Ataques Bluetooth: cuáles existen y cómo proteger tus dispositivos

Tener el Bluetooth encendido en un teléfono o una computadora con las actualizaciones al día no es peligroso en el uso normal. Los ataques Bluetooth con nombre propio que verás en este artículo (bluebugging, bluesnarfing, bluesmacking, car whispering) apuntaban sobre todo a teléfonos y accesorios de 2003 a 2005.

El riesgo real de hoy está en fallos concretos que los investigadores descubren cada pocos años y que se corrigen con actualizaciones, y sobre todo en los accesorios (auriculares, altavoces, el sistema del coche) que casi nunca se actualizan.

Cada ataque va con lo que permitía, si sigue siendo posible y cómo protegerte, y al final hay una lista de ajustes para revisar.

Lo esencial

• Los ataques Bluetooth clásicos (bluebugging, bluesnarfing, bluesmacking) aprovechaban fallos de teléfonos de 2003 a 2005; según el NIST, afectaban a «algunos dispositivos antiguos». El bluesmacking ni siquiera roba datos: solo bloquea el Bluetooth o el equipo.
• Los fallos de los últimos años (BlueBorne, KNOB, BIAS, BLUFFS, la inyección de teclas de 2023) se corrigieron con actualizaciones del sistema, aunque no llegaron a todas las versiones.
• El punto débil de hoy son los accesorios: en 2025 y 2026 se publicaron fallos en auriculares (chips Airoha, WhisperPair) y en sistemas de coche (PerfektBlue) que dependen de que cada marca saque una actualización. Casi todos exigen que el atacante esté a pocos metros.
• Lo que más protege: actualizar el teléfono y los accesorios, no dejar el equipo visible, rechazar emparejamientos que no esperabas y borrar los equipos que ya no usas.

Cómo funciona el Bluetooth: Classic, BLE y alcance

Bluetooth es una tecnología inalámbrica de corto alcance para intercambiar datos entre equipos fijos y móviles, y está en casi todo lo que usamos: auriculares inalámbricos, ratones y teclados, coches conectados, dispositivos del hogar inteligente y del internet de las cosas.

Trabaja en la banda ISM de 2,4 GHz: según el Bluetooth SIG, el consorcio que mantiene el estándar, usa las frecuencias de 2,402 a 2,480 GHz.

Desde la versión 4.0 conviven dos modos, según la guía de seguridad Bluetooth del NIST (SP 800-121):

• Bluetooth Classic (BR/EDR): el original. Es el que usan, por ejemplo, los auriculares para el audio.
• Bluetooth Low Energy (BLE): pensado para gastar poca batería. Lo usan relojes, pulseras, sensores y etiquetas de rastreo.

La mayoría de los equipos que se venden hoy admiten los dos, y un mismo teléfono puede usarlos a la vez: el NIST pone el ejemplo de un teléfono conectado a unos auriculares por Classic y, al mismo tiempo, a un sensor del coche por BLE.

¿Cuánto alcanza? Depende del equipo. El Bluetooth SIG lo resume así: de menos de un metro a más de un kilómetro.

Los teléfonos suelen ser de «clase 2»: según la tabla del NIST, transmiten con unos 2,5 mW y llegan hasta unos 10 metros. Por eso casi todos estos ataques exigen que el atacante esté cerca.

Roles. En cada conexión, un equipo hace de primario (el que controla la conexión) y otro de secundario; en BLE se llaman central y periférico. Los auriculares, por ejemplo, anuncian que están disponibles, y tu computadora los detecta y se empareja con ellos la primera vez; desde entonces se reconocen solos.

Tipos de ataques Bluetooth y cómo prevenir cada uno

Los ataques Bluetooth aprovechan fallos del firmware, del protocolo o del emparejamiento para robar datos, tomar el control de un equipo o dejarlo sin servicio, casi siempre desde pocos metros. La mayoría se corrige con actualizaciones del sistema o del firmware de los accesorios.

Bluebugging: control del teléfono con comandos ocultos

El bluebugging permitía controlar un teléfono a distancia, sin que su dueño lo supiera. Lo describió Martin Herfurt, del grupo de investigación trifinite, en 2004.

