España — Elimina de inmediato estas 6 apps de tu móvil para evitar el saqueo total de tus cuentas

Apps de préstamos rápidos que piden acceso a contactos y SMS

El gancho es siempre el mismo: dinero en minutos, sin nómina, sin ASNEF y con apenas un documento de identidad. La trampa está en la pantalla de permisos. Ninguna entidad de crédito autorizada en España necesita leer la agenda del teléfono ni los mensajes de texto para estudiar una solicitud, pero estas aplicaciones lo exigen como condición para desembolsar el préstamo. Con el acceso a los contactos se prepara la ronda de amenazas; con el de SMS se leen los códigos de un solo uso y los avisos del banco, lo que abre la puerta más allá de la app. No es un fenómeno marginal: ESET documentó 18 aplicaciones de la familia SpyLoan con más de 12 millones de descargas en Google Play, McAfee identificó otras 15 con 8 millones, y Check Point cifró en unos 150.000 los usuarios de RapiPlata entre Android e iOS antes de su retirada de las tiendas.

El daño estalla cuando se retrasa el pago. Los plazos habituales rondan los siete días y la deuda crece con comisiones hasta volverse imposible por diseño; entonces la agenda robada se convierte en el arma. Los operadores escriben a familiares, compañeros de trabajo y contactos antiguos acusando a la víctima de estafa o de debér dinero, y en algunos casos difunden imágenes manipuladas. INCIBE ha atendido casos en los que, un día después de pedir el préstamo a través de una app, los contactos de WhatsApp de la persona empezaron a recibir mensajes difamatorios; la recomendación del instituto es desinstalar la aplicación, escanear el móvil, guardar capturas y denunciar ante la Policía Nacional o la Guardia Civil, además de llamar al 017. Antes de instalar cualquier app de crédito, comprobar que figura en el registro del Banco de España.

Linternas, calculadoras y escáneres QR con permiso de Administrador del dispositivo

Ninguna linterna necesita ser administrador del dispositivo. Ese permiso se creó para la gestión corporativa: permite imponer contraseñas, bloquear la pantalla o borrar a distancia todo el teléfono, y mientras está activo Android impide desinstalar la aplicación. Una calculadora no tiene forma de justificarlo y un escáner de QR con administrador pide algo que ni su función ni su código necesitan; como mucho, acceso a la cámara y al flash. El patrón está catalogado: la técnica T1629.001 de MITRE ATT&CK, «impedir la eliminación de la aplicación», describe justamente ese abuso. Quien lo concede suele llegar ahí tras una ristra de avisos insistentes, y descubre después que el botón de desinstalar aparece en gris. Recuperar el control obliga a entrar en Ajustes, desactivar primero el administrador y solo entonces borrar; si el aviso se superpone a esa pantalla, la salida pasa por arrancar en modo seguro.

El interés no está en el permiso aislado, sino en lo que se suma a él. Con administrador, accesibilidad y capacidad de dibujar sobre otras aplicaciones, un troyano puede leer los códigos de un solo uso, superponer un formulario de acceso falso sobre la app del banco y resistirse a que lo quiten. En agosto de 2025, Zscaler ThreatLabz documentó 77 aplicaciones maliciosas en Google Play con más de 19 millones de descargas; su troyano Anatsa apuntaba ya a 831 entidades financieras y se colaba con señuelos como «Document Reader – File Manager», con más de 50.000 instalaciones. El BSI alemán advierte de que Anatsa llega también en visores de PDF, limpiadores y escáneres de códigos de barras, y de que intenta impedir su propia eliminación: a veces solo se resuelve con un restablecimiento de fábrica. El historial de las utilidades es amplio: McAfee detectó en 2022 dieciséis apps con adware de clics y 20 millones de descargas, entre ellas Flashlight+.

Apps de limpieza o ‘aceleración’ que exigen Accesibilidad

El permiso de Accesibilidad no es un ajuste menor: convierte a la aplicación en una mano que actúa dentro de otras ‘apps’. Puede leer lo que aparece en pantalla, incluidos los campos de una aplicación bancaria, registrar lo que se teclea, pulsar botones en tu lugar y aceptar los cuadros de diálogo con los que Android pide autorización para instalar algo o conceder más acceso. Ninguna herramienta de limpieza o de «aceleración» necesita nada de eso para borrar caché, y menos hoy: Android gestiona la memoria por su cuenta desde hace años, así que el prometido milagro de velocidad no existe. Google Play restringe la API a servicios pensados para personas con discapacidad y prohíbe el uso autónomo para automatizar acciones, de modo que una app de este tipo que muestra una pantalla de «optimización» y, de paso, pide Accesibilidad está pidiendo mucho más de lo que dice.

