- Aumento explosivo de los troyanos bancarios en Android, con cientos de miles de APK maliciosos y nuevas familias activas.
- Los ataques se centran en robar credenciales y vaciar cuentas usando accesibilidad, superposición de pantalla y control remoto.
- Las campañas afectan también a Europa y España, incluso a través de apps de Google Play y móviles baratos ya infectados.
- Actualizar el sistema, limitar las descargas, vigilar permisos y usar seguridad especializada reduce notablemente el riesgo.
El teléfono móvil se ha convertido en la cartera, el banco y hasta el llavero digital de millones de personas. Esa comodidad tiene un precio: los troyanos bancarios dirigidos a smartphones Android viven su momento de mayor actividad y sofisticación, con campañas que se extienden por todo el mundo y tienen a Europa y España entre sus objetivos prioritarios.
Un año de récord para los troyanos bancarios en Android
Según el informe “Mobile malware evolution” de Kaspersky, durante 2025 los ciberataques contra smartphones Android para robar datos bancarios crecieron un 56 % respecto al año anterior. El objetivo principal son las aplicaciones de banca online, pasarelas de pago y servicios de tarjeta, que concentran buena parte de las transacciones cotidianas en España y el resto de Europa.
El estudio cifra en 255.090 los paquetes de instalación únicos (APK) de troyanos bancarios detectados para Android, un aumento interanual del 271 %. Esta avalancha de muestras nuevas complica la labor de los sistemas de defensa tradicionales, que basan buena parte de su eficacia en reconocer firmas de malware ya conocidas.
En este escenario destacan familias especialmente activas, como Mamont, Creduz, Vultur o Anatsa/TeaBot, diseñadas para hacerse con el control del dispositivo y capturar todo lo que ocurre en pantalla. Muchas de estas variantes incorporan técnicas avanzadas de geolocalización y activación selectiva por país, de forma que solo se encienden cuando el móvil se encuentra en territorios donde operan los bancos y servicios que tienen en su lista de objetivos.
Los informes de investigación apuntan además a campañas específicas en la región europea, con troyanos como DroidBot centrados en entidades de la zona euro y operativas de fraude que aprovechan horarios nocturnos o festivos para pasar desapercibidas.
Cómo funciona un troyano bancario en tu smartphone
Los troyanos bancarios actuales poco tienen que ver con los virus tradicionales que borraban archivos o ralentizaban el ordenador. Ahora hablamos de malware silencioso que se apoya en los Servicios de Accesibilidad de Android y en la capacidad de superponer elementos en pantalla para obtener un control casi total del dispositivo sin levantar sospechas.
Variantes como TeaBot o Vultur “ven” todo lo que haces al activar funciones pensadas originalmente para usuarios con discapacidad visual. El troyano puede grabar la pantalla, registrar pulsaciones de teclado, leer notificaciones y, en muchos casos, interceptar códigos de verificación enviados por SMS. Cuando abres la app de tu banco, el malware puede colocar una capa invisible que captura tu usuario y contraseña antes incluso de que lleguen al servidor de la entidad.
La potencia del hardware moderno juega en contra del usuario: procesadores de gama alta y pantallas de 120 Hz permiten que todo este espionaje se ejecute sin lag ni fallos visibles. El teléfono funciona con normalidad, la batería no se dispara de forma escandalosa y el dueño no nota nada raro hasta que ve movimientos desconocidos en su cuenta bancaria.
Otro detalle preocupante es el carácter polimórfico de muchas de estas amenazas: el código cambia ligeramente en cada descarga, dificultando su detección por soluciones basadas únicamente en firmas. Algunas muestras, además, permanecen inactivas cuando detectan que se están analizando en un entorno de laboratorio, lo que retrasa aún más su identificación.