Según trifinite, el fallo dejaba enviar al teléfono comandos AT (las órdenes internas que usa un teléfono para llamar, enviar mensajes o leer la agenda) por un canal oculto, sin avisar al usuario.

Con esos comandos, un atacante cercano podía, según la página de trifinite:

• hacer llamadas, también a números de tarificación especial, o llamar para escuchar lo que pasaba cerca del teléfono;
• leer y enviar SMS;
• leer y modificar la agenda y el registro de llamadas;
• desviar las llamadas;
• conectar el teléfono a internet o cambiarle el operador de red.

El catálogo de amenazas móviles del NIST lo clasifica como una toma de control total del equipo, y su guía de seguridad Bluetooth lo atribuye a un fallo del firmware de «algunos dispositivos Bluetooth antiguos (hacia 2004)».

¿Cuántos teléfonos estaban afectados? Herfurt lo probó en la feria CeBIT de marzo de 2004: según trifinite, detectó unos 1.300 equipos Bluetooth y comprobó que unos 50 eran vulnerables. El grupo trifinite no publica la lista de modelos.

Distancia. Con la radio normal de un teléfono, trifinite calculaba unos 10-15 metros.

No es lo mismo que el bluesnarfing. Herfurt y Adam Laurie compararon sus hallazgos en abril de 2004 y vieron que eran fallos distintos: el bluesnarfing copia datos del teléfono, y el bluebugging toma el control de sus funciones.

¿Existe hoy? No en teléfonos actuales: el bluebugging dependía de un fallo de firmware de algunos teléfonos de esa época, que los fabricantes corrigieron. No encontramos casos documentados ni avisos de fabricantes posteriores a 2010 que lo muestren.

Los teléfonos actuales piden que confirmes cada emparejamiento: Apple, por ejemplo, indica en su guía de seguridad que todos los emparejamientos requieren una respuesta del usuario.

Cómo prevenir el bluebugging:

• Mantén el sistema actualizado. Un teléfono que ya no recibe parches de seguridad es el que queda expuesto.
• Revisa los ajustes de seguridad del Bluetooth y deja el teléfono en modo no visible, o apaga el Bluetooth si no usas accesorios. Es lo que recomendaba trifinite.
• Rechaza cualquier solicitud de emparejamiento que no esperabas.
• Borra de la lista los equipos emparejados que ya no usas.

Bluesmacking: el «ping de la muerte» del Bluetooth

El bluesmacking (o ataque BlueSmack) es una denegación de servicio: deja sin funcionar el Bluetooth del equipo, o el equipo entero, pero no roba datos. trifinite lo documentó en diciembre de 2004.

El bluesmacking aplica al Bluetooth la idea de un ataque de denegación de servicio: busca interrumpir el funcionamiento del equipo, aprovechando los límites de capacidad y de memoria típicos de muchos equipos Bluetooth.

El Bluetooth tiene una capa llamada L2CAP que incluye una «petición de eco», el equivalente a un ping en internet: un equipo manda un paquete y el otro lo devuelve para comprobar que hay conexión.

El bluesmacking envía peticiones de eco mucho más grandes de lo que el equipo atacado puede manejar. Es la misma idea que el antiguo «ping de la muerte» de las redes: un paquete demasiado grande que el sistema no sabe procesar y que lo hace fallar.

Según trifinite, muchos equipos de bolsillo iPaq de la época se bloqueaban al instante con paquetes de unos 600 bytes. Para otros equipos, la página dice solo que afecta a «algunos» dispositivos.

Tener el equipo en modo visible le pone las cosas más fáciles al atacante, que primero tiene que encontrarlo. Por eso el catálogo de patrones de ataque CAPEC de MITRE recomienda, contra el bluesmacking, apagar el Bluetooth cuando no se usa y dejarlo oculto o no detectable cuando se usa.

¿Qué tan grave es? Poco. Según el NIST, los ataques de denegación de servicio por Bluetooth pueden dejar inservible la interfaz Bluetooth o gastar la batería, pero «no son significativos» y, como exigen estar cerca, suelen evitarse simplemente alejándose del alcance. Por lo general, basta con reiniciar el equipo atacado.

