El ataque Bluetooth más temido, BlueBorne, permitió a un atacante tomar el control total de más de 5.000 millones de dispositivos en 2017, según estimaciones de Armis Labs, sin necesidad de emparejamiento ni interacción del usuario. Una vulnerabilidad Bluetooth puede comprometer tu móvil, portátil o smartwatch con solo estar cerca del agresor. Técnicas como bluesnarfing, bluejacking o KNOB atacan un protocolo que la mayoría llevamos activado las 24 horas sin pensarlo. La seguridad Bluetooth arrastra décadas de parches a medias, implementaciones chapuceras y fabricantes que dejan de actualizar firmware a los dos años. Esta guía desglosa las amenazas inalámbricas reales, cómo funcionan, qué CVEs deberías conocer y qué puedes hacer hoy mismo para no acabar siendo el canario en la mina del próximo exploit.
Qué es BlueBorne y por qué sigue importando
BlueBorne es un conjunto de ocho vulnerabilidades descubiertas por Armis Labs en septiembre de 2017. Afectaba a Android, iOS (anterior a 10), Windows y Linux. El atacante solo necesitaba que el Bluetooth estuviera encendido, sin emparejamiento ni clic del usuario.
Los CVE más sonados fueron CVE-2017-0781 y CVE-2017-0782 en Android, con ejecución remota de código. En Linux, CVE-2017-1000251 afectaba al stack BlueZ. Microsoft parchó CVE-2017-8628 sin mucho ruido mediático, como suele hacer.
El problema no es solo histórico. Millones de dispositivos IoT, cámaras, relojes y electrodomésticos conectados siguen usando pilas Bluetooth sin parchear. Cuando el fabricante abandona el soporte, la vulnerabilidad Bluetooth se queda contigo para siempre.
Bluesnarfing, bluejacking y la familia de ataques clásicos
El bluesnarfing consiste en acceder sin permiso a la información de un dispositivo Bluetooth: agenda, mensajes, correos, fotos. Se aprovecha de implementaciones defectuosas del perfil OBEX Push, el mismo que usabas para mandar politonos en 2005.
Bluejacking es el primo inocente: enviar mensajes no solicitados. Molesto, pero poco peligroso. El problema aparece cuando el mensaje contiene enlaces de phishing o pide aceptar un archivo. Ahí empieza la escalada.
Bluebugging va un paso más allá: toma control del dispositivo, hace llamadas, envía SMS, escucha conversaciones. Los coches con manos libres antiguos fueron víctimas favoritas durante años.
- Bluesnarfing: robo silencioso de datos
- Bluejacking: mensajes no deseados, vector de ingeniería social
- Bluebugging: control remoto completo del dispositivo
- Car Whisperer: escucha de manos libres en coches
- BlueBorne: ejecución remota sin emparejamiento
KNOB, BIAS y los ataques al emparejamiento moderno
El ataque KNOB (Key Negotiation Of Bluetooth), registrado como CVE-2019-9506, fuerza la negociación de la clave de cifrado a solo 1 byte de entropía. Un atacante puede descifrar el tráfico en segundos con fuerza bruta.
BIAS (Bluetooth Impersonation AttackS), CVE-2020-10135, permite suplantar un dispositivo previamente emparejado sin conocer la clave de enlace. Afecta a Bluetooth BR/EDR y a la mayoría de chips comerciales auditados por los investigadores (Apple, Intel, Qualcomm, Samsung, entre otros).
En 2023, investigadores de Eurecom publicaron BLUFFS, seis nuevos ataques al establecimiento de sesión que afectan desde Bluetooth 4.2 hasta 5.4. Otra vez, casi todos los dispositivos del mercado eran vulnerables.
Bluetooth Low Energy: pequeño, omnipresente y expuesto
BLE domina wearables, sensores médicos, cerraduras inteligentes y rastreadores como AirTag o Tile. Su simplicidad es parte del problema. Muchos fabricantes implementan cifrado opcional o directamente lo desactivan para ahorrar batería.
Los ataques de repetición en cerraduras BLE han permitido abrir coches Tesla, candados comerciales y cajas fuertes de hotel. El ataque Bluetooth por relay con dos teléfonos y software tipo bluetooth-relay-attack cuesta menos de 100 euros montarlo.
Los AirTag y rastreadores similares añaden otra capa: stalking. Apple y Google llevan desde 2023 trabajando en un estándar común de detección de rastreadores no deseados, pero la adopción es lenta.
Cómo protegerte sin renunciar al Bluetooth
La protección empieza por la higiene básica. Desactiva el Bluetooth cuando no lo uses. Parece tontería, pero reduce la superficie de ataque a cero. En aeropuertos, estaciones y conciertos, apágalo.