Del dropper a la retirada: por qué algunas apps maliciosas pasan el filtro
Una de las tácticas más repetidas en los ataques actuales consiste en usar aplicaciones “dropper” subidas limpias a Google Play. Estas apps, en apariencia inofensivas (como editores de fotos, juegos casuales o herramientas de productividad), superan las revisiones iniciales. Una vez instaladas en el móvil, esperan unos días y, cuando el usuario ha bajado la guardia, descargan desde un servidor remoto el módulo del troyano bancario.
Durante 2025, diferentes análisis documentaron cientos de miles de nuevas amenazas móviles, con especial protagonismo de este tipo de mecanismos de infección en dos fases. A raíz de ello, Google reforzó los controles de Google Play Protect y llegó a eliminar decenas de aplicaciones maliciosas que acumulaban millones de descargas en todo el mundo.
El problema es que muchas de esas herramientas ya habían infectado a un número considerable de usuarios antes de ser retiradas. Algunas campañas se dirigieron también a Europa, aprovechando la confianza de los usuarios en que, si una app está en la tienda oficial, es segura por definición. Los delincuentes explotan precisamente esa percepción de legitimidad para extender sus troyanos bancarios.
En paralelo, continúan circulando APKs descargados desde webs de terceros, tiendas alternativas o enlaces en redes sociales, donde el control es prácticamente nulo. En esos casos, el usuario renuncia por completo a las comprobaciones que hace la tienda oficial y aumenta de forma drástica la probabilidad de acabar con un troyano instalado.
Dispositivos nuevos que ya llegan infectados
Más allá de las aplicaciones, algunos informes recientes señalan un fenómeno especialmente inquietante: la venta de teléfonos Android de bajo coste que llegan al mercado con puertas traseras preinstaladas en el propio firmware. Se han documentado casos de troyanos como Triada o Keenadu integrados de fábrica, sin intervención del usuario.
En estos escenarios, el comprador estrena un móvil aparentemente normal, pero en realidad el dispositivo ya está bajo el control potencial de los atacantes desde el primer encendido. Estas puertas traseras permiten ejecutar código remoto, instalar aplicaciones adicionales, interceptar contraseñas, leer SMS y redirigir tráfico sin que el usuario vea ninguna app sospechosa en el listado.
Eliminar este tipo de malware resulta muy complicado, ya que forma parte del sistema. Un restablecimiento a valores de fábrica no siempre soluciona el problema, y en muchos casos la única salida real pasa por reempaquetar el firmware con ayuda del fabricante o, directamente, sustituir el dispositivo por un modelo de un proveedor fiable.
Para los usuarios europeos, esta situación supone un riesgo añadido cuando se adquieren teléfonos en mercados paralelos, importaciones sin control o canales no oficiales, donde las garantías y auditorías de seguridad son mucho más laxas.
Campañas y técnicas de ataque que afectan a Europa y España
Los informes de ciberseguridad recogen varias campañas específicas dirigidas a usuarios de bancos europeos. Además de los troyanos clásicos centrados en el robo de credenciales, han proliferado amenazas que explotan tecnologías de uso cotidiano, como NFC para pagos sin contacto.
Se han detectado aplicaciones que piden al usuario acercar la tarjeta bancaria al teléfono supuestamente para “verificarla”. Detrás, el software copia los datos de la tarjeta y los transmite a servidores controlados por los atacantes. Solo en un país se contabilizaron decenas de miles de intentos de ataque mediante este método en 2025, una cifra que da una idea de la escala del problema.
En paralelo, otros troyanos bancarios se camuflan como apps financieras falsas, herramientas de gestión de gastos o conversores de divisas que imitan las interfaces de bancos reales. El objetivo es convencer al usuario de introducir sus datos de acceso en un entorno completamente controlado por el delincuente. Una vez obtenidas las credenciales, el fraude puede realizarse desde otro dispositivo, a veces desde países distintos para dificultar la trazabilidad.