Un bloqueo raro también puede servir para distraerte o para forzarte a volver a emparejar un accesorio, y así preparar un ataque más dañino: si te pasa, fíjate en qué emparejamiento aceptas después.

¿Existe hoy? Tal cual, no: el BlueSmack original era de equipos de 2004 y no encontramos un fallo moderno idéntico documentado. Después aparecieron familias de fallos que provocan bloqueos parecidos en chips Bluetooth actuales:

• SweynTooth (2020): doce fallos en chips de Bluetooth Low Energy de al menos siete fabricantes, publicados por investigadores de la Universidad de Tecnología y Diseño de Singapur. Según la alerta de CISA, afectaban a dispositivos del hogar inteligente, wearables y equipos médicos, y la mayoría provocaba caídas y bloqueos que obligaban a reiniciar el equipo. Los fabricantes de los chips publicaron parches.
• BrakTooth (2021): del mismo grupo, una familia de 16 fallos en el Bluetooth Classic de 13 chips de 11 fabricantes (entre ellos Espressif, Intel, Qualcomm y Texas Instruments). La mayoría provocaba bloqueos o reinicios de computadoras, teléfonos y accesorios de audio, y uno permitía ejecutar código en el chip ESP32. Espressif, Infineon y Bluetrum publicaron parches.

Cómo prevenir el bluesmacking:

• Mantén el sistema y el firmware de los accesorios actualizados: es lo que corrige los fallos de la pila Bluetooth.
• Deja el equipo en modo no visible, para que sea más difícil encontrarlo, y desactiva el Bluetooth en lugares públicos si no lo estás usando.
• Si el Bluetooth deja de responder sin motivo en un lugar con mucha gente, apágalo, aléjate y vuelve a encenderlo. Si el equipo se bloqueó, reinícialo.

Bluesnarfing: robo de datos en teléfonos antiguos

El bluesnarfing es el robo de datos (contactos, calendario, mensajes, correos o fotos) a través de Bluetooth sin permiso ni conocimiento del dueño. Lo describió Adam Laurie en 2003 y aprovechaba un fallo de firmware de teléfonos de esa época; el ataque era posible con el Bluetooth encendido y el teléfono en modo visible.

Según INCIBE, el riesgo aumenta si el Bluetooth está encendido, en modo visible y sin las actualizaciones de seguridad. En un teléfono actual haría falta un fallo concreto sin corregir.

Te explicamos cómo evitarlo, con los ajustes para iPhone, Android, Windows y Mac, en nuestro artículo sobre el bluesnarfing.

Bluejacking: mensajes no deseados, sin acceso a tus datos

El bluejacking es el envío de mensajes no pedidos a equipos cercanos.

Antes era una «tarjeta de presentación», un contacto en el que el propio atacante escribía el mensaje. Hoy lo más parecido es una imagen por AirDrop o Quick Share, o una ventana falsa para emparejar unos auriculares.

El contenido va de la publicidad a las fotos inapropiadas o los enlaces de phishing, y suele llegar en lugares públicos con mucha gente: bares, aeropuertos, centros comerciales.

No da acceso a tu equipo ni a tus datos. Según el catálogo de amenazas móviles del NIST, los mensajes no dañan el equipo por sí solos; el riesgo está en que te engañen para que respondas, aceptes algo o toques un enlace.

El origen, los casos recientes y los ajustes para evitarlo los cuenta nuestra guía del bluejacking.

Ataques a coches: del car whispering a PerfektBlue

El car whispering atacaba los kits manos libres de los coches que venían con una clave de emparejamiento estándar. Car Whisperer es una herramienta de prueba de concepto que publicó Martin Herfurt (trifinite) en 2005.

Según trifinite, muchos manos libres salían de fábrica con claves como «0000» o «1234», así que un atacante cercano podía emparejarse con ellos sin que nadie lo notara.

Una vez conectado al sistema de infoentretenimiento, según el NIST, el atacante podía enviar audio a los altavoces del coche o escuchar lo que captaba el micrófono del vehículo. El grupo trifinite pone el ejemplo de falsos avisos de tráfico, que pueden distraer al conductor.

