He instalado todos los malware de Android: esto es lo que ocurre si te saltas los consejos de seguridad

"Más vale prevenir que curar". Siempre que explicamos cómo eliminar virus o malware en Android acabamos llegando a esa conclusión. Pero para conocer al enemigo a fondo hay que acercarse a él y por ello hemos llevado a cabo un pequeño experimento que pasamos a compartir con vosotros. Después de instalar aplicaciones para ganar dinero queríamos ir más allá, así que ni corto ni perezoso he descargado todas esas aplicaciones que no recomendamos a nadie instalar.

El malware puede llegar de todas partes, desde una inocente aplicación de fotos hasta una guía para tu juego favorito. Existen muchos mecanismos para evitar estas aplicaciones maliciosas pero al final la responsabilidad recae en el propio usuario, quien debe ser consciente de qué está instalado y cómo puede llegar a afectarle.

Si quieres conocer qué le ocurre a tu móvil si no vigilas lo que instalas aquí os dejamos nuestra experiencia. He formateado de fábrica mi Huawei P8 Lite 2017, creada una nueva cuenta de Gmail y únicamente introducido mi cuenta personal de Telegram. Una vez instaladas las básicas y tradicionales, he empezado a seguir añadiendo y añadiendo aplicaciones, algunas cada vez más extrañas y comprometedoras. Vamos a repasar cuáles son los pasos que no se deben hacer para mantener tu móvil seguro.

Empecemos: consejos para mantener tu Android seguro

Malware, spyware, virus, ransomware... hay muchísimos tipos de amenazas en Android pero las soluciones y los consejos suelen ser equivalentes. Revisar permisos, activar Google Play Protect, no dar datos sensibles en webs que no estén cifradas, mantener actualizados los parches de seguridad... son medidas que la mayoría de usuarios acostumbrados a la tecnología ya tienen interiorizadas, pero a veces sea por desconocimiento o por tentaciones diversas caemos en el error. A veces puede no ocurrir nada, pero en otras ocasiones estaremos arriesgándonos a comprometer nuestros datos.

A continuación tenéis diez errores que pueden poner en peligro la privacidad de vuestro dispositivo. Algunos de ellos no representan un problema por sí solos, pero sí contribuyen a disminuir la seguridad del dispositivo. Si veis que alguna persona conocida comete estos errores, aseguraros que sabe lo que está haciendo. Por otro lado, hemos querido descargar estas aplicaciones y poner en peligro nuestra privacidad por ver de primera mano qué tipo de alertas, mensajes o problemas adicionales van apareciendo.

Error 1: Activar los orígenes desconocidos

Desde Ajustes > Privacidad y seguridad > Aplicaciones de origen desconocido podemos permitir que se instalen en el móvil aplicaciones fuera de Google Play. Es la opción que tenemos que activar para instalar APK en nuestro Android. Desde Oreo ha cambiado su funcionamiento y es cada aplicación individualizada la que permite instalar estas APK. Mi P8 Lite 2017 se encuentra en Nougat 7.0 y esta opción es similar a la que encontrarán muchos usuarios.

Una vez activada podremos descargar aplicaciones desde el navegador e instalarlas manualmente. Es el paso necesario para instalar tiendas de terceros, juegos del Humble Bundle o desarrollos no permitidos por la tienda de Google. Recomendamos ir con cuidado al activar esta opción y sobre todo vigilar desde donde descargamos las APK.

Error 2: No vigilar los permisos

Google Play Protect es una de las incorporaciones más importantes a nivel de seguridad de los últimos años. Se trata de una capa de seguridad que analiza las distintas aplicaciones y comprueba que no contengan amenazas de seguridad. Sin embargo en este proceso nos ha dado la sensación que lo deja pasar todo. Incluso descargando las aplicaciones menos valoradas y con peor aspecto, Google Play Protect no nos ha avisado a tiempo.