También se ha observado un crecimiento de botnets móviles, redes de terminales Android infectados que se utilizan para operaciones masivas de fraude. Este tipo de infraestructuras permiten, entre otras cosas, automatizar el acceso a cuentas bancarias comprometidas, distribuir nuevas muestras de malware o lanzar ataques coordinados contra sistemas de verificación.
Más allá de la banca: espía en el bolsillo y fraude continuo
Aunque el objetivo principal de estos troyanos es el dinero, su alcance va mucho más allá de la cuenta corriente. Numerosas muestras incorporan funciones de espionaje similares a las de un software espía clásico: pueden acceder a la cámara, al micrófono, al historial de llamadas o a la ubicación del dispositivo en tiempo real.
Algunos códigos maliciosos, como ClayRat, se han distribuido a través de aplicaciones de mensajería no oficiales, capaces de leer conversaciones, grabar audio y activar la cámara sin que el usuario lo note. Con esa información, los atacantes pueden complementar el fraude bancario con chantaje, suplantación de identidad o venta de datos en foros clandestinos.
Otros, como Harly, se ocultan en juegos casuales o apps de personalización y se especializan en suscribir al usuario a servicios de pago sin consentimiento. Aunque el importe unitario sea pequeño, la suma de cargos recurrentes puede convertirse en un goteo constante difícil de detectar si no se revisan los extractos con regularidad.
La combinación de robo bancario directo, suscripciones fantasma y recolección de datos personales convierte al smartphone Android en una pieza central para el cibercrimen organizado, que explota todas las vías posibles de monetización.
Por qué los Android son un objetivo tan atractivo
Android domina el mercado de los smartphones en Europa y España, lo que lo convierte, por pura estadística, en el objetivo preferente de quienes buscan maximizar el alcance de sus troyanos bancarios. A ello se suma la gran fragmentación del ecosistema, con fabricantes que tardan en desplegar parches o dejan de actualizar modelos relativamente recientes.
Los expertos señalan que los dispositivos que ya no reciben actualizaciones de seguridad mensuales son los más vulnerables, especialmente en la gama media y baja. Esta realidad deja una base enorme de terminales potencialmente expuestos, muchos de ellos utilizados para operar cuentas bancarias, autenticar transacciones o custodiar monederos de criptomonedas.
Otro factor clave es la posibilidad de instalar APK desde fuentes externas, muy extendida entre usuarios avanzados y en mercados donde abundan repositorios alternativos. Esta flexibilidad, bien gestionada, puede ser útil; mal utilizada, se convierte en la principal puerta de entrada para aplicaciones bancarias falsas y módulos maliciosos que nunca pasarían un control riguroso.
La confianza casi ciega que muchos usuarios depositan en el móvil tampoco ayuda. En un solo dispositivo convergen banca, correo electrónico, mensajería y doble factor de autenticación, de modo que, si el troyano consigue colarse en ese punto, dispone de todo lo necesario para completar el fraude sin necesidad de comprometer otros equipos.
Señales de alerta: cómo detectar un posible troyano bancario
Aunque el objetivo de estos ataques es pasar desapercibidos, hay algunos indicios que pueden delatar la presencia de un troyano bancario en Android. Los especialistas aconsejan prestar atención a ciertos detalles en el día a día.
Una pista frecuente es la aparición de pequeños parpadeos o cambios extraños en la pantalla al abrir aplicaciones bancarias o de pago. También puede haber picos inusuales en el consumo de datos cuando el móvil está en reposo, o la activación de los Servicios de Accesibilidad en apps que, en principio, no necesitan ese tipo de permisos.
Otro síntoma preocupante es recibir notificaciones de intentos de inicio de sesión que no reconoces, correos de restablecimiento de contraseña inesperados o SMS con códigos de verificación que no has solicitado. En estos casos, conviene revisar de inmediato los dispositivos vinculados a las cuentas y, si es posible, desconectar sesiones activas.