¿Sigue siendo posible? Solo si el manos libres sigue usando una clave fija: desde Bluetooth 2.1, el emparejamiento seguro (Secure Simple Pairing) ya no usa PIN, según el NIST.

El caso actual es PerfektBlue. En julio de 2025, la empresa PCA Cyber Security publicó cuatro fallos en BlueSDK, una pila Bluetooth de la empresa OpenSynergy que usan sistemas de infoentretenimiento de coches. Los investigadores lo demostraron en unidades de Mercedes-Benz, Volkswagen y Skoda.

Encadenados, esos fallos permitían ejecutar código en el sistema del coche con, como mucho, un clic del usuario, aunque el atacante primero tenía que emparejarse con el coche.

OpenSynergy ya había terminado los parches en septiembre de 2024, antes de que se publicaran los fallos, y los entregó a sus clientes; que lleguen a cada coche depende de cada marca.

Cómo protegerte:

• Instala las actualizaciones del sistema del coche cuando el fabricante o el concesionario las ofrezca.
• Si tu manos libres tiene una clave predeterminada y te deja cambiarla, cámbiala por una única, y no aceptes en la pantalla del coche emparejamientos que no hayas iniciado tú.
• Si vendes el coche o devuelves uno de alquiler, borra tu teléfono de su lista.

Ataques a accesorios: auriculares y altavoces

En 2025 y 2026 se publicaron fallos en auriculares y altavoces, que casi nunca se actualizan.

Chips Airoha (2025). Investigadores de la empresa alemana ERNW encontraron que muchos auriculares y altavoces con chips del fabricante Airoha dejaban leer su memoria por Bluetooth sin emparejar, incluidas las claves de emparejamiento. Con ellas, un atacante podía hacerse pasar por los auriculares ante tu teléfono.

Airoha publicó el boletín de seguridad con tres CVE (CVE-2025-20700, CVE-2025-20701 y CVE-2025-20702), y marcas como Dell publicaron firmware corregido para sus auriculares en agosto de 2025.

WhisperPair (2026). Investigadores del grupo COSIC de la Universidad KU Leuven mostraron que muchos accesorios con Google Fast Pair aceptaban emparejarse aunque no estuvieran en modo de emparejamiento. Según BleepingComputer, un atacante situado a hasta 14 metros podía tomar el control de unos auriculares en segundos: subir el volumen, escuchar por el micrófono y, en algunos casos, rastrear al usuario.

Afecta a accesorios de marcas como Google, Jabra, JBL, Logitech, Marshall, Nothing, OnePlus, Sony, Soundcore y Xiaomi, y a usuarios de cualquier teléfono, iPhone incluido. Google le asignó el CVE-2025-36911. La corrección está en el accesorio: desactivar Fast Pair en el teléfono no lo evita.

Google declaró que no había visto «evidencia de explotación» fuera del laboratorio de los investigadores.

Cómo protegerte:

• Instala la app oficial de la marca de tus auriculares y revisa si hay actualizaciones de firmware.
• Borra del teléfono los accesorios que ya no usas.
• Si tus auriculares ya no reciben actualizaciones y te preocupa, apágalos cuando no los uses.

Ataques BLE: ponerse en medio de la conexión

Los ataques contra BLE buscan sobre todo ponerse en medio de la conexión entre dos equipos (lo que se llama ataque de intermediario o MITM) para leer o alterar lo que se envían.

Según el NIST, el punto débil más conocido es el emparejamiento «Just Works», el que no te pide comparar ningún número. Se usa en equipos sin pantalla ni teclado y no protege contra intermediarios.

El NIST añade que un atacante puede forzar a otro equipo a usar Just Works haciéndose pasar por un equipo sin pantalla, y recomienda no usarlo en BLE.

El investigador Damien Cauquil presentó en DEF CON 26 (2018) la herramienta Btlejack, que según su repositorio permite capturar, bloquear y tomar el control de conexiones BLE ya establecidas.

Con herramientas así quedan expuestos los equipos inteligentes, los wearables y los sensores del internet de las cosas. Eso sí, el autor de Btlejack indica que no consiguió secuestrar conexiones de BLE 5.

