Seguridad en Android: guía de hardening y configuración

La mayoría de las guías de “seguridad Android” son la misma lista de cinco consejos: actualiza, revisa permisos, instala un antivirus. Pero no es suficiente. Nosotros vamos al ajuste real y, sobre todo, a verificarlo: qué endurece de verdad el dispositivo, qué es teatro de seguridad, y cómo comprobar por adb y con herramientas open-source que tu configuración es real y no solo lo que dice la interfaz. Porque cifrar tus fotos con una app de terceros cuando el sistema ya cifra todo por defecto no te protege de nada: solo te hace sentir seguro.

Esta guía es de hardening OS-native: fortificar la seguridad en Android con los ajustes que ya trae el sistema, antes de que pase nada. No es una guía de qué hacer cuando ya te hackearon —eso es reacción, y lo tratamos en otros posts—; es la capa proactiva.

Y una advertencia de entrada que gobierna todo lo demás: la seguridad perfecta no existe.

El objetivo no es blindaje absoluto, sino subir el costo de atacarte hasta que no valga la pena. Empieza por saber de quién te proteges: no es lo mismo cerrarle la puerta al rastreo publicitario que a un adversario dirigido. La mayor parte de lo que sigue mueve la aguja para casi todo el mundo; señalamos cuándo un ajuste es placebo.

En resumen: reforzar la seguridad en Android es configurar el sistema antes de un incidente. Lo esencial: bloqueo fuerte y biometría, permisos al mínimo, Play Protect activo, cifrado FBE, control del sideloading, parches al día, el modo de Protección Avanzada y unos ajustes de red — y después, verificar por adb que todo aguanta en vez de fiarte de la interfaz.

Bloqueo de pantalla, biometría y controles de la pantalla de bloqueo

El acceso físico es la amenaza más evidente y la más subestimada. Sin un bloqueo decente, cualquiera que tome el equipo entra a fotos, mensajes y apps bancarias. El PIN corto y el patrón se espían por encima del hombro y dejan rastro de grasa en la pantalla; para algo que protege todo, una contraseña alfanumérica larga es la base. La biometría (huella o rostro) resuelve la comodidad del día a día sin bajar el listón, pero la huella y el rostro son un desbloqueo cómodo, no tu credencial de fondo.

En muchas jurisdicciones te pueden obligar a poner el dedo, mientras que entregar una contraseña es jurídicamente más difícil; y en gamas bajas o Android antiguos la implementación biométrica es más débil. Por eso Android distingue biometría fuerte de biometría débil: para operaciones sensibles y tras un reinicio, exige siempre la credencial de conocimiento (PIN/patrón/contraseña).

Aquí hay tres ajustes que la mayoría ignora y que sí endurecen:

• Notificaciones en la pantalla de bloqueo. Un código 2FA o un mensaje privado visible sin desbloquear es una fuga. En Ajustes → Notificaciones → Notificaciones en la pantalla de bloqueo, oculta el contenido sensible.
• Reinicio por inactividad. Un dispositivo que se reinicia solo tras un periodo prolongado sin uso vuelve al estado Before First Unlock, donde las claves de cifrado aún no están en memoria y los datos son mucho más difíciles de extraer. Android 16 o superior lo trae de serie en el modo de Protección Avanzada (más abajo), con un reinicio por inactividad de 72 h.
• Autoborrado tras intentos fallidos. En varios fabricantes puedes activar el borrado del dispositivo tras un número de intentos de desbloqueo erróneos. Es agresivo; actívalo solo si sabes lo que haces y tienes copia de seguridad.

El PIN o patrón básico como tal —cómo elegir un patrón que no se adivine— lo tratamos aparte en patrones de desbloqueo en Android.

Gestor de permisos y restricciones de aplicaciones

Aquí es donde se juega la privacidad real en el día a día. Una linterna que pide acceso a contactos, un juego que quiere el micrófono: cada permiso de más es una superficie de ataque. Android ha mejorado mucho el control, y conviene usarlo a fondo.

Ve a Ajustes → Privacidad → Gestor de permisos (o Ajustes → Aplicaciones → Permisos) y audita categoría por categoría —Ubicación, Cámara, Micrófono, Contactos, Almacenamiento— con una sola pregunta: ¿esta app necesita esto para funcionar? Si no hay respuesta, se revoca.