Si el móvil muestra un comportamiento errático, aparecen aplicaciones desconocidas o se detectan cargos extraños en la cuenta bancaria, lo prudente es actuar como si hubiera un compromiso de seguridad: cambiar contraseñas desde un equipo de confianza, consultar con la entidad financiera y valorar un análisis completo del teléfono.
Medidas prácticas para reducir el riesgo en tu Android
Los expertos en ciberseguridad coinciden en que, aunque el riesgo no puede eliminarse por completo, la mayoría de los ataques de troyanos bancarios a Android se puede evitar siguiendo unas pautas básicas de higiene digital.
En primer lugar, es fundamental mantener el sistema operativo y las aplicaciones siempre actualizados. Muchos troyanos aprovechan vulnerabilidades conocidas para las que ya existen parches, pero que siguen siendo explotables porque el usuario pospone las actualizaciones indefinidamente.
También se recomienda restringir al máximo la instalación de apps a las tiendas oficiales, como Google Play, y evitar la descarga de archivos APK desde enlaces compartidos por mensajería, redes sociales o páginas de procedencia dudosa. Aunque la tienda oficial no es infalible, el riesgo es considerablemente menor que en canales no verificados.
Antes de instalar cualquier aplicación, conviene revisar con calma los permisos que solicita y desconfiar de aquellas que piden acceso a funciones que no necesitan para su funcionamiento. Del mismo modo, es útil leer opiniones recientes y valorar si hay comentarios que mencionen comportamientos extraños o sospechosos.
Por último, las firmas de seguridad recomiendan utilizar soluciones de protección específicas para Android, capaces de analizar en tiempo real las aplicaciones y bloquear comportamientos típicos de troyanos bancarios, como la superposición maliciosa de pantalla o el uso indebido de los Servicios de Accesibilidad.
Qué hacer si sospechas que tu móvil está comprometido
Si hay indicios razonables de que el smartphone Android puede estar infectado por un troyano bancario, los especialistas aconsejan actuar con rapidez, pero sin precipitarse. Lo primero es desconectar el dispositivo de redes Wi‑Fi y de datos móviles cuando sea posible, para cortar la comunicación con los servidores de control de los atacantes.
Desde un dispositivo alternativo de confianza (otro móvil, un ordenador), es recomendable cambiar las contraseñas de las apps bancarias, del correo y de los servicios clave, así como revocar accesos y sesiones activas. Si el banco ofrece notificaciones en tiempo real de movimientos y límites de operación, merece la pena revisarlos y, si es necesario, ajustarlos a la baja temporalmente.
En el propio Android, un paso adicional consiste en comprobar qué aplicaciones disponen de permisos de accesibilidad o de administrador del dispositivo y revocarlos en aquellas que no sean esenciales. Después, puede ejecutarse un análisis con una herramienta de seguridad fiable para intentar identificar la amenaza.
Si el comportamiento sospechoso se mantiene, muchos expertos recomiendan realizar un restablecimiento de fábrica tras hacer copia de seguridad de fotos y documentos importantes. En los casos más extremos, donde existan evidencias de puertas traseras en el firmware o el teléfono proceda de un canal dudoso, puede ser más seguro dejar de utilizar ese dispositivo para operaciones financieras.
El aumento explosivo de los ataques de troyanos bancarios a smartphones Android muestra hasta qué punto el móvil se ha convertido en la pieza central de nuestra vida digital y en un objetivo prioritario para el cibercrimen. Con un ecosistema fragmentado, millones de dispositivos sin parches al día y técnicas cada vez más sofisticadas para colarse en el sistema y pasar inadvertidos, la mejor defensa pasa por combinar tecnología de seguridad, hábitos prudentes y cierta desconfianza sana al instalar aplicaciones o conceder permisos. No se trata de vivir con miedo, sino de ser consciente de que en ese pequeño aparato en el bolsillo viaja también buena parte de nuestro dinero e identidad, y actuar en consecuencia.