Otro caso de BLE, distinto de los ataques de intermediario, fueron las ventanas falsas de emparejamiento de 2023: alguien cercano llenaba la pantalla de los iPhone con avisos de accesorios que no existían. No daba acceso a datos, pero dejaba el teléfono casi inutilizable.

Cómo prevenir los ataques BLE:

• Actualiza el firmware de relojes, pulseras, cerraduras y sensores desde la app oficial del fabricante, y elige equipos certificados que usen versiones actuales del protocolo.
• Cuando puedas elegir, empareja con un método que te pida comparar o escribir un código.
• Empareja en un lugar tranquilo, no en medio de una multitud: el NIST recomienda hacerlo en un lugar donde nadie pueda observar ni escuchar el emparejamiento.
• Limita las conexiones BLE a los equipos que autorizaste, borra los que ya no uses y desactiva el Bluetooth cuando no lo necesites.

Blueprinting: identificar tu equipo por lo que anuncia

El blueprinting no es un ataque en sí, sino un reconocimiento (el footprinting del Bluetooth): averiguar el fabricante y el modelo de un equipo por lo que anuncia por Bluetooth. Lo presentaron Collin Mulliner y Martin Herfurt (trifinite) en el congreso 21C3 de Berlín, en diciembre de 2004.

Según trifinite, se apoya en dos datos:

• La dirección Bluetooth: en las direcciones públicas, los tres primeros bytes identifican al fabricante del chip.
• Los servicios que anuncia el equipo: combinados, forman una «huella» que apunta a un modelo concreto y, a veces, a su versión de firmware.

El grupo trifinite lo presentaba como una forma de sacar estadísticas de fabricantes y de encontrar equipos cercanos con fallos de seguridad conocidos. Esta identificación suele ser el primer paso de un ataque: le permite al atacante elegir las herramientas y técnicas que encajan con el modelo que encontró.

En nuestro laboratorio probamos la parte más básica, encontrar equipos cercanos, sin conectarnos a nada. Usamos blueutil, una utilidad de línea de comandos para el Bluetooth de macOS.

Un escaneo de 15 segundos encontró un solo dispositivo visible a nuestro alrededor. La herramienta no mostraba su nombre, solo su dirección Bluetooth.

BLE complica parte de este rastreo: según el NIST, desde la versión 4.0 un equipo BLE puede usar direcciones privadas que cambian cada cierto tiempo, para que no se pueda seguir su ubicación. Apple indica en su guía de seguridad que sus equipos cambian con frecuencia esa dirección.

Cómo prevenir el blueprinting:

• Deja el equipo en modo no visible salvo cuando estés emparejando.
• Cambia el nombre Bluetooth por uno que no diga tu nombre ni el modelo exacto, como pide el NIST.

Vulnerabilidades de Bluetooth en equipos modernos

A diferencia de los ataques clásicos (bluebugging, bluesnarfing, bluesmacking y car whispering), que apuntaban a equipos de 2003 a 2005, estos fallos alcanzaron a teléfonos y computadoras modernos y se corrigieron con actualizaciones del sistema, aunque no en todas las versiones.

• BlueBorne (2017): fallos publicados por Armis en Android, Windows, Linux e iOS antiguos; algunos permitían ejecutar código sin emparejar. Google lo corrigió en septiembre de 2017, Amazon actualizó sus altavoces Echo y Apple ya lo había corregido en iOS 10.
• KNOB (2019): obligaba a dos equipos a acordar una clave de cifrado muy corta, fácil de romper; el Bluetooth SIG pasó a exigir una clave mínima de 7 bytes en Bluetooth Classic.
• BIAS (2020): permitía hacerse pasar por un equipo ya emparejado. Por sí solo no roba datos, pero combinado con KNOB sí.
• BLUFFS (2023): forzaba claves de sesión débiles y las reutilizaba para descifrar conexiones grabadas antes; según el Bluetooth SIG, afecta a Bluetooth 4.2 a 5.4.
• Inyección de teclas (2023, CVE-2023-45866): Marc Newlin (SkySafe) mostró que podía hacer que Android, Linux, macOS e iOS aceptaran un teclado Bluetooth falso sin confirmación y escribir órdenes en el equipo. Google lo corrigió en el parche de seguridad de diciembre de 2023 para Android 11 a 14; según The Register, no hay corrección para Android 10 o anterior. En macOS e iOS hacía falta que el Bluetooth estuviera activado y que el equipo tuviera emparejado un Magic Keyboard. Apple lo corrigió en macOS Sonoma 14.2 y en iOS 17.2.

