Detectar software espía en el móvil con dictamen jurídico

Detectar software espía en el móvil es un análisis técnico del teléfono, sin instalar nada en él, para comprobar si alguien ha introducido un programa que lee sus mensajes, escucha sus llamadas o sigue su posición. En Barrido Electrónico Jurídico lo realiza Ignacio Javier Oliva Fano, abogado ejerciente con formación en contramedidas electrónicas. Puede hacerse a distancia, en torno a media hora, y termina con un dictamen jurídico que explica qué se ha encontrado, qué significa y qué puede hacer.

Es el servicio que más solicitan quienes contactan con el despacho, casi siempre con la misma sensación de fondo: la de que alguien sabe demasiado. Esta página explica qué señales tienen sentido y cuáles no, qué detecta el análisis y cómo se realiza. También qué hacer si se confirma un programa espía y qué aporta que la revisión la haga un abogado.

Señales de que el móvil puede estar espiado

La señal más fiable no es técnica: es que otra persona conoce conversaciones, desplazamientos o decisiones que solo han pasado por su teléfono. Una expareja que sabe dónde estuvo, un socio que anticipa una oferta, un familiar que cita un mensaje privado. Cuando eso se repite, la sospecha está justificada.

Las señales técnicas valen menos de lo que se cree. La batería que dura poco, el teléfono que se calienta, el consumo de datos alto o una aplicación desconocida pueden deberse a un programa espía. Pero también a una actualización o a una aplicación mal hecha. Un síntoma técnico no demuestra nada; su ausencia tampoco descarta nada. Los programas actuales están diseñados para no notarse.

Hay un indicio que sí pesa: que alguien haya tenido acceso físico al teléfono desbloqueado, aunque fuera unos minutos. La mayoría de los programas de control se instalan así, no a distancia.

Qué es el software espía y cómo llega al móvil

El software espía es un programa que se oculta en el teléfono y envía a un tercero lo que ocurre en él: mensajes, llamadas, fotografías, posición, contraseñas o el sonido del micrófono. Se suele llamar stalkerware: aplicaciones que se venden como control parental o de empleados y que se instalan en el móvil de una pareja o un familiar sin que lo sepa.

En Android

En Android, el programa suele instalarse con acceso físico al teléfono: se descarga, se le conceden permisos de accesibilidad y administración, y se oculta el icono. Desde ese momento funciona en segundo plano. Un antivirus convencional puede no detectarlo porque no se comporta como un virus, sino como una aplicación con permisos excesivos.

En iPhone

En iPhone, instalar un programa oculto es más difícil por las restricciones del sistema. Por eso el control suele hacerse de otra forma: alguien conoce la contraseña del ID de Apple y accede a la copia en la nube, o activa la compartición de ubicación. Aun así, existen programas capaces de comprometer el dispositivo sin que el usuario haga nada, y el análisis los busca.

Qué detecta el análisis

El análisis busca tres tipos de amenaza. Primero, las aplicaciones de control o stalkerware, que son las más frecuentes en conflictos de pareja y de familia. Segundo, troyanos y programas maliciosos que roban credenciales o datos bancarios. Tercero, el software espía de alto nivel, del tipo de Pegasus, que se instala sin intervención del usuario y que afecta a abogados, periodistas, directivos y personas expuestas.

Para ese tercer grupo, el equipo contrasta el teléfono con la base de indicadores de compromiso del Mobile Verification Toolkit, la metodología que el Security Lab de Amnistía Internacional desarrolló para detectar Pegasus. Un hallazgo de esa clase no se anuncia al cliente como una certeza, sino como un indicador que exige una valoración inmediata, porque sus consecuencias, personales y jurídicas, son de otra escala.

Cómo se realiza la detección de software espía en el móvil

Se utiliza un equipo forense profesional que examina las aplicaciones instaladas, sus permisos, los procesos en segundo plano, el comportamiento del sistema y las comunicaciones del teléfono. No se instala ninguna aplicación en el móvil y el análisis no altera su estado. Es la misma disciplina que se aplica en un barrido electrónico jurídico: revisar sin alterar. El análisis dura en torno a media hora.

A distancia, sin desplazamiento

En la mayoría de los casos el análisis puede realizarse sin que el cliente se desplace ni entregue el teléfono. En iPhone, el propio dispositivo genera un archivo de diagnóstico del sistema desde los ajustes, siguiendo unas instrucciones sencillas, y ese archivo es lo que se analiza. El equipo permite además un flujo de análisis remoto seguro, sin manipulación física del teléfono. El cliente conserva su móvil en todo momento y decide desde dónde hace la comprobación, que es lo que muchos necesitan cuando la persona sospechosa vive con ellos.

De forma presencial

El análisis del sistema de un teléfono Android (aplicaciones instaladas, permisos, procesos) requiere conectarlo por cable al equipo, por lo que se hace en el despacho o en el lugar acordado. También puede optarse por la modalidad presencial en iPhone cuando el cliente lo prefiera. El teléfono no sale de la vista del cliente y nadie más accede a su contenido.

Análisis del tráfico de red

Muchos programas espía se delatan por lo que envían, no por dónde se esconden. Por eso el análisis registra a qué servidores se comunica el teléfono mientras se usa con normalidad, y comprueba si esas conexiones corresponden a servicios legítimos o a servidores no autorizados. Puede hacerse a distancia o, en la modalidad presencial, conectando el teléfono durante unos minutos a un punto de acceso del equipo. Esa captura complementa el análisis del terminal y permite ver conexiones que no corresponden a ninguna aplicación legítima.

