Medidas de seguridad básicas para minimizar riesgos en dispositivos móviles
Los smartphones son mucho más que simples teléfonos para hacer llamadas, navegar por internet, acceder a datos personales, bancarios, fotos, o hasta nuestra ubicación. Esta cantidad de información los convierte en objetivos muy sensibles frente a los ciberdelincuentes, siendo por ello un riesgo también para empresarios y profesionales. Para tratar este sobre la seguridad en dispositivos móviles, entrevistamos a la responsable del área de conocimiento y concienciación de empresas y profesionales de INCIBE (Instituto Nacional de Ciberseguridad), Yolanda Barrientos .
¿Qué define, en un concepto amplio, la seguridad móvil?
Los dispositivos móviles se han vuelto una parte esencial de nuestra vida, y para muchos, en su herramienta principal de trabajo. Los más usados son los smartphones, seguidos de las tabletas y portátiles, pero entrarían en esta categoría también relojes inteligentes, cámaras digitales, robots, calculadoras electrónicas… Estos dispositivos nos facilitan mucho el trabajo, ya que podemos acceder a la información y a los sistemas de la empresa sin necesidad de estar en la oficina. Sin embargo, es importante tener en cuenta los riesgos para la privacidad y la seguridad de los datos. La seguridad móvil engloba el conjunto de medidas y estrategias destinadas a proteger los dispositivos móviles de amenazas digitales y ciberataques. Dado que estos dispositivos almacenan información personal y empresarial sensible, garantizar su seguridad es fundamental para evitar accesos no autorizados, filtraciones de datos o infecciones por malware.
La seguridad móvil incluye prácticas como el uso de contraseñas y autenticación biométrica, evitando accesos no autorizados; la instalación de software de seguridad (antivirus, antimalware y aplicaciones de detección de amenazas); actualización del sistema operativo y aplicaciones y precaución en descargas y enlaces sospechosos, evitando caer en ataques de phishing o instalar aplicaciones maliciosas. Desde INCIBE recomendamos siempre aplicar estas medidas de seguridad básicas para minimizar los riesgos.
Hay diversas ofertas en el mercado para seguridad del móvil contra malware, firewalls etc. ¿Qué riesgos son los más comunes en el mundo de la empresa?
En el ámbito empresarial, los dispositivos móviles pueden ser una puerta de entrada a los ciberdelincuentes, ya que a menudo contienen información confidencial de la empresa. Las prácticas que, por acción u omisión, son fuente de riesgos pueden ser tan sencillas y pasar tan inadvertidas como conectarse a redes Wi-Fi públicas sin precaución, quitar o no configurar el sistema de bloqueo del teléfono, descargarse aplicaciones sin comprobar su origen, guardar información sensible sin una adecuada protección, usar contraseñas débiles, no realizar copias de seguridad, descuidar las actualizaciones del sistema… y estas prácticas pueden suponer graves riesgos para la empresa ya que estamos facilitando el acceso a nuestros datos a un tercero que podría emplearlos con fines ilegítimos.
Si nos roban el móvil o lo perdemos y no hemos activado ninguna medida de seguridad, cualquier persona podría acceder a nuestros datos sin esfuerzo. Si, además, almacenamos información confidencial sin cifrar, un atacante podría robar datos de la empresa o de sus empleados y usarlos con fines maliciosos. No tener copias de seguridad también supone un problema, ya que podríamos perder información importante y afectar la continuidad del negocio. Los ciberdelincuentes utilizan diversas estrategias para robar datos, muchas de ellas basadas en técnicas de engaño, como los mensajes fraudulentos que se envían por SMS. Otro riesgo es el malware, que puede infiltrarse en nuestro móvil a través de correos electrónicos falsos que imitan a empresas o personas de confianza. Un tipo especialmente peligroso es el ransomware, que bloquea el acceso a nuestros datos y exige un rescate para recuperarlos. Si el teléfono empieza a mostrar anuncios sin permiso o aparecen apps que no instalamos, podríamos estar infectados con adware, un programa diseñado para recopilar información personal sin nuestro consentimiento. También existe el spyware, un software que puede registrar todo lo que hacemos en el móvil, incluidas nuestras pulsaciones en el teclado, ubicación y datos bancarios. Por otro lado, el cryptojacking es una amenaza que utiliza los recursos del dispositivo para minar criptomonedas sin que lo sepamos. Esto no solo ralentiza el móvil, sino que también puede sobrecalentarlo y dañar la batería. La suplantación de identidad, especialmente suplantaciones por imitación de los perfiles de las empresas en redes sociales y en las páginas web también es uno de los incidentes de ciberseguridad que más se están reportando en la Línea de Ayuda, y muchas veces se produce por los accesos desde dispositivos móviles, por lo que hay que estar muy atentos.
Para reducir todos estos riesgos en entornos empresariales, desde INCIBE recomendamos incluir normas de uso de dispositivos móviles dentro de la estrategia de seguridad corporativa, controlar qué aplicaciones pueden instalarse en los dispositivos de la empresa y realizar auditorías y pruebas de seguridad en los móviles utilizados para trabajar.
¿Los españoles están suficientemente concienciados sobre los riesgos?