Las piezas del sistema que debes conocer, con su versión exacta:

• Permiso de un solo uso (“Solo esta vez”): desde Android 11, para ubicación, cámara y micrófono. Concede acceso puntual que caduca al salir de la app.
• Autoreinicio de permisos de apps sin uso: desde Android 11, el sistema revoca solo los permisos sensibles de las apps que llevas meses sin abrir. Google lo retroportó a versiones anteriores vía Play Services.
• Indicadores de cámara y micrófono: desde Android 12, el punto verde en la esquina superior avisa cuándo una app está usando cámara o micro. Si aparece y tú no estás usando nada, investiga.

Más allá de la cámara y el micro, vigila los permisos que de verdad dan control del dispositivo: Accesibilidad (una app con Accessibility puede leer y actuar sobre toda la pantalla —es el permiso favorito del malware bancario—), Administrador de dispositivo (Device Admin) y acceso a notificaciones. Concédelos con cuentagotas.

Android 13+ además bloquea por defecto la Accesibilidad a apps instaladas fuera de la tienda (Restricted settings): no lo desactives salvo que sepas exactamente por qué.

Para quien quiera ir más allá de la interfaz —revisar y ajustar permisos a nivel AppOps sin root— existen herramientas FOSS como App Manager y PermissionManager X. Les dedicaremos su propio análisis; por ahora quédate con que existen y con que la mayoría de usuarios no las necesita para un hardening sólido.

Google Play Protect: qué hace y dónde deja de cubrir

Play Protect es el análisis de malware integrado en Android: escanea las apps de la tienda y las que ya tienes. Activa el análisis y revisa el estado de Play Protect en Play Store → tu perfil → Play Protect.

Es una base útil y gratis, y hay que decir su rendimiento con datos, no con fe: en las pruebas de AV-TEST a Play Protect (2026) saca 5,5 sobre 6 en protección, mientras que casi todas las suites comerciales sacan 6/6. Es bueno, no perfecto, y esa diferencia de medio punto es coherente con su historia —en rondas antiguas quedaba por debajo de los antivirus de pago—.

Play Protect mira aplicaciones. No te cubre el phishing por SMS o correo, ni los sitios web maliciosos, ni los ataques en la red. Confiar en él como si fuera un escudo total es precisamente el tipo de falsa sensación de seguridad que esta guía quiere desarmar.

Si tu duda es si además necesitas un antivirus de terceros, esa discusión —y cuándo tiene sentido— la tenemos cubierta en ¿es necesario un antivirus en Android?.

Cifrado de datos en reposo: lo que ya tienes (y el teatro que no necesitas)

Este es el punto donde más humo se vende. Desde Android 10, todo dispositivo que sale de fábrica está obligado a usar cifrado basado en archivos (FBE), como recoge la documentación oficial de File-Based Encryption: los datos están cifrados en reposo y las claves están atadas al hardware seguro (TEE) y a tu credencial de bloqueo (PIN, patrón o contraseña).

Es decir: si tienes un bloqueo decente, tus datos ya están cifrados. No hay que “activar” nada en un equipo con Android 10 o superior; puedes confirmarlo en Ajustes → Seguridad → Cifrado y credenciales.

La consecuencia incómoda para la industria de apps de “bóveda”: si el dispositivo ya tiene FBE, una app de cifrado de terceros no añade criptografía al sistema. Lo que hace es aislamiento —una carpeta o app con su propia contraseña, separada del resto—, que puede ser útil para compartimentar, pero no es “más cifrado”.

Cifrar tus fotos con Folder Lock encima de FBE no las hace criptográficamente más seguras; te da una segunda cerradura sobre una puerta que ya estaba cerrada. Es criterio nuestro tras verlo en el lab: elige esas apps por el aislamiento, no porque prometan cifrado “militar”.

Dos matices reales: el almacenamiento externo (una tarjeta SD extraíble) sí es un caso aparte, porque se saca del equipo —ahí un cifrado específico de la tarjeta tiene sentido—; y el Espacio Privado que llegó en Android 15 es un contenedor aislado para apps y datos, no un cifrado extra: aísla, no re-cifra.

Fuentes desconocidas y sideloading

Instalar APKs de fuera de la tienda (sideloading) es una función legítima —así se instalan las mismas herramientas open-source que recomendamos—, pero es también el vector de malware número uno. El dato de Google es contundente: una app instalada fuera de Play Store es 50 veces más propensa a contener malware que una de la tienda, según el análisis de Google sobre apps fuera de Play Store.

El endurecimiento correcto para el uso general no es prohibirlo, es controlarlo: en Android moderno el permiso “instalar apps desconocidas” se concede por aplicación, no de forma global. Dáselo solo al navegador o al gestor de archivos concreto que uses para eso, y quítalo después.