Aquí entramos en un tema peliagudo y es la definición de peligrosidad. ¿Para qué querría por ejemplo una app que solo muestra fotos, acceder a nuestro micrófono o a nuestros contactos? ¿Es esto suficiente motivo para que Google la prohíba? En esta fina línea es donde los algoritmos no pueden determinar si una aplicación necesita esos permisos extra para su funcionamiento o simplemente para aprovecharse de nuestros datos. Google debe ir una por una y es la razón por la que acabamos luego viendo tantas noticias de malware en Google Play.

Sí hemos visto que al intentar instalar aplicaciones de fuera también nos han saltado avisos de seguridad, pero casi todas las apps de Google Play pasan el filtro. Si queréis llevar cuidado con nuestro móvil, no instaléis aplicaciones a lo loco sin mirar todos los permisos.

Error 3: Las aplicaciones de linterna son básicas

Nos habían dicho que las aplicaciones de linterna son de las más problemáticas. Así que hemos cogido las más sorprendentes de Google Play y las hemos instalado. Aplicaciones con puntuaciones por debajo de los tres estrellas siempre son reflejo de que no sirven para nada y contienen muchísima publicidad.

En estas aplicaciones de linterna tenemos algunas que simplemente son un láser que al pulsar cambia de color. Ojo, nos referimos a simplemente una imagen, que todavía hay gente que piensa que un puntero láser saldrá de nuestro móvil. Otras como la genial balanza de peso de nuestro dedo, simplemente nos proporciona un número basado en la presión que se ejerce sobre la pantalla, nada que ver con el peso real de nuestro dedo.

¿Cuál es el problema de estas aplicaciones? Los troyanos las utilizan para robar datos bancarios ya que algunas prometen ganar dinero al compartirlas. Los datos también se consiguen al sincronizar la aplicación con las redes sociales y por supuesto la publicidad es inevitable, incluso al pulsar atrás para salir de la aplicación nos fuerza a ver un anuncio a toda pantalla.

Error 4: ¿Cómo que no hay Animojis para Android?

Las aplicaciones de linterna me han dejado mal cuerpo pero decidimos continuar. Ya avisamos que los Amimoji del iPhone X no existían para Android pero decidimos adentrarnos en ese maravilloso mundo y descargamos algunas apps tan prometedoras como "Animoji para teléfono X", "Animoji" con su extraordinaria puntuación de 2,1 estrellas o todavía mejor, la magistral "Animoji IPHONEX emoji" con una puntuación de 1,8 estrellas que consideramos totalmente injusta. Estas aplicaciones deberían estar directamente prohibidas. Lo cierto es que Google Play debería plantearse bloquear automáticamente una aplicación si su puntuación baja de los dos puntos.

En estas apps de Animojis tenemos o bien una lista de imágenes fijas para compartir, totalmente ocultas bajo un mar de publicidad o unas cámaras con efectos que disponen de reconocimiento facial. Algunas de ellas sí logran crear un efecto curioso pero nos obligan a aceptar una política de privacidad claramente enfocada a compartir nuestros datos.

Error 5: Cheetah es nuestra amiga

Para que nuestro móvil vaya rápido nos han recomendado aplicaciones de optimización y para conseguir más batería tenemos alternativas como DU Battery Saver, cuyos permisos entre otros detalles incluye el llamar directamente a números de teléfono y generar costes adicionales.

Pongamos un poco de contexto. Para poder ganar dinero hacen falta muchos usuarios. De nada sirve tener una aplicación si nadie la utiliza. Por eso empresas como Cheetah Mobile o DU Apps Studio se basan en comprar aplicaciones muy conocidas o crear apps muy populares como antivirus, potenciadores, galerías y demás aplicaciones que son miles de veces. Por poner algunos ejemplos Security Master tiene más de 500 millones de descargas y Clean Master otros tantos. Son números dignos de las grandes ligas, por encima de otras como Spotify o Pinterest.

Una vez instaladas todas ellas y evitando asociar mi cuenta de Facebook a pesar de todos los intentos, es cuando empiezan los bombardeos de publicidad. El sistema empieza a recibir popups por todas partes, la barra de notificaciones se llena de banners y lo peor, de vez en cuando mi móvil con la pantalla apagada se enciende y empieza a emitir un anuncio de vídeo y con sonido. Un pequeño susto al que me he tenido que acostumbrar en estos días con el móvil "tuneado".