Lo que el análisis no hace

Ningún sistema de detección identifica el cien por cien de las amenazas. Un resultado negativo reduce el riesgo, pero no lo elimina, y así se hace constar en el dictamen. El análisis tampoco elimina el programa: esa decisión se toma después, con criterio. Y no busca micrófonos ocultos ni localizadores en el vehículo; si la sospecha alcanza también a esos ámbitos, se combina con el barrido correspondiente.

Qué hacer si se confirma el software espía

La reacción natural es borrar la aplicación o restaurar el teléfono de fábrica. Es exactamente lo que destruye la prueba. Desaparecen el programa, sus registros y la posibilidad de acreditar quién lo instaló y desde cuándo. También conviene no confrontar a la persona sospechosa antes de decidir qué se quiere hacer, porque puede desinstalarlo a distancia.

Lo que procede es documentar el hallazgo tal como está y valorar las opciones. Puede convenir denunciar y que sea la autoridad quien examine el dispositivo, conservar el teléfono sin usarlo mientras se decide, o retirar el programa una vez documentado si el cliente solo quiere recuperar su privacidad. No hay una respuesta única; depende de si existe un procedimiento en curso, de la relación con quien lo instaló y de lo que el cliente quiera conseguir.

Qué se entrega: dictamen jurídico con informe técnico anexo

El equipo genera un informe técnico en PDF con los hallazgos, los registros de detección y su cronología. Ese informe describe lo que se ha detectado, pero no dice qué significa. Por eso se incorpora como anexo a un dictamen jurídico firmado por abogado, que responde a las preguntas que importan al cliente: si lo hallado constituye una intromisión en su intimidad o en el secreto de sus comunicaciones, qué vías de actuación existen y qué conviene hacer primero. El dictamen explica también el alcance del análisis y sus límites, para que el conjunto pueda sostenerse después.

Que el análisis lo haga un abogado tiene otra consecuencia: lo que se ve en el teléfono queda amparado por el secreto profesional, dentro de los límites de la normativa aplicable. Un teléfono contiene toda la vida de una persona, y quien lo revisa lo ve. Con un técnico, esa exposición depende de un contrato de confidencialidad; con un abogado, del deber de secreto y de la disciplina colegial que lo respalda. Si en un procedimiento hiciera falta una prueba pericial sobre el dispositivo, la realizaría un perito independiente.

Requisito previo: el consentimiento del titular

Solo se analizan teléfonos con el consentimiento expreso de su titular, que debe estar presente o autorizarlo por escrito. Acceder al móvil de otra persona sin su permiso, aunque sea la pareja o un hijo mayor de edad, puede constituir un delito. Por eso no se analizan terminales ajenos ni se atienden encargos para comprobar «qué hace» otra persona. Este límite protege también al cliente: un hallazgo obtenido de forma ilícita no le serviría de nada.

Preguntas frecuentes

¿Se puede detectar software espía en el móvil a distancia?

Sí, en la mayoría de los casos. El análisis del tráfico del teléfono se realiza a distancia tanto en Android como en iPhone: se examina todo lo que el dispositivo envía y a dónde. En iPhone, además, el cliente genera desde los ajustes un archivo de diagnóstico del sistema y lo envía por un canal seguro, con lo que el análisis es completo sin desplazamiento. En Android, el análisis de las aplicaciones y permisos del sistema requiere conectar el teléfono por cable, y se hace de forma presencial.

¿Detecta Pegasus y otros programas espía de nivel gubernamental?

El equipo contrasta el teléfono con los indicadores de compromiso del Mobile Verification Toolkit, la metodología desarrollada por el Security Lab de Amnistía Internacional para detectar Pegasus y programas similares. Un indicador positivo se trata como una alerta que exige valoración inmediata, no como una certeza. Ningún sistema garantiza detectar todas las variantes de este tipo de software, que evoluciona de forma constante.

¿Hace falta darle la contraseña del teléfono a alguien?

No. El teléfono no sale de las manos del cliente. En iPhone, es el propio cliente quien genera el archivo de diagnóstico; en Android presencial, quien desbloquea, conecta el teléfono y activa, con indicaciones, el ajuste que permite la conexión por cable. No se instala ninguna aplicación ni se accede a cuentas ni contraseñas.

¿Cuánto dura y qué se entrega?

El análisis dura en torno a media hora. El informe técnico del equipo se entrega como anexo del dictamen jurídico, en PDF firmado, en los días siguientes. Un resultado negativo también se documenta, con la indicación de que reduce el riesgo pero no lo elimina.

¿Puedo hacerlo yo mismo con una aplicación antivirus?

Las aplicaciones antivirus detectan parte de los programas conocidos, pero muchos programas de control se comportan como aplicaciones legítimas con permisos excesivos y pasan desapercibidos. Además, instalar herramientas en un teléfono que puede estar comprometido altera su estado y puede destruir información útil. Si la sospecha es seria o hay un conflicto de por medio, conviene un análisis que no modifique el dispositivo.

Siguiente paso

Si cree que su teléfono está siendo vigilado, no lo restaure ni borre nada, y no comente la sospecha a través de ese mismo teléfono. Contacte desde otro dispositivo con una descripción general de la situación. El análisis se realiza a distancia o en Madrid y Galicia sin coste de desplazamiento, con presupuesto cerrado antes de intervenir. Este contenido tiene carácter informativo y no sustituye el asesoramiento jurídico adaptado a cada caso.