Y una regla de higiene que refuerza todo lo anterior: no rootees ni instales ROMs no oficiales si no entiendes todas las consecuencias. El root rompe el modelo de seguridad de Android, corta las actualizaciones de seguridad del fabricante y deja el equipo mucho más expuesto —a menudo sin que lo notes—.

Si necesitas más control, hay caminos oficiales (opciones de desarrollador, los ajustes de esta misma guía) que no te quitan la protección. Cuando instales un APK legítimo, verificar qué trae dentro antes de ejecutarlo es parte del hardening; ese análisis lo cubrimos en el bloque de verificación avanzada.

Parches de seguridad y actualizaciones

Actualizar cierra vulnerabilidades ya conocidas: es lo más rentable que puedes hacer. Pero el hardening de verdad no es “dale a actualizar”, es saber leer tu estado. En Ajustes → Acerca del teléfono → Versión de Android tienes el nivel de parche de seguridad: una fecha (por ejemplo, 1 de junio de 2026) que indica hasta qué boletín mensual de Android está protegido tu equipo. Si esa fecha tiene muchos meses, estás expuesto a fallos que ya tienen corrección pública.

Distingue dos cosas que la gente confunde: el parche de seguridad (el boletín mensual de correcciones) no es lo mismo que una actualización de versión (features nuevas). Y el ritmo depende del fabricante: los Pixel de Google reciben parches el día que salen; Samsung mantiene un calendario mensual/trimestral amplio; muchos Xiaomi y gama baja se retrasan o dejan de recibirlos.

Si tu equipo ya no recibe parches, ninguna otra medida de esta guía compensa ese agujero: es la señal más clara de que toca plan de recambio. Activa las actualizaciones automáticas del sistema y de Play Store para no depender de tu memoria.

Protección Avanzada de Google (y no confundir dos cosas con el mismo nombre)

Google usa “Protección Avanzada” para dos cosas distintas, y mezclarlas lleva a error:

• El Programa de Protección Avanzada es a nivel de cuenta: pensado para perfiles de alto riesgo (periodistas, activistas, figuras públicas), blinda tu cuenta de Google con llaves de seguridad o passkeys y verificación reforzada. Protege tu cuenta, no tu dispositivo.
• El modo de Protección Avanzada es a nivel de dispositivo y se introdujo en Android 16 (y sigue presente en versiones posteriores). De un solo toque activa un paquete de defensas sobre todo el sistema: bloquea el sideloading (solo tiendas preinstaladas), pone el USB en “solo carga” cuando el equipo está bloqueado, desactiva las redes 2G e impide reconexiones a Wi-Fi inseguras, activa Memory Tagging (MTE) en equipos compatibles, fuerza HTTPS y desactiva optimizaciones de JavaScript en Chrome, suma protección antirrobo (bloqueo por robo, bloqueo sin conexión, reinicio por inactividad de 72 h) y refuerza el anti-spam en Teléfono y Mensajes.

Para un usuario técnico es la forma más rápida de subir varios peldaños de golpe. El trade-off es real —perderás sideloading directo y algo de comodidad de red—, así que actívalo entendiendo qué apagas. Si tu equipo es Android 16 o superior y no dependes de instalar APKs a diario, es de lo más rentable que puedes activar hoy.

Ajustes de red para el endurecimiento

La red es donde tu tráfico se filtra o se protege. Cuatro ajustes concretos:

• DNS privado (DoT, DNS-over-TLS). En Ajustes → Red e Internet → DNS privado puedes cifrar tus consultas DNS a nivel de sistema; el ajuste nativo de Android usa DoT (indicas el nombre de host del resolver). Es un cambio pequeño con impacto real contra el espionaje de a qué te conectas.
• Randomización de MAC. Android la trae por defecto por red Wi-Fi; verifica que esté en “MAC aleatoria” para que no te rastreen por hardware entre redes.
• Restricción de 2G. Las redes 2G son inseguras y son el terreno de los IMSI-catcher; desactivarlas (o usar el modo de Protección Avanzada, que lo hace) cierra esa puerta.
• Depuración USB. Si activaste las opciones de desarrollador para algo, revisa que la depuración USB quede apagada cuando no la uses: es un canal de acceso potente.

Para quien quiera control fino sin root —firewall por aplicación y DNS cifrado en una sola herramienta— hemos analizado RethinkDNS a fondo en RethinkDNS: firewall y DNS cifrado en Android. Y si lo tuyo es auditar qué rastreadores llevan tus apps, herramientas como TrackerControl o Exodus te lo muestran. El túnel VPN es otra capa —útil sobre todo en redes públicas y ajenas—, pero es un tema aparte: lo tratamos en nuestra guía de navegación anónima y VPN, no aquí.