Cada uno de estos fallos tiene uno o varios identificadores CVE (BlueBorne, por ejemplo, agrupa ocho). Si no sabes qué es, te lo explicamos en nuestra guía sobre qué es una CVE.

Seguridad del Bluetooth: cómo proteger tus dispositivos

Estas medidas cubren casi todos los ataques Bluetooth de este artículo, están ordenadas de más a menos importante y se basan en las recomendaciones de INCIBE y de la guía SP 800-121 del NIST.

1. Actualiza el sistema y los accesorios. Los fallos recientes se corrigieron con parches, salvo en versiones que ya no reciben soporte, como Android 10 o anterior.

Instala las actualizaciones del teléfono y la computadora en cuanto salgan, y revisa el firmware de auriculares, relojes, altavoces y el sistema del coche en la app oficial de su marca.

Cuando compres un equipo, elige uno con una versión reciente de Bluetooth y fíjate en cuántos años de actualizaciones promete el fabricante.

2. Enciende el Bluetooth solo cuando lo uses. Es lo que recomiendan INCIBE y el NIST, y además ahorras batería. Que el Bluetooth busque y detecte por sí solo los equipos cercanos es cómodo, pero también deja tu equipo más expuesto.

Muchas aplicaciones de automatización apagan el Bluetooth cuando te alejas de un lugar o te desconectas de un equipo.

En iPhone, apagar el Bluetooth desde el Centro de control no lo apaga del todo: solo desconecta los accesorios. Para apagarlo por completo, hazlo desde Ajustes, como explica Apple en su página de soporte.

3. Deja tu equipo no visible. Así no aparece cuando alguien busca equipos cercanos. Lo ideal es que esté oculto por defecto y solo se haga visible para emparejar.

En iPhone y Mac, el equipo solo es visible mientras tienes abierta la pantalla de ajustes de Bluetooth, así que ciérrala al terminar de emparejar.

Lo dicen los propios ajustes: en iPhone aparece el aviso «Este iPhone estará visible como […] mientras la configuración de Bluetooth esté abierta», y en Mac, «Esta Mac estará visible como […] mientras la configuración de Bluetooth esté abierta».

En un Mac también puedes consultarlo desde la Terminal con system_profiler SPBluetoothDataType. El comando muestra el chip Bluetooth, la versión de su firmware y los servicios que admite (manos libres, audio, teclados y ratones, entre otros), y también la línea «Discoverable», que indica si el Mac es visible. En nuestra prueba decía «Discoverable: Off».

4. Conéctate solo con equipos conocidos. Rechaza cualquier solicitud de emparejamiento, archivo o contacto que no esperabas.

Los equipos actuales suelen pedir tu confirmación para cada emparejamiento nuevo, y Apple la exige siempre; los que ya están emparejados se reconectan solos. Si al emparejar te aparece un código en las dos pantallas, compruébalo antes de aceptar.

5. Borra los equipos que ya no usas. También los que no reconoces. Y si pierdes un accesorio o te lo roban, bórralo de inmediato de todos tus equipos: así nadie podrá usarlo para conectarse a ellos.
6. Cambia el nombre Bluetooth. Si tu equipo se llama «iPhone de María» o lleva el modelo exacto, cualquiera que esté cerca puede verlo mientras tu equipo está visible. Pon un nombre que no te identifique.
7. Cambia las claves predeterminadas. Si un equipo todavía usa PIN, como algunos manos libres antiguos, y te deja cambiarlo, pon uno largo y único.

Si te interesa ver qué redes Wi-Fi y equipos Bluetooth hay a tu alrededor desde Linux, te lo enseñamos en nuestra guía de Sparrow-wifi.

Si notas cosas raras en tu teléfono que no tienen que ver con el Bluetooth, revisa las señales de que tu teléfono está hackeado.

Preguntas frecuentes sobre ataques Bluetooth