Cambiar de móvil es tu momento más vulnerable, y Clone2Pwn lo demuestra

¿Qué app de tu móvil maneja los datos más sensibles que tienes? Probablemente no sea la de tu banco. Es más bien la que abres una vez cada varios años, medio distraído, mientras estrenas un dispositivo nuevo: la herramienta de «copiar todo de mi móvil antiguo».

Esa herramienta acaba de pasar una auditoría bastante dura. Investigadores de la TU Graz y del centro A-SIT de Austria analizaron las apps de migración de siete fabricantes: Google, Samsung, Vivo, Xiaomi, Oppo, Huawei y Honor. Según TU Graz, encontraron vulnerabilidades en todas ellas que permitían a un atacante situado dentro del alcance del wifi espiar o manipular la transferencia. En interiores, ese alcance es de unos 20 a 45 metros, y el equipo necesario costaba menos de 100 euros. El trabajo, llamado Clone2Pwn, se presentó en ESORICS 2026.

Entre el material expuesto había mensajes de texto, contactos, fotos, datos de salud, credenciales de wifi guardadas y contraseñas de apps. En algunos casos, paquetes de aplicaciones manipulados podían introducir malware en el móvil nuevo. Los siete fabricantes han publicado ya actualizaciones de seguridad y confirmaron la gravedad de los problemas, cinco de ellos clasificados como altos.

La comodidad es la vulnerabilidad

Estas herramientas existen para pasar casi todo lo que hay en tu móvil de una vez, sin servidor externo de por medio, mediante un enlace wifi directo entre dos dispositivos. Es una gran experiencia de usuario. Pero también es, por diseño, un flujo concentrado de los datos más valiosos que tienes, viajando por ondas de radio para cualquiera que esté lo bastante cerca para escuchar. Cuando los investigadores dicen que se transfiere casi todo el contenido de un teléfono, no es una nota al pie. Es el modelo de amenaza.

A nuestro juicio, la industria trató estas apps como una función amable de bienvenida, no como software crítico para la seguridad. Nadie lanza un módulo de pagos con esa actitud. Sin embargo, la app de migración maneja las llaves de todos ellos y, según los investigadores, viene preinstalada en casi todos los dispositivos Android.

«Los siete» es la cifra que importa

Doce mil millones de descargas, un total que recoge Tech Xplore para las apps examinadas, es un buen titular, pero el dato más revelador es siete de siete. No se trata de un fabricante descuidado. Parece un punto ciego de toda la categoría: todos construyeron el mismo tipo de herramienta y todos la hicieron vulnerable. Eso apunta a un hábito de diseño compartido, no a un error aislado. Creemos que esa es la parte incómoda, y por eso desconfiaríamos de equiparar «parcheado» con «resuelto».

Para ser justos, los fabricantes merecen cierto reconocimiento. El equipo siguió la divulgación responsable, los fabricantes confirmaron los problemas y todos han publicado correcciones. Así es como debe funcionar. Pero, en nuestra opinión, un parche no equivale a una revisión de seguridad antes del lanzamiento, y ese es el hábito que nos gustaría ver cambiar.

Dónde el riesgo es real y dónde no

Sin exagerar. El ataque exige proximidad y nada en la documentación sugiere una explotación masiva. Para la mayoría de la gente que cambia de móvil en casa, el riesgo práctico probablemente sea modesto. Los propios investigadores señalan lugares donde cada día se hacen muchas transferencias, como las tiendas de electrónica y las tiendas de operadoras. Si un empleado te ofrece pasar tus datos por ti, es justo el tipo de entorno que destacan como especialmente vulnerable.

Hay además un coste oculto: en algunos casos la solución puede requerir actualizar todo el sistema operativo, no solo la app. Sospechamos que eso complica más las cosas a quienes tienen móviles viejos y desatendidos, que son precisamente quienes tienen más probabilidades de estar cambiando a uno nuevo.

Qué hacer antes de tu próximo cambio de móvil

El consejo de los investigadores es sencillo y lo seguiríamos al pie de la letra: asegúrate de que la última versión de la app de migración está instalada en ambos dispositivos e instala todas las actualizaciones pertinentes, incluido el propio sistema si hace falta. Hazlo antes de empezar, no después. Si puedes, haz la transferencia en casa y no en una tienda con mucha gente.

Nuestro veredicto: Clone2Pwn no es un motivo para evitar estas apps, porque siguen siendo la forma más fácil de hacer la mudanza digital. Es un motivo para que los fabricantes les apliquen el mismo modelado de amenazas, las mismas auditorías y la misma disciplina de actualizaciones que a una cartera digital o a un gestor de contraseñas. El momento en que cambias de móvil debería ser el más protegido de tu vida digital. Hoy es uno de los que menos.