Verificación avanzada del hardening: ADB y herramientas open-source

Aquí es donde la seguridad en Android deja de ser un acto de fe y se vuelve verificable. Configurar está bien; verificar que tu configuración es real y no solo lo que promete la interfaz es lo que separa la seguridad real del teatro. No te quedes con lo que muestra la pantalla de ajustes: audita por adb (Android Debug Bridge) lo que se puede consultar, compleméntalo con herramientas open-source y establece una línea base de forma preventiva, para poder comparar después.

No vamos a tutorializar cada herramienta —cada una tiene su guía dedicada—; el valor de este bloque es enrutarte a la correcta según lo que quieras verificar:

• Línea base y análisis forense proactivo (una foto del estado “sano” del equipo para detectar cambios): AndroidQF y MVT (Mobile Verification Toolkit).
• Auditoría y control por ADB (inspeccionar el dispositivo desde el ordenador o el navegador): ADB Toolkit, WebADB y scrcpy.
• Análisis de los APK que instalas (mirar dentro antes de ejecutar): APKHunt, APKDeepLens, Aparoid, Mobile-Audit, Quark-Engine y DroidDetective.

El enfoque es siempre proactivo: establecer la línea base y comprobar el endurecimiento antes del incidente. Cazar un spyware que ya está dentro es otra cosa —reacción, no fortificación—, y para eso están nuestras guías de detección.

Checklist de verificación (con comandos ADB reales)

Un orden rápido para confirmar tu estado de hardening. Los cinco primeros puntos se revisan desde la interfaz; los cuatro últimos usan adb como auto-auditoría —lectura, no cambios—: conecta el equipo con depuración USB activada solo mientras auditas y desactívala al terminar.

1. Bloqueo: contraseña alfanumérica + biometría; notificaciones sensibles ocultas en la pantalla de bloqueo.
2. Permisos: sin apps con Accesibilidad, Device Admin o acceso a notificaciones que no justifiquen esos permisos por su función.
3. Play Protect: activo y con certificación verificada.
4. Cifrado: estado “Cifrado” confirmado (FBE); recuerda que las apps de “bóveda” dan aislamiento, no cifrado extra.
5. Sideloading: permiso de “instalar apps desconocidas” concedido a cero apps (o solo a la que estés usando ahora).
6. Nivel de parche exacto: adb shell getprop ro.build.version.security_patch
7. Propietarios del dispositivo y políticas de administración activas (dpm list-owners lista los owners; dumpsys device_policy muestra los administradores y las políticas activos): adb shell dpm list-ownersadb shell dumpsys device_policy
8. Apps de terceros instaladas (revisa que reconozcas todas y localiza el identificador de paquete): adb shell pm list packages -3
9. Permisos concedidos a una app concreta (sustituye NOMBRE.DEL.PAQUETE por el identificador del punto anterior): adb shell dumpsys package NOMBRE.DEL.PAQUETE | grep "granted=true"

Si algún punto no coincide con lo que describe su sección, vuelve a ese bloque a revisar el ajuste o la concesión. Y si quieres convertir esto en una rutina forense seria, entra por AndroidQF o MVT desde el bloque anterior.

Preguntas frecuentes

Sigue endureciendo tu Android

Esta guía se queda en la fortificación previa: los ajustes que blindan el equipo antes de que pase nada. El resto del mapa de seguridad de tu móvil ya lo tenemos cubierto, así que vale la pena que sepas por dónde seguir según lo que necesites.

Si lo que buscas es el panorama general de buenas prácticas, empieza por nuestra guía para proteger los datos de tu teléfono. Cuando la duda es el malware —cómo reconocer un virus o cómo quitártelo de encima—, lo desarrollamos en qué son los virus en Android y cómo eliminar un virus del móvil.

Y si sospechas que la fortificación llegó tarde y alguien ya entró, esa es la otra cara del trabajo: aprende a leer las señales de un móvil hackeado, los códigos para saber si tu línea está intervenida, a detectar un programa espía o a reaccionar tras un robo.

Para el resto, tenemos una guía dedicada a los gestores de contraseñas —el patrón de bloqueo y la navegación anónima ya los enlazamos más arriba, en sus apartados—. Y si te interesa el porqué de fondo, compara el modelo de seguridad de ambas plataformas en Android frente a iOS o repasa cómo ha ido cambiando el sistema en la historia de versiones de Android.