Los casos documentados van en esa dirección. Fast Cleaner, vendida como utilidad de rendimiento, sirvió en 2022 para distribuir el troyano Xenomorph entre unos 50.000 dispositivos y atacar a clientes de 56 bancos europeos, españoles incluidos. Los ‘droppers’ disfrazados de gestor de archivos o lector de PDF han introducido Anatsa en Android con más de 220.000 descargas, y en abril de 2026 McAfee describió Operation NoVoice: más de 50 aplicaciones, entre ellas la limpiadora SwiftClean, con 2,3 millones de instalaciones y capacidad para sobrevivir al restablecimiento de fábrica en móviles sin parches desde 2021. Google ha empezado a cerrar la puerta: en las betas de Android 17, el modo Protección Avanzada bloquea la API para las apps que no sean herramientas de accesibilidad certificadas y revoca los permisos ya concedidos, limpiadores incluidos. Mientras eso llega, la revisión es manual: Ajustes > Accesibilidad > aplicaciones instaladas, desactivar todo lo que no sea un lector de pantalla y desinstalarlo, y después cambiar las contraseñas bancarias.

Mods de WhatsApp y APKs de descarga de vídeos fuera de las tiendas oficiales

Los mods de WhatsApp (GB WhatsApp, WhatsApp Plus, YoWhatsApp, FM WhatsApp y sus clones) se presentan como la manera de ver mensajes borrados, ocultar el «en línea» o enviar archivos enormes, pero el precio real es el control del teléfono. Al instalarse desde webs, foros o canales de Telegram y no desde Google Play o la App Store, nadie audita el código: Meta advierte de que estas versiones no garantizan el cifrado de extremo a extremo y de que su uso incumple las condiciones del servicio, con suspensión temporal —habitualmente 72 horas— y bloqueo definitivo si se reincide. El daño económico es peor. Kaspersky colocó los mods de WhatsApp con el troyano Triada como la tercera amenaza móvil más detectada de 2024, y en octubre de 2023 registró más de 340.000 ataques en un solo mes de un mod espía, Trojan–Spy.AndroidOS.CanesSpy, que enviaba contactos y datos del aparato cada cinco minutos y podía grabar con el micrófono. Muchos de estos parches piden permisos de accesibilidad, administración del dispositivo o envío de SMS, es decir, las llaves de la casa.

El otro grupo resulta más difícil de identificar porque no se disfraza de WhatsApp, sino de utilidad: descargadores de vídeos, reproductores, apps de IPTV o de series gratis que obligan a instalar un APK desde una web. Ese paso, la instalación fuera de tiendas, es exactamente lo que necesita el malware para saltarse las revisiones de seguridad. El caso más documentado es Klopatra, un troyano de acceso remoto camuflado como «Mobdro Pro IP TV + VPN» que infectó más de 3.000 dispositivos en España e Italia desde marzo de 2025: solicita accesibilidad y permiso para instalar aplicaciones y, de madrugada, con el móvil cargando, enciende la pantalla con brillo cero, introduce el PIN que ya ha robado, abre la app del banco y lanza transferencias. En la misma lógica opera Albiriox, repartido como APK mediante promociones falsas en WhatsApp y Telegram, con más de 400 aplicaciones falsas de banca, pagos y criptomonedas ya identificadas. Google sostiene que ninguna de estas muestras ha llegado a su tienda.

VPN gratuitas que piden instalar un certificado o una APK adicional

Aceptar un certificado no es un ajuste menor. Cuando un móvil Android instala una CA de usuario, pasa a dar por buenas las conexiones que ese certificado firme, de modo que quien lo emitió puede descifrar el tráfico HTTPS y volver a cifrarlo: leer contraseñas, mensajes y los datos que envías a tu banca online en tiempo real. Ningún túnel VPN necesita ese permiso para funcionar. Lo piden las apps que hacen filtrado de anuncios —un uso legítimo, pero invasivo y que exige explicarse— y también las que quieren mirar dentro de tus conexiones sin decírtelo. Ya pasó: en 2020 se documentó que una veintena de aplicaciones de VPN y bloqueo de publicidad, con más de 35 millones de descargas (Luna VPN, Free and Unlimited VPN, Adblock Focus, Mobile Data), pedían instalar un certificado raíz desde una web externa para esquivar el veto de Google y Apple y alimentar con esos datos a una plataforma de analítica que ocultaba ser su dueña. Si el paso llega después de salir de la tienda oficial, la señal es aún peor.

El otro patrón es el del instalador que no se conforma con su función: pide permiso para instalar aplicaciones de origen desconocido y descarga un segundo paquete. Es lo que hacía el dropper «Mobdro Pro IP TV + VPN», puerta de entrada de Klopatra, un troyano bancario y de acceso remoto detectado por Cleafy en agosto de 2025 que infectó más de 3.000 dispositivos, la mayoría en España e Italia, con dos campañas activas desde marzo y más de 40 versiones del malware. Tras obtener el permiso, extraía el payload de un paquete JSON incrustado, se concedía accesos de accesibilidad y operaba con una [VNC oculta](https://thehackernews.com/2025/10/new-android-banking-trojan-klopatra.html): pantalla en negro mientras el operador abría la app del banco y ordenaba transferencias con el móvil cargando y la víctima dormida. Google advirtió en noviembre de 2025 de que estas VPN falsas sirven para colar ladrones de información, troyanos de acceso remoto y troyanos bancarios. Si una app gratuita pide SMS, contactos o accesibilidad y te empuja a bajar algo más, desinstálala, retira el certificado en los ajustes de credenciales y cambia las claves del banco.