El mayor punto ciego de seguridad de Android está al cambiar de móvil

Un móvil nuevo debería ser un comienzo desde cero, no una breve ventana en la que alguien cercano pueda leer tus mensajes o instalar malware. Sin embargo, esa es precisamente la incómoda lección que dejan los fallos descubiertos recientemente en las herramientas de transferencia de Android: el momento más delicado en la vida de un smartphone puede ser justo aquel que los fabricantes han diseñado para que parezca algo sencillo y sin esfuerzo.

Investigadores de la TU Graz encontraron problemas de seguridad en las siete apps de transferencia de Android que analizaron, con herramientas de Google, Samsung, Xiaomi, Vivo, Oppo, Huawei y Honor. En conjunto, esas apps acumulan más de 12.000 millones de descargas, según FR. Los investigadores demostraron ataques contra cinco de ellas capaces de instalar software malicioso en el móvil nuevo. Desde entonces, los fabricantes han publicado actualizaciones de seguridad, pero el episodio deja al descubierto un fallo de diseño que los parches, por sí solos, no pueden solucionar.

La pantalla de transferencia merece la misma cautela que la pantalla de bloqueo

La migración de un móvil se trata como un asistente de configuración amable: acerca el móvil antiguo, acepta algunos avisos y deja que las fotos, los contactos, los mensajes y las cuentas pasen de un dispositivo a otro. Sin embargo, estas apps suelen crear una conexión Wi-Fi directa entre ambos móviles. Según la aplicación, ese flujo también puede incluir las contraseñas Wi-Fi guardadas y datos de otras aplicaciones.

Eso convierte el proceso de transferencia en un paquete concentrado de información personal. No es una simple herramienta de copia. Es un servicio de red temporal con acceso a algunos de los datos más valiosos del dispositivo, pero se anima al usuario a abordarlo como una tarea rutinaria de mantenimiento.

El estudio de la TU Graz, llamado «Clone2Pwn», examinó seis escenarios de ataque. En algunos casos, unas contraseñas Wi-Fi débiles y una configuración de la conexión mal protegida permitían a los atacantes introducirse en la transferencia sin acceso físico a ninguno de los dos móviles. En interiores, el alcance relevante oscilaba aproximadamente entre 20 y 45 metros. Algunos ataques requerían equipos con un coste inferior a 100 euros.

Eso no significa que todas las migraciones de móviles estén sufriendo ataques activos. Sí significa que el modelo de riesgo es más amplio de lo que la mayoría de la gente supone. Una transferencia realizada en una tienda de electrónica, una tienda de un operador o un taller de reparación no tiene lugar en una burbuja privada simplemente porque los dos móviles estén sobre la misma mesa.

«Actualizado» es necesario, pero no basta como estrategia de diseño

El consejo inmediato es sensato: actualiza los dos móviles, actualiza la app de transferencia e instala cualquier actualización del sistema Android necesaria antes de mover los datos. Los siete fabricantes afectados han publicado correcciones, y los ataques demostrados se dirigían a versiones de software que ahora están, al menos en parte, desactualizadas.

Pero «instala el parche» puede convertirse en una forma cómoda de que la industria evite la pregunta más importante. Los usuarios no suelen analizar la arquitectura de seguridad de una herramienta de migración. Confían en la app preinstalada porque el fabricante la ha colocado ahí y porque el proceso de configuración la presenta como la vía oficial.

El ciclo de seguridad más reciente de Android deja claro por qué esto importa. La actualización de Google de octubre de 2026 solucionó 25 vulnerabilidades de Android, siete de ellas consideradas críticas, mientras que la actualización de Samsung enumeraba 62 problemas, según connect. Esas cifras recuerdan que la seguridad de Android ya exige un mantenimiento continuo. Añadir a la lista una red de transferencia de alto valor y vida corta no debería ser algo secundario.

En nuestra opinión, los fabricantes deberían convertir la opción segura en la predeterminada: emparejamiento autenticado de dispositivos, avisos claros sobre los lugares públicos, límites estrictos sobre lo que se puede transferir y una confirmación visible de las versiones de la app y del software implicadas. Los usuarios no deberían tener que entender los ataques de intermediario para transferir sus propias fotos de forma segura.

La opción por cable no es glamurosa, pero es la mejor opción predeterminada

La protección más práctica también es la menos futurista. Una transferencia por cable elimina el riesgo concreto de que un atacante se una a la conexión inalámbrica. Samsung Smart Switch permite transferir datos por USB entre dispositivos Android, y Samsung describe las conexiones por cable como, por lo general, más rápidas y estables cuando se trata de grandes cantidades de datos. La compañía también permite hacer copias de seguridad en almacenamiento externo y elegir entre transferirlo todo, categorías concretas o una selección individual, según explica en su documentación de soporte.

Un cable no es una garantía mágica de seguridad. Si el móvil antiguo ya contiene malware, esa amenaza también puede viajar mediante una transferencia por cable. Pero elimina un vector de ataque importante: la red inalámbrica temporal a la que pueden intentar acceder personas ajenas dentro de su alcance.

La lección más amplia tiene que ver con las opciones predeterminadas. La migración inalámbrica resulta cómoda porque no requiere un adaptador y mantiene el proceso sencillo. La seguridad suele exigir lo contrario: menos servicios invisibles, permisos más limitados y una conexión bajo control físico. Cuando los datos incluyen mensajes, contactos, credenciales e información sanitaria, la comodidad no debería imponerse automáticamente.

Los usuarios de Android deberían cambiar ya su rutina de migración

Antes de transferir los datos, comprueba el nivel del parche de seguridad en ambos dispositivos y actualiza la app de transferencia correspondiente. Siempre que sea posible, evita realizar la migración en un lugar público. Opta por un cable u otra vía sin conexión y transfiere solo las categorías que realmente necesites, en lugar de elegirlo todo a ciegas.

Android Switch de Google está integrado en la configuración de Android y puede mover fotos, vídeos, contactos y mucho más; precisamente por eso, su nivel de seguridad importa más allá de la propia app. Una herramienta preinstalada no es una descarga cualquiera: forma parte de la frontera de confianza de la plataforma.

Las apps afectadas ya han recibido parches, así que esto no es motivo para abandonar Android ni cancelar una actualización prevista. Sí es una razón para dejar de tratar la migración como algo inocuo. Los fabricantes han corregido una serie de fallos, pero la filosofía del producto aún necesita una revisión.

Nuestro veredicto: actualiza primero, usa un cable siempre que puedas y evita transferir los datos en un espacio público concurrido. Más importante aún, los fabricantes de Android deberían elevar la migración de móviles al mismo nivel de seguridad que las actualizaciones del sistema. Un proceso capaz de trasladar toda tu vida digital debe diseñarse como una función de seguridad, no pulirse únicamente como una función de comodidad.