Error 6: las mejores guías para Pokemon GO o Clash Royale son estas desconocidas apps

Con el boom de juegos como Pokemon GO o Clash Royale muchos vieron un filón en las aplicaciones maliciosas. Además de la app oficial, han empezado a surgir todo tipo de apps que prometen poder hacer trampas o conseguir trucos. Unos juegos que a pesar de su bajada de usuarios sigue siendo objetivo para el malware de todo tipo.

Estas aplicaciones son las más agresivas a la hora de solicitar permisos que no necesitan y las más inestables. Varias de ellas son aplicaciones flotantes mal creadas que deben cerrarse desde menús poco accesibles, tienen un método de registro muy poco tranquilizante y a veces se cierran inesperadamente. A partir de aquí es cuando hemos instalado varios antimalware y hemos detectado que empezaban a advertirnos repetidamente.

Error 7: Un teclado más bonito no puede causar daño

¿Qué más aplicaciones pueden comprometer nuestra privacidad? Básicamente aquellas desde las cuales ingresamos información más relevante. Hay dos tipos de apps donde la privacidad debería ser el criterio número uno para escogerlas: las aplicaciones de mensajería y los teclados.

Una de las aplicaciones más inseguras son los clones de WhatsApp. Si bien existen algunas apps de terceros interesantes, lo más fácil es que sean clones o aplicaciones que acceden a nuestro historial de conversaciones. Nadie puede saber quién accede a tu perfil. WhatsApp es muy popular por lo que todavía es más importante vigilar.

El segundo tipo son los teclados. Aquí es todavía más grave ya que no solo estamos escribiendo mensajes, también direcciones de correo, páginas webs, números e incluso contraseñas. ¿De qué sirve que el sitio donde insertas la contraseña esté cifrado, si el teclado no lo está? Casi ningún teclado tiene este problema, pero sí nos hemos encontrado importantes fallos de seguridad en teclados que enviaban datos privados de millones de usuarios a servidores remotos.

Error 8: ¿Cosas de espías? Suena bien

Hace unas semanas Google anunció que iba a limitar el acceso a los servicios de accesibilidad, sin embargo este plan de baneo de aplicaciones se ha retrasado. Si bien hay apps muy interesantes que hacen uso de este permiso especial, hay muchas aplicaciones que lo utilizan para intentar ofrecer "cosas de espías".

Que si agente secreto, que si espiar al vecino, que si ocultar los mensajes de WhatsApp para que no sepan cuando te conectas... casi todas se basan en crear una capa de terceros que interceda entre los servidores finales y lo que tu recibes. Pero claro está, ese punto intermedio es donde toda nuestra seguridad desaparece. Hay algunas como Spy Chat muy ambiciosas en estos términos y habrá algunos usuarios que tengan la tentación de utilizarla.

Otras son bastante más sencillas y simplemente hacen uso de consultas a los servidores DNS. La problemática de todo esto es que estas aplicaciones han tenido acceso a los datos de mi smartphone y el WiFi de casa, datos que serán utilizados a su favor y muy probablemente en mi contra.

Error 9: Me voy a hacer rico con apps de casino

De la misma manera que los bares están llenos de máquinas tragaperras, Google Play también está plagado de juegos de cartas, casinos, ruletas de la suerte y todo tipo de aplicaciones para intentar ganar dinero basándose en la pura suerte. Lo que ocurre aquí es que el algoritmo además está muy bien definido para que sigas jugando desde casa, compartas la aplicación e intentes aspirar a premios mucho más ambiciosos. Si la ludopatía es un problema en las calles, con la soledad de casa puede incrementarse.

Después de probar apps como Gran Macau Slots, Cats Casino (genios!), Lucky Time o Jackpot Poker... me he dado cuenta que no es lo mío y por unos supuestos premios, no voy a añadir los datos de mi tarjeta de crédito en sistemas de pago poco fiables.

