Spyware

Spyware

Kaspersky bloqueó 33,3 millones de ataques con malware, adware o software no deseado en dispositivos móviles durante 2024 (The mobile threat landscape in 2024). Conviene leer bien qué mide esa cifra: son ataques detenidos por un producto de seguridad, no infecciones consumadas, y proceden de la telemetría de quienes usan ese producto. El dato del mismo informe que más dice sobre la tendencia es otro, y es contraintuitivo: los paquetes de instalación nuevos de troyano bancario bajaron a 68.730, mientras que, en palabras del propio informe, «el número total de ataques de banker aumentó drásticamente respecto al nivel de 2023». Menos familias nuevas y mucho más uso de las que ya existían.

Sobre el spyware comercial, el estudio de iVerify citado por CyberScoop encontró 7 infecciones de Pegasus en 2.500 dispositivos analizados —2,5 por cada 1.000— y 11 en 18.000 en una segunda tanda. Son ratios pequeños en términos absolutos, pero muy por encima de lo que se asumía, y con un matiz que importa más que la cifra: los afectados no eran solo políticos y activistas, sino usuarios de gobierno, banca, logística e inmobiliario. El compromiso móvil dejó de ser un problema de perfiles de altísimo riesgo.

Definición técnica

El spyware (software espía) es una categoría de malware diseñada específicamente para recopilar información de un dispositivo o sistema sin el conocimiento ni consentimiento del usuario. A diferencia de otros tipos de malware cuyo objetivo es causar daño directo (ransomware) o controlar el dispositivo (RAT), el spyware prioriza la recolección silenciosa y persistente de datos.

Taxonomía del spyware por nivel de sofisticación:

Capacidades típicas del spyware:

• Keylogging: Registro de todas las pulsaciones del teclado
• Screen capture: Capturas de pantalla periódicas o grabación de pantalla
• Interceptación de comunicaciones: Lectura de SMS, WhatsApp, Signal, Telegram, email
• Grabación de audio/vídeo: Activación remota de micrófono y cámara
• Geolocalización: Seguimiento GPS en tiempo real
• Extracción de archivos: Copia de fotos, documentos, bases de datos
• Credenciales: Captura de contraseñas y tokens de autenticación
• Datos de navegación: Historial, bookmarks, contraseñas guardadas

Cómo se instala el spyware

Los vectores de infección varían según el nivel de sofisticación:

Vectores de infección por nivel:

Persistencia y evasión:

El spyware avanzado emplea múltiples técnicas para sobrevivir reinicios y evadir la detección:

Técnicas de persistencia:
─────────────────────────
- Inyección en procesos del sistema (system services)
- Modificación del boot loader (rooted devices)
- Abuso de perfiles MDM (iOS)
- Implantación en partición de sistema (Android rooted)
- Reinfección periódica desde C2 (Pegasus "zero-click reload")

Técnicas de evasión:
─────────────────────
- Cifrado de comunicaciones C2
- Uso de dominios legítimos como fachada (domain fronting)
- Autodestrucción si detecta análisis forense
- Ofuscación de código y empaquetado dinámico
- Operación solo en RAM (fileless) sin escritura en disco

Detección forense de spyware

La detección de spyware es uno de los análisis más complejos en forense digital. El proceso requiere una combinación de técnicas:

Herramientas forenses para detección de spyware:

Caso práctico: spyware stalkerware en caso de violencia de género

Nota: El siguiente caso es un ejemplo compuesto y anonimizado basado en tipologías reales de peritaje informático. No representa un caso específico real.

Contexto: Una mujer denunció que su expareja conocía detalles íntimos de sus conversaciones y ubicaciones pese a haber cambiado de domicilio y tener orden de alejamiento. Su abogada solicitó peritaje forense del teléfono móvil.

Investigación forense:

1. Extracción forense: Imagen completa del iPhone 13 mediante Cellebrite UFED con documentación de cadena de custodia
2. Análisis de perfiles MDM: Se detectó un perfil de gestión de dispositivos (MDM) no autorizado que permitía instalación remota de apps
3. Identificación del stalkerware: Se localizó la app mSpy oculta bajo el nombre “System Service”, con permisos de ubicación, micrófono, cámara, SMS y acceso a iCloud
4. Análisis del tráfico: La app exfiltraba datos cada 15 minutos a servidores de mSpy cifrados con TLS
5. Logs de acceso: Se obtuvieron judicialmente los registros de mSpy que vinculaban la cuenta de monitorización al email del expareja
6. Timeline de vigilancia: Se documentaron 4 meses de seguimiento continuado, con 12.000+ localizaciones GPS, 3.400 capturas de pantalla y grabaciones de 200+ llamadas

Resultado: El informe pericial fue clave para que el juzgado ampliara la orden de alejamiento, se abriera causa penal por delito de descubrimiento y revelación de secretos (Art. 197 CP) con agravante de género, y se dictara condena de 3 años de prisión.

