiene un robusto modelo de revisión. La Play Store, con todos sus fallos, es mucho más segura que descargar APKs de fuentes aleatorias.
- Recurrir a escáneres de Apps. Para escanear un APK concreto antes de instalarlo, LoveLaceAV es una opción que trabaja de forma transparente, de código abierto y con muy poca carga de proceso.
El mejor antivirus es entender cómo funciona el sistema
Parece una perogrullada, pero tener unas nociones básicas, en éste caso sobre Android, es una de las mayores barreras que podemos oponer a la entrada de muchos tipos de malware.
El modelo de amenaza más relevante para una inmensa mayoría de usuarios no implica exploits del kernel ni a servicios de inteligencia. Involucra troyanos bancarios distribuidos por mensajería, aplicaciones con permisos excesivos e instaladas sin pensar y dispositivos que llevan años sin recibir parches de seguridad.
Frente a eso, entender qué hace el permiso de accesibilidad, que la Play Store no es ninguna garantía absoluta, o cuándo tiene sentido el sideloading y cuándo no, es mucho más determinante que cualquier aplicación de seguridad instalada encima de un sistema que no entendemos.