Actualiza el firmware y el sistema operativo. La mayoría de CVEs graves tienen parche disponible meses después de su publicación. Si tu móvil ya no recibe actualizaciones, piensa en renovarlo o al menos desactivar Bluetooth permanentemente.
- Desactiva Bluetooth cuando no lo uses
- Revisa la lista de dispositivos emparejados y elimina los que no reconozcas
- Rechaza emparejamientos no solicitados sin excepción
- Mantén visibilidad en "oculto" salvo cuando emparejes
- Actualiza SO y firmware mensualmente
- En entornos empresariales, aplica políticas MDM que controlen Bluetooth
Para empresas, conviene revisar la postura de seguridad global. Si gestionas una plantilla conectada, considera auditar los dispositivos y formar al equipo. En proyectos de inteligencia artificial para empresas también integramos análisis de amenazas en dispositivos IoT y wearables corporativos.
Herramientas para auditar tu entorno Bluetooth
Si te va el trasteo, existen herramientas legítimas para auditar tu propia red. hcitool y bluetoothctl vienen con BlueZ en Linux. Para análisis más profundo, Ubertooth One es el dispositivo de referencia para sniffing Bluetooth clásico.
Para BLE, nRF Connect (gratuita, de Nordic Semiconductor) permite escanear, inspeccionar servicios GATT y probar conexiones. Wireshark con un adaptador compatible captura tráfico HCI en crudo.
En el terreno defensivo, herramientas como VirusTotal sirven para analizar APKs sospechosas que piden permisos Bluetooth extraños. Y Have I Been Pwned te dirá si tu correo asociado a cuentas IoT ha aparecido en alguna filtración. Revisa también el antivirus instalado: los buenos detectan conexiones sospechosas en segundo plano.
| Ataque | CVE principal | Año | Versión BT afectada |
|---|---|---|---|
| BlueBorne | CVE-2017-0781 | 2017 | Todas hasta parche |
| KNOB | CVE-2019-9506 | 2019 | BR/EDR 1.0 a 5.1 |
| BIAS | CVE-2020-10135 | 2020 | BR/EDR hasta 5.2 |
| BLUFFS | CVE-2023-24023 | 2023 | BT 4.2 a 5.4 |
Casos reales: del aeropuerto al quirófano
En 2018, investigadores del grupo Armis demostraron cómo comprometer altavoces Amazon Echo y Google Home vía BlueBorne antes del parche. En 2020, BIAS afectó a coches, pulseras médicas y lectores de tarjetas sanitarias.
La FDA estadounidense ha emitido varias alertas sobre marcapasos y bombas de insulina con Bluetooth vulnerable. Hablamos de dispositivos que salvan vidas con protocolos diseñados antes de que existiera el concepto moderno de amenazas avanzadas.
En entornos corporativos, el bluesnarfing sigue siendo vector de fuga de información. Un ejecutivo con el móvil en modo visible en una cafetería de un aeropuerto es objetivo fácil para quien busque contactos, correos o archivos recientes.
Preguntas frecuentes
¿Sigue siendo peligroso BlueBorne en 2026?
Para dispositivos actualizados, no. El problema son los millones de equipos IoT, Android antiguos y wearables sin soporte que nunca recibieron el parche. Si tienes un Android anterior a 8.0 sin actualizar, asume que es vulnerable.
¿Puede alguien hackearme el móvil por Bluetooth sin que lo vea?
Con implementaciones modernas y parches al día, es muy difícil. Sin parches, ataques como BlueBorne permiten ejecución remota sin interacción. La mejor defensa sigue siendo mantener el Bluetooth apagado cuando no lo necesites.
¿Es seguro el Bluetooth de los AirPods o auriculares inalámbricos?
Los modelos actuales usan cifrado robusto y emparejamiento autenticado. El riesgo real no es la intercepción del audio, sino el rastreo por dirección MAC si el fabricante no implementa bien la rotación de direcciones aleatorias.
¿Qué hago si sospecho que alguien ha accedido a mi dispositivo por Bluetooth?
Desactiva Bluetooth inmediatamente, revisa la lista de dispositivos emparejados y elimina los desconocidos. Cambia contraseñas de cuentas sensibles, revisa permisos de apps y ejecuta un análisis antimalware. Si gestionas datos empresariales, notifícalo al responsable de seguridad.
¿Es mejor desactivar Bluetooth siempre o solo en público?
En casa, con dispositivos actualizados, el riesgo es bajo. En público (transporte, aeropuertos, conferencias), desactivarlo reduce exposición a ataques oportunistas y rastreo por proximidad. Coste cero, beneficio real.
El siguiente paso
Abre ahora la configuración Bluetooth de tu móvil, revisa la lista de dispositivos emparejados y elimina todos los que no reconozcas o no hayas usado en los últimos tres meses. Esa limpieza de cinco minutos cierra la puerta a reconexiones automáticas con equipos que pueden haber cambiado de manos o haber sido comprometidos.