Marco legal en España

Código Penal:

• Art. 197.1 CP: El que, para descubrir los secretos o vulnerar la intimidad de otro, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen. Penas de 1 a 4 años de prisión
• Art. 197.2 CP: Apoderamiento, utilización o modificación de datos reservados de carácter personal o familiar registrados en ficheros. Penas de 1 a 4 años de prisión
• Art. 197 bis CP: Acceso no autorizado a un sistema informático vulnerando medidas de seguridad. Penas de 6 meses a 2 años de prisión
• Art. 197 ter CP: Producción o facilitación de programas informáticos diseñados para cometer los delitos de los artículos anteriores. Pena de 6 meses a 2 años de prisión. Aplicable a fabricantes y distribuidores de stalkerware

Agravantes:

• Art. 197.4 CP: pena de 3 a 5 años cuando los hechos los comete el responsable del fichero o se realizan mediante la utilización no autorizada de datos personales de la víctima. Cuando el autor es cónyuge o (ex)pareja opera además la circunstancia mixta de parentesco (art. 23 CP)
• Art. 197.5 CP: Si los datos afectados son de especial protección (salud, vida sexual, orientación sexual, origen racial). Pena en su mitad superior

Normativa adicional:

• RGPD (Art. 5-6): El tratamiento de datos personales mediante spyware carece de base jurídica legítima
• LO 1/2004: Ley de Medidas de Protección Integral contra la Violencia de Género. El uso de stalkerware constituye una forma de violencia de género digital
• Ley 4/2015: Estatuto de la víctima del delito. Protección reforzada para víctimas de ciberacoso y vigilancia ilegal

Conceptos relacionados

• Pegasus spyware - El spyware estatal más conocido, desarrollado por NSO Group
• Keylogger - Componente fundamental de la mayoría de spyware
• Zero-click malware - Vector de infección avanzado que no requiere interacción del usuario
• Troyano bancario - Categoría de malware con capacidades de spyware financiero
• Forense móvil - Disciplina que engloba la detección y análisis de spyware en smartphones
• Digital stalking - Uso de spyware stalkerware en contexto de acoso

Preguntas frecuentes

¿Cómo saber si mi teléfono tiene spyware?

Algunos indicadores incluyen: consumo anómalo de batería (la app espía consume recursos en segundo plano), uso elevado de datos móviles sin explicación, calentamiento excesivo del dispositivo en reposo, y aparición de apps desconocidas en los ajustes del sistema. Sin embargo, el spyware avanzado puede ser completamente invisible. Para una detección fiable, se recomienda un análisis forense profesional con herramientas como MVT (Mobile Verification Toolkit).

¿Es legal instalar una app de monitorización en el teléfono de mi hijo menor?

En España, los padres o tutores legales tienen el derecho y deber de velar por la seguridad de sus hijos menores (Art. 154 CC). La instalación de software de control parental en dispositivos de menores de edad bajo su tutela se considera generalmente legítima, siempre que sea proporcionada y se comunique al menor (según su madurez). Sin embargo, la instalación de spyware oculto en el dispositivo de un menor mayor de 14 años puede plantear conflictos con su derecho a la intimidad.

¿Puede un empleador instalar spyware en los dispositivos de trabajo?

El empleador puede implementar software de monitorización en dispositivos corporativos, pero solo si: el trabajador ha sido informado previamente de la existencia y alcance de la monitorización, existe una política de uso aceptable firmada, la monitorización es proporcionada al fin legítimo perseguido, y se respetan los derechos fundamentales del trabajador (STC 170/2013). La instalación de spyware oculto sin consentimiento del empleado es ilegal.

¿Cuánto cuesta un análisis forense para detectar spyware?

El coste varía según la complejidad. Un análisis básico de stalkerware comercial en un smartphone puede costar entre 400 y 800 EUR. Un análisis forense completo que incluya detección de spyware avanzado (tipo Pegasus), análisis de tráfico de red y elaboración de informe pericial para juicio puede oscilar entre 1.500 y 4.000 EUR. Si se requiere ratificación en sala, se añaden los honorarios de comparecencia.

