Seguridad en el móvil: guía definitiva para proteger tu Android o iPhone

Tu móvil guarda más información sensible que tu ordenador: ubicación en tiempo real, conversaciones, fotos íntimas, accesos bancarios y la sesión iniciada de tu correo. La seguridad móvil ya no es una opción para paranoicos, sino el mínimo común para cualquiera que use un smartphone como extensión de su vida. Esta guía te explica cómo proteger Android e iPhone con medidas reales que funcionan en 2026, sin recurrir a apps milagrosas ni consejos de blog reciclado. Aquí no encontrarás "instala este antivirus y duerme tranquilo": encontrarás configuraciones concretas, vectores de ataque actuales y decisiones que hay que tomar para tener un smartphone seguro. Y sí, también te diremos qué amenazas son humo de marketing y cuáles deberían quitarte el sueño.

Por qué tu móvil es el objetivo número uno

El teléfono concentra los factores que más interesan a un atacante: identidad, dinero y biometría. La autenticación de dos factores que protege tu banco suele llegar al mismo dispositivo donde tienes la app del banco. Si alguien controla el móvil, controla la cadena entera.

Los vectores principales en 2026 son tres: aplicaciones maliciosas firmadas por desarrolladores comprometidos, ataques de SIM swapping al operador y phishing por SMS o RCS (smishing). El malware tradicional ha perdido fuerza frente a campañas de ingeniería social que no necesitan exploits caros.

Apple publica el informe anual Threat Notification sobre ataques dirigidos con spyware mercenario tipo Pegasus de NSO Group, y Google mantiene el programa Advanced Protection precisamente porque los smartphones son la diana preferida del cibercrimen organizado y de actores estatales. No son rumores: son realidades documentadas por Citizen Lab y Amnesty International desde hace años.

Configuración base para proteger tu teléfono

Antes de hablar de apps, hay que ajustar el sistema. Estas son las medidas que aplicarías a un dispositivo recién sacado de la caja, sea iPhone o Android.

• Bloqueo con código de 6 dígitos o alfanumérico. El patrón es trivial de adivinar mirando la grasa de la pantalla. La huella o Face ID son cómodos, pero el código es el último muro.
• Cifrado de disco activado. iOS lo hace por defecto. En Android moderno también, pero verifica en Ajustes → Seguridad.
• Actualizaciones automáticas. La mayoría de exploits explotados en la práctica son vulnerabilidades parcheadas hace meses contra usuarios que no actualizaron.
• Find My iPhone / Encontrar mi dispositivo activado, con borrado remoto disponible.
• Notificaciones en pantalla bloqueada limitadas. Sin previsualización de mensajes ni códigos SMS visibles sin desbloquear.
• USB Restricted Mode en iOS y desactivar depuración USB en Android salvo cuando la necesites.

En Android, la diferencia entre fabricantes es crítica. Pixel y Samsung Galaxy ofrecen hasta 7 años de parches mensuales en sus gamas recientes. Otras marcas abandonan el dispositivo en 2 años. Si compras Android pensando en seguridad, mira el calendario de actualizaciones antes que las cámaras.

Apps: el frente más expuesto

La mayoría de los problemas reales vienen de aplicaciones instaladas voluntariamente. Linternas que piden acceso a contactos, teclados que envían pulsaciones a servidores en el extranjero, juegos gratis que minan datos para anunciantes. La instalación no es el problema; los permisos sí.

Antes de instalar cualquier cosa, revisa quién la firma, cuántas descargas tiene, qué permisos pide y si esos permisos tienen sentido. Una app de calculadora que pide acceso al micrófono es una bandera roja del tamaño de Cataluña. Hemos profundizado en este tema en nuestra guía sobre apps con permisos excesivos y qué revocar en tu móvil.

Limita las fuentes de instalación:

• iPhone: solo App Store por defecto. En la UE existe la posibilidad de tiendas alternativas tras la Digital Markets Act; usar solo si entiendes el riesgo.
• Android: Google Play y, si acaso, F-Droid para software libre auditado. Evita APK de fuentes desconocidas salvo necesidad técnica clara.

Revisa permisos cada pocos meses. Tanto iOS como Android tienen un panel donde ves qué app accedió a la cámara, micro o ubicación recientemente. Si encuentras algo raro, no preguntes: revoca.

Smishing, vishing y la trampa del enlace

El SMS sigue siendo el vector más rentable porque tiene tasas de apertura altísimas, muy superiores a las del correo. Llegan mensajes de "Correos", "tu banco", "Hacienda" o "tu operador" con un enlace acortado. La página clonada es indistinguible de la real y captura credenciales o instala un APK malicioso.

Las señales de alerta son consistentes:

1. Urgencia injustificada ("tu paquete se devolverá en 24h").
2. Dominios extraños o subdominios que imitan al original (correos-es.info en vez de correos.es).
3. Petición de datos que la entidad real nunca pediría por SMS.
4. Enlaces acortados (bit.ly, t.co) en comunicaciones supuestamente oficiales.

Si dudas, no toques el enlace. Abre la app oficial o escribe la URL a mano. Para casos más concretos puedes consultar nuestra guía sobre phishing bancario y cómo protegerte, que cubre el modus operandi exacto de las campañas dirigidas a clientes de BBVA, Santander y CaixaBank.

Wi-Fi público, VPN y el mito eterno

El Wi-Fi del aeropuerto ya no es el infierno que era hace diez años. Casi todo el tráfico va cifrado con TLS 1.3, así que un atacante en la misma red no lee tu sesión de WhatsApp ni tu banca. Lo que sí puede hacer es montar un punto de acceso falso con el mismo nombre y servirte páginas envenenadas.