Aunque la concienciación sobre ciberseguridad ha aumentado en España y ha mejorado en los últimos años, aún es necesario seguir trabajando en la sensibilización de la población. En INCIBE tenemos un gran papel como referente nacional en ciberseguridad, proporcionando a las empresas herramientas y recursos para fortalecer su seguridad digital. A través de INCIBE-CERT, por ejemplo, ofrecemos servicios gratuitos, como alertas tempranas sobre amenazas cibernéticas y vulnerabilidades de seguridad, lo que permite a las empresas anticiparse a posibles ataques. Además, contamos con asesoramiento técnico especializado, brindando apoyo en la gestión de incidentes y en la identificación de riesgos específicos. A nivel de formación, ofrecemos programas educativos dirigidos a mejorar la conciencia y las habilidades de los empleados en relación con la ciberseguridad, formación que abarca desde conceptos básicos hasta estrategias avanzadas para proteger los sistemas y la información sensible. También realizamos distintas campañas de concienciación para sensibilizar a empresas y profesionales sobre los riesgos cibernéticos con el objetivo no solo de incrementar la preparación de las organizaciones ante posibles ataques, sino también de fomentar una cultura de seguridad que sea integral y sostenible, involucrando a todos los niveles de la empresa, desde la alta dirección hasta los empleados.
Y para toda la ciudadanía también impulsamos diversas campañas educativas y formativas como #ExperienciaINCIBE, con la que recorremos todas las provincias y ciudades autónomas de la geografía española con actividades lúdicas, minijuegos, escape rooms y píldoras formativas gratuitas y de acceso libre para acercar la ciberseguridad a toda la población. A pesar de estos esfuerzos, la formación sigue siendo clave para fortalecer la seguridad digital en España.
Generalmente las redes corporativas contemplan estas amenazas, pero específicamente para pymes/autónomos/profesionales ¿por dónde deben empezar?
A diferencia de las grandes empresas, que suelen contar con equipos de ciberseguridad especializados, pymes y autónomos suelen ser más vulnerables. Para protegerse, capacitarse en buenas prácticas es la mejor defensa, como pueden ser el uso de la autenticación de dos factores que agreguen una capa adicional de seguridad en accesos críticos, o implementar soluciones de seguridad móvil como antivirus o firewalls, o hacer copias de seguridad periódicas para evitar pérdidas de datos en caso de ataque o fallo del dispositivo. Pero, como ya hemos comentado, es importante comenzar por la formación y concienciación en ciberseguridad. Gran parte de los incidentes que comprometen la continuidad del negocio se debe a una falta de preparación en ciberseguridad de quienes manejan la tecnología a diario. Para hacer frente a esta necesidad, desde INCIBE contamos con un completo ‘kit de concienciación’ diseñado para pequeñas y medianas empresas, con el objetivo de capacitar a los empleados en el uso seguro de herramientas digitales y sin necesidad de conocimientos técnicos previos. Este kit ofrece recursos formativos y materiales de entrenamiento para fortalecer el conocimiento y prevenir posibles incidentes de ciberseguridad. Además, la Línea de Ayuda 017, brinda asistencia personalizada a quienes necesiten orientación en esta materia y cuenta con asesores expertos. Y como usuarios, debemos ser conscientes de los riesgos y mantenernos alerta: identificar intentos de fraude, seguir las recomendaciones de seguridad y adoptar buenos hábitos digitales, ya que nos ayudará a proteger nuestra información y la de nuestra empresa.
Red de datos, Wi-Fi, Bluetooth, GPS ¿Hasta qué punto ofrecen garantías?
Estas tecnologías son usadas a diario, pero si no se configuran adecuadamente presentan sus propios riesgos. Conectarse a redes Wi-Fi públicas o no seguras puede facilitar la interceptación de datos. Para ello, recomendamos evitar redes públicas sin cifrado, usar WPA3 para proteger redes privadas e implementar VPNs en conexiones no seguras. Mantener el bluetooth activado en lugares públicos, por ejemplo, puede exponer el dispositivo a ataques como el ‘bluesnarfing’, donde ciberdelincuentes roban información personal. Por lo que lo mejor es mantenerlo desactivarlo cuando no se use. Y respecto al GPS, aunque es muy útil, puede ser explotado para rastrear la ubicación del usuario o de la empresa si no se gestiona adecuadamente. Por tanto, es recomendable desactivar estas funciones cuando no se estén utilizando y configurar adecuadamente los dispositivos y los permisos en aplicaciones para minimizar riesgos.
Las técnicas de hackeo no dejan de innovar, por desgracia. Parece que lo último son los cables USB-C para ejecutar ataques de keylogging y robar información personal de los dispositivos. ¿Qué plazos de respuesta se tarda desde que aparece una nueva amenaza hasta que se identifican vulnerabilidades y se promueven soluciones?
El tiempo de respuesta ante una amenaza móvil depende de múltiples factores y varía en función de su complejidad y rapidez de detección. Desde INCIBE, a través de INCIBE-CERT (Equipo de Respuesta ante Emergencias Informáticas), trabajamos continuamente para identificar y mitigar nuevas amenazas, emitiendo avisos de seguridad en la web y en redes sociales (#INCIBEaviso) y promoviendo medidas preventivas y recomendaciones lo antes posible. No obstante, el tiempo exacto de reacción depende de la gravedad, del fabricante del sistema afectado, y de la naturaleza de la amenaza.
¿Qué agenda maneja INCIBE sobre esta materia en el curso 2025?
Desde INCIBE tenemos previstas varias acciones clave para apoyar a las empresas en el fortalecimiento de su ciberseguridad, entre ellas la ampliación de programas de formación y sensibilización en ciberseguridad, especialmente enfocados a pequeñas y medianas empresas. También se trabajará en la mejora de las capacidades de respuesta ante incidentes a través de la colaboración con sectores estratégicos y el fomento de una cultura de seguridad en todos los niveles de las organizaciones. Y por supuesto, seguiremos apoyando la investigación y desarrollo de tecnologías de vanguardia para anticiparse a nuevas amenazas y ofreciendo herramientas para la gestión de la ciberseguridad.