Error 10: En tiendas de terceros encontraré lo que necesito

Hay muchos dispositivos que no vienen con Google Play preinstalado, por ello aparecieron inicialmente tiendas de terceros como Aptoide, F-Droid o la Amazon Appstore. También tenemos alternativas como Uptodown o APKMirror. No dudamos que pueden ser alternativas válidas pero la seguridad de esas tiendas no llega al nivel de Google Play y ya es decir. No quiere decir que no haya métodos de análisis fiable pero cuando la cantidad crece, es mucho más difícil controlarlo todo.

Uno de los detalles que más preocupa es la absorción de su porción de pastel por parte de estas tiendas. Lo que hacen es analizar las que tienes instaladas y te ofrecen instalarlas desde su plataforma. Es decir, borran tus aplicaciones y las vuelven a instalar ellos para que así quede bajo su sistema. Un método con el que debemos llevar cuidado ya que se pueden crear incompatibilidades y se vuelve más difícil conocer de dónde proviene cada aplicación.

Los spyware y troyanos pueden aparecer desde cualquier aplicación

Con nuestro pequeño experimento hemos comprobado que no merece la pena apostar por aplicaciones exóticas y llenas de opciones. Puede parecer que son muy útiles pero simplemente tienen un diseño llamativo. Tampoco recomendamos hacer algo así sin la supervisión de un adulto (uno de verdad).

Google Play tiene un problema con el malware pero al menos cada cierto tiempo elimina centenares de aplicaciones de golpe. Lo que sí debemos evitar es descargar directamente APKs de sitios aleatorios, sin duda una de las formas más fáciles de encontrarse con peligrosos malware.

En una clásica búsqueda de "paid apps free APK" nos descargamos diversas y todas ellas eran peligrosas. Mucho cuidado ya que precisamente cuando más interés hay en arriesgarse es cuando más posibilidades hay que la aplicación pueda causarnos problemas.

A todo esto ¿sirven de algo los antivirus?

GhostCtrl, ZTorg, Xavier, Chrysaor, Skyfin, Skinner, SMSVova... parecen villanos de película pero son simplemente nombres de malware. Según los datos de G-Data el número sigue creciendo y Android es el objetivo favorito del ransomware. Pero lo cierto es que a pesar de instalar todo tipo de aplicaciones problemáticas el móvil sigue ahí, funcionando, aprovechándose de mis datos en segundo plano y afectando poco a poco al rendimiento del dispositivo.

Si analizamos el móvil con programas como VirusTotal o Malwarebytes, que a pesar de ser gratuitos también tienen sus propias ganancias, vemos como detectan básicamente AdWare. Tenemos una sensación constante que sí sabemos que hay publicidad por todas partes y que hemos concedido demasiados permisos, pero no si están realmente traficando con nuestros datos o van a intentar acceder a nuestros sistemas. Harían falta mejores herramientas para analizar realmente qué ocurre en nuestro móvil, también por parte del propio sistema Android.

Si no cuidas tu privacidad, no esperes que tu móvil te cuide a ti

El mayor problema de la mayoría de antivirus es que no dejan de ser un ejemplo más del tipo de aplicaciones a evitar. Empresas que nos intentan convencer que utilicemos sus trucos para simplemente añadir más publicidad y recolectar más datos. Lo primero que haré al terminar este artículo será resetear de fábrica el móvil y eliminar por fin todos esos anuncios, banners y sorpresas inesperadas. Todo esto teniendo en cuenta que realmente no he permitido que estas aplicaciones consiguieran todo lo que se proponen.

Si no cuidamos nuestra seguridad y descargamos todo tipo de aplicaciones, no podemos pretender que luego nuestro dispositivo vaya como el primer día. Todos estos malware extra además de poner en riesgo nuestra privacidad también provocan que haya muchos más procesos en segundo plano y el móvil acaba resistiéndose.

Nuestro consejo es claro, hay que vigilar lo que hacemos con nuestro móvil y sobre todo evitar instalar aplicaciones de dudosa calidad, que lejos de suponer un beneficio consiguen incluso que nos cansemos de Android al disminuir su rendimiento de manera alarmante.

En Xataka Android | Siete consejos para evitar malware en Android