Familias de spyware más relevantes en 2025-2026

Spyware estatal y comercial de alto nivel:

Stalkerware comercial más detectado:

Protección contra spyware

Medidas preventivas para usuarios:

1. Mantener el sistema operativo actualizado: Los parches de seguridad corrigen las vulnerabilidades que explota el spyware
2. No instalar apps fuera de tiendas oficiales: Evitar APKs de fuentes desconocidas en Android; no hacer jailbreak en iOS
3. Revisar permisos de aplicaciones: Desconfiar de apps que solicitan permisos excesivos (especialmente acceso a micrófono + cámara + ubicación + SMS)
4. Usar contraseña fuerte para el dispositivo: Impedir que terceros puedan instalar stalkerware con acceso físico
5. Activar verificación de apps (Android): Google Play Protect escanea apps instaladas en busca de comportamiento sospechoso
6. Reiniciar el dispositivo periódicamente: Algunos spyware avanzados (como Pegasus) solo operan en memoria y no sobreviven reinicios

Medidas para organizaciones:

• Implementar soluciones de Mobile Threat Defense (MTD) en dispositivos corporativos
• Monitorizar tráfico DNS y de red en busca de conexiones a infraestructura C2 conocida de spyware
• Establecer políticas de BYOD (Bring Your Own Device) que incluyan requisitos mínimos de seguridad
• Realizar auditorías periódicas de dispositivos con acceso a información sensible

Spyware en España: casos de relevancia pública

Casos destacados:

• CatalanGate (2022): El laboratorio Citizen Lab de la Universidad de Toronto documentó que al menos 65 dispositivos de políticos, activistas y periodistas catalanes fueron infectados con los spyware Pegasus (NSO Group) y Candiru. Este caso provocó una crisis política y la creación de una comisión de investigación en el Parlamento Europeo

• El vacío regulatorio: España no tiene una norma específica sobre el uso de spyware comercial por las autoridades. Su empleo se ampara en las medidas de investigación tecnológica de los artículos 588 bis y siguientes de la LECrim, que exigen autorización judicial motivada y proporcionalidad, pero que no fueron redactados pensando en herramientas capaces de tomar el control completo de un terminal

• El stalkerware es delito en España, aunque se venda como software legal: instalar una aplicación de vigilancia en el móvil de otra persona sin su consentimiento encaja en el artículo 197 del Código Penal —descubrimiento y revelación de secretos—, con penas agravadas cuando la víctima es pareja o expareja. Que la aplicación se comercialice abiertamente como «control parental» no cambia la calificación de la conducta

Impacto en la sociedad española:

El stalkerware es una herramienta de violencia de género digital cada vez más denunciada en España. La detección forense de stalkerware en dispositivos de víctimas se ha convertido en una especialidad demandada para peritos informáticos, especialmente en procedimientos de violencia de género, custodia y órdenes de protección.

Referencias y fuentes

1. Kaspersky — The mobile threat landscape in 2024: 33,3 millones de ataques bloqueados (malware, adware y software no deseado), 1,1 millones de paquetes maliciosos o no deseados detectados, de los cuales casi 69.000 de troyano bancario, y el adware como amenaza más común con el 35 % de las detecciones. Las cuatro cifras verificadas contra el texto del informe. Telemetría de la propia red de Kaspersky, no censo de infecciones

2. iVerify — investigación sobre prevalencia de Pegasus: 7 detecciones en 2.500 dispositivos y 11 en 18.000 en una segunda tanda, con infecciones fechadas en 2021, 2022 y 2023 sobre iOS 14, 15 y 16.6. Recogida por CyberScoop y detallada en el blog técnico de iVerify

3. Citizen Lab - “CatalanGate: Extensive Mercenary Spyware Operation against Catalans Using Pegasus and Candiru”, University of Toronto, 2022. informe CatalanGate

4. Amnistía Internacional - “Mobile Verification Toolkit (MVT)”, herramienta de detección de spyware. github.com/mvt-project

5. (Retirada una recopilación de estadísticas de malware Android de un agregador. Los datos de detección proceden del informe de Kaspersky, citado arriba, que es quien tiene la telemetría.)

6. Coalition Against Stalkerware — coalición de fabricantes de seguridad y organizaciones de apoyo a víctimas, con recursos para afectadas y profesionales. Es también quien mantiene los criterios de detección que aplican los antivirus para clasificar una app como stalkerware

7. INCIBE — Balance de ciberseguridad 2025: 122.223 incidentes gestionados, de los que 55.411 fueron malware. El Balance no desglosa el stalkerware como categoría propia. Nota de prensa

8. Código Penal — art. 197 y siguientes: descubrimiento y revelación de secretos, tipo aplicable a la instalación de spyware sin consentimiento.

9. RGPD - Reglamento (UE) 2016/679 del Parlamento Europeo. Reglamento (UE) 2016/679

10. Tribunal Constitucional — STC 170/2013, de 7 de octubre, ECLI:ES:TC:2013:170 (buscador de jurisprudencia constitucional), sobre control empresarial del correo electrónico del trabajador.