Las recomendaciones realistas:

• Olvídate de redes Wi-Fi guardadas que ya no uses (evita la asociación automática a redes con SSID suplantado).
• Usa una VPN de pago de proveedor con auditorías independientes (Mullvad, ProtonVPN, IVPN) si trabajas con información sensible. Las VPN gratuitas suelen ser el producto, no el servicio.
• Activa DNS cifrado: DNS over HTTPS o DNS over TLS. Tanto iOS como Android lo soportan nativamente con servidores como Cloudflare 1.1.1.1 o NextDNS.

Privacidad: lo que tu móvil cuenta sin pedirte permiso

El RGPD y la LOPDGDD obligan a las apps a pedir consentimiento, pero el ecosistema publicitario móvil tiene décadas de experiencia esquivando la norma. Identificadores publicitarios, fingerprinting de dispositivo y SDK de terceros embebidos en apps gratuitas envían datos constantemente.

Para reducir la exposición:

• iOS: Ajustes → Privacidad → Seguimiento y desactiva "Permitir que las apps soliciten seguimiento". Activa también App Privacy Report.
• Android: Ajustes → Privacidad → Anuncios y elimina el ID publicitario. Revisa el Panel de privacidad.
• Navega con Brave, Firefox Focus o Safari con protección antiseguimiento activa. El navegador por defecto del fabricante suele ser el peor en privacidad.

Si gestionas comunicaciones profesionales, conviene revisar la guía de ciberseguridad personal 2026 para entender el panorama completo: el móvil es solo una pieza del puzzle.

Qué hacer si crees que te han comprometido el teléfono

Síntomas habituales: batería que se descarga sin uso, calor inusual en reposo, datos móviles disparados, apps que no recuerdas instalar, el operador te llama porque ven actividad anómala, o pierdes señal repentinamente (señal típica de SIM swap).

Pasos en orden:

1. Activa el modo avión y desactiva Wi-Fi y Bluetooth.
2. Llama al operador desde otro teléfono para verificar que la SIM sigue a tu nombre.
3. Cambia contraseñas críticas (correo principal, banco) desde un dispositivo limpio. El correo primero, porque controla la recuperación del resto.
4. Revisa sesiones activas en Google, Apple ID y servicios bancarios. Cierra todas.
5. Comprueba si tu correo aparece en filtraciones recientes en Have I Been Pwned.
6. Si encuentras un APK sospechoso, súbelo a VirusTotal antes de borrarlo, para tener evidencia.
7. Restablece de fábrica y restaura solo desde una copia anterior al incidente. No restaures la copia más reciente: probablemente esté contaminada.
8. Denuncia ante el INCIBE (017) o Policía/Guardia Civil si hay daño económico.

Equipo, copia de seguridad y plan B

El móvil seguro también es el móvil que sobrevive a un robo. Configura copias automáticas cifradas en iCloud o Google One y verifica de vez en cuando que se están haciendo. Activa la autenticación de dos factores con app TOTP (Aegis en Android, Raivo o el llavero de iCloud en iOS) en lugar de SMS para todo lo crítico. El SMS sigue siendo vulnerable a SIM swap.

Si construyes herramientas o trabajas con datos sensibles desde el móvil, conviene plantearse la separación de perfiles: trabajo en un dispositivo o perfil de trabajo de Android, ocio en otro. En empresas que desarrollan apps móviles para iOS y Android, la separación de entornos de pruebas es práctica habitual; aplicarla a uso personal tiene sentido si manejas información delicada.

Preguntas frecuentes

¿Necesito un antivirus en el móvil?

En iPhone, no. El sandbox del sistema impide que ningún antivirus vea más allá de su propia aplicación, así que no detectaría malware aunque lo hubiera. En Android, Google Play Protect viene integrado y es razonable; añadir un antivirus de terceros aporta poco salvo si instalas APK fuera de Play.

¿Es más seguro el iPhone que un Android?

Apple controla el ecosistema entero, lo que reduce la superficie de ataque del usuario medio. Un Android Pixel o un Samsung con One UI actualizada cierra gran parte de la diferencia. La marca importa menos que el calendario de parches y la disciplina al instalar apps.

¿El SMS es seguro para recibir códigos del banco?

Es lo mínimo aceptable, pero no lo ideal. El SIM swapping permite a un atacante portar tu número y recibir esos SMS. Si tu banco lo permite, usa la app del banco con notificación push o una app TOTP como segundo factor.

¿Tengo que tapar la cámara del móvil con cinta?

En general no. Tanto iOS como Android muestran un punto verde o naranja cuando cámara o micro están activos. Si ves el indicador sin que ninguna app legítima lo justifique, esa es la señal real para preocuparte. Más útil que la cinta es revisar permisos.

¿Qué hago si pierdo el móvil con la sesión del banco abierta?

Marca el dispositivo como perdido desde Find My o Encontrar mi dispositivo, lo que bloquea el acceso. Llama al banco para suspender accesos, cambia la contraseña del correo principal y, si aparece pasadas 24 horas, restablece de fábrica antes de volver a usarlo.

El siguiente paso

Coge tu móvil ahora, entra en Ajustes → Seguridad (o Privacidad y Seguridad en iPhone) y comprueba dos cosas: que el sistema operativo está al día y que la autenticación de dos factores está activa en tu cuenta principal de Google o Apple. Si alguna de las dos falla, arréglalo antes de cerrar esta pestaña. El resto de la guía no sirve de nada si fallas en lo básico.