Cambio de móvil: las siete apps de transferencia de Android tenían fallos de seguridad

TVS News IA, supervisado editorialmente, presenta Cambio de móvil: las siete apps de transferencia de Android tenían fallos de seguridad.

Imagina que estás en una tienda de electrónica, con un contrato nuevo firmado y el flamante dispositivo Android en la mano: las fotos, historiales de chat y contraseñas Wi-Fi guardadas ya están migrando a la pantalla mediante una app del fabricante. Lo que parece rutinario fue durante meses una puerta abierta. Investigadores de seguridad de la TU Graz, en cooperación con el Centro de Tecnología de la Información Segura A-SIT, desmontaron en condiciones reales siete apps de migración de datos para Android ampliamente utilizadas. Su veredicto es claro: ni una sola de las aplicaciones analizadas superó las pruebas.

El estudio, en resumen

Bajo el título «Clone2Pwn: A Systematic Security Analysis of Data Migration Tools in the Android Ecosystem», el equipo liderado por Florian Draschbacher (junto a Lukas Maar, Lorenz Schumm, Rene Denifl, Lukas Treffner y Stefan Mangard) presentó los resultados en octubre de 2026 en el European Symposium on Research in Computer Security (ESORICS) en Roma. Se examinaron las herramientas de transferencia de teléfonos de siete fabricantes: Switch de Google, Smart Switch de Samsung, EasyShare de Vivo, Mi Mover de Xiaomi, Clone Phone de Oppo, Phone Clone de Huawei y Device Clone de Honor. El balance: en cada una de estas apps los investigadores encontraron vulnerabilidades que podían explotarse en distintos escenarios de ataque.

Cómo se realizó la prueba

Los programas de migración suelen establecer para el cambio de dispositivo una conexión Wi-Fi directa entre ambos teléfonos, sin pasar por un servidor en la nube. Pero ese procedimiento por sí solo no protege, subrayan los investigadores. Formularon seis escenarios de ataque diferenciados y los tradujeron en 15 requisitos de seguridad concretos. Cada app se midió con ese baremo.

Lo que podía ocurrir en el peor caso

El alcance de estos ataques es alarmante por cotidiano: en espacios cerrados bastaban entre 20 y 45 metros de distancia para interceptar el flujo de datos. Con hardware estándar por menos de 100 euros era suficiente. Si el ataque tenía éxito, quedaban al descubierto SMS, listas de contactos, galerías de imágenes, registros de llamadas y, en parte, información médica, junto con contraseñas Wi-Fi y credenciales de acceso a otras apps. En cinco de los siete programas se podían colar además paquetes de instalación manipulados en el dispositivo de destino, abriendo la puerta a malware. Tres apps eran además vulnerables a través de malware ya presente en el dispositivo de origen.

La difusión agranda el problema

Lo que agrava la situación: estas apps vienen preinstaladas en casi todos los teléfonos Android y se utilizan de forma rutinaria al cambiar de dispositivo. En total, las aplicaciones afectadas suman más de doce mil millones de descargas, aunque esa cifra cuenta instalaciones, no necesariamente personas distintas. Como puntos neurálgicos, el estudio señala sobre todo las tiendas de electrónica y los establecimientos de telefonía móvil, donde a diario se configuran numerosos dispositivos nuevos.

Diferentes niveles de gravedad

Lo vulnerable que era una app variaba de fabricante a fabricante. Samsung Smart Switch y Vivo EasyShare mostraron debilidades en tres de los seis escenarios cada una. Google Android Switch fue la que mejor parada salió, con un único escenario demostrado, aunque aquí la conexión Wi-Fi mal protegida pudo descifrarse y leerse. Seis de las siete aplicaciones sufrían contraseñas Wi-Fi demasiado débiles u otras brechas en la transmisión inalámbrica. En Google, la fuga de datos incluía también información de salud, como datos sobre actividad sexual y salud reproductiva, que además no podían excluirse selectivamente de la transferencia. La manipulación de datos durante la transmisión no pudo demostrarse en el caso de Google.

Cómo entró Samsung en el punto de mira

En Smart Switch, los investigadores aprovecharon una vulnerabilidad ya en el establecimiento de la conexión. Se interpusieron entre los dispositivos y vieron mensajes, fotos, contactos y credenciales Wi-Fi almacenadas en texto plano. Además, consiguieron sustituir una instalación de app en curso por un paquete preparado, llevando así malware al nuevo teléfono. Resulta llamativo: Samsung contaba con un cifrado Wi-Fi más robusto que varios competidores, pero el establecimiento de la conexión, plagado de lagunas, anulaba esa ventaja.

Divulgación responsable y reacción

Antes de que el trabajo se hiciera público, los investigadores informaron a todos los grupos afectados en el marco de una Responsible Disclosure. El resultado: ocho vulnerabilidades registradas oficialmente, cinco de ellas con clasificación alta. Los siete fabricantes confirmaron los hallazgos y, a continuación, proporcionaron actualizaciones de seguridad. La protección, no obstante, solo existe allí donde los parches se han instalado realmente. Dado que los ataques documentados se refieren a versiones de software concretas, en parte ya superadas, el riesgo personal depende del estado del software de cada uno.

Como estas apps ya vienen preinstaladas y son muy cómodas para la migración de datos a un nuevo móvil, estas vulnerabilidades de seguridad tienen un impacto enorme.

Recomendaciones concretas antes de la próxima mudanza

Quien vaya a configurar un nuevo teléfono Android próximamente debería revisar los siguientes puntos antes de que los datos migren: instalar la última actualización del sistema operativo y de seguridad tanto en el dispositivo antiguo como en el nuevo. Asegurarse de que la app de transferencia utilizada esté en la versión más reciente; en parte, eso requiere una actualización completa del sistema operativo. Realizar la migración en casa si es posible, no en una tienda concurrida. Al configurar, confirmar únicamente la conexión al propio dispositivo nuevo. Tras finalizar, comprobar que todos los datos hayan llegado por completo y que no aparezcan apps extrañas. Una alternativa para usuarios de Samsung: Smart Switch permite la transferencia por cable USB entre dispositivos Android, lo que descarta los ataques por radio. No obstante, el malware presente en el origen sigue siendo un riesgo incluso con cable, por lo que el estado del software del dispositivo antiguo debe estar igualmente actualizado.