Bluejacking: qué es, si es peligroso y cómo evitarlo

Estás en el metro, en un concierto o en la fila del banco y, de pronto, en tu teléfono aparece una imagen que no pediste, un mensaje de alguien que no conoces o una ventana que te invita a «conectar» unos auriculares que no son tuyos. A eso, con matices, se le llama bluejacking.

Lo esencial

• El bluejacking es enviar mensajes o archivos no pedidos a un dispositivo cercano por Bluetooth. No da acceso a tus datos.
• Hoy se ve sobre todo como imágenes no pedidas por AirDrop o Quick Share y como ventanas falsas de emparejamiento.
• Nada llega a tu galería si no tocas «Aceptar».
• En Inglaterra y Gales, mandar fotos de genitales para alarmar o humillar es delito desde 2024; en España puede encajar en el Código Penal.
• Para protegerte: recibe solo de contactos, no dejes abierta la pantalla de Bluetooth y apaga los avisos de emparejamiento rápido en Windows y Android.

Qué es el bluejacking y de dónde viene el término

El bluejacking es el envío de mensajes no solicitados a un teléfono, una tableta o una computadora cercanos a través de Bluetooth. Quien lo hace no entra en tu equipo ni lee tus datos: solo consigue que aparezca algo en tu pantalla, que puedes aceptar o rechazar.

El Catálogo de Amenazas Móviles del NIST lo resume así: los mensajes pueden llegar «sin emparejamiento ni autenticación previa» y no dañan el dispositivo por sí mismos, aunque pueden servir para engañar a quien los acepta.

El primer caso que se cuenta viene de Malasia. Un consultor informático que firmaba como «Ajack» en un foro de teléfonos móviles relató que, aburrido en la fila de un banco, buscó dispositivos Bluetooth cercanos, encontró un Nokia 7650 y le envió desde su Ericsson una tarjeta de contacto con el nombre «Buy Ericsson!».

El dueño del Nokia sacó el teléfono y se quedó mirando la pantalla, según la historia que el propio Ajack contó al medio sudafricano ITWeb en noviembre de 2003; el hilo original del foro no se conserva.

El término «bluejacking» mezcla «Bluetooth» y «hijacking» (secuestro).

Bluejacking y bluesnarfing no son lo mismo, aunque los nombres se parezcan y se confundan a menudo.

En el bluejacking alguien te manda algo que no pediste; en el bluesnarfing alguien saca información de tu equipo sin permiso, como contactos, mensajes o fotos, aprovechando un fallo de algunos teléfonos. El primero es molesto; el segundo es robo de datos y pide otras defensas.

Cómo funcionaba en los teléfonos de 2003

Aquellos teléfonos podían quedar visibles por Bluetooth todo el tiempo y usaban un protocolo llamado OBEX (Object Exchange) para pasarse tarjetas de contacto (vCard), citas o notas. El atacante buscaba los teléfonos que aparecían a su alrededor y les enviaba una tarjeta.

El campo de nombre admitía texto libre: si en lugar de un nombre escribías una frase, el otro teléfono la mostraba como si fuera un mensaje, junto a la pregunta de si quería guardar el contacto. Bastaba con que el teléfono de la víctima estuviera cerca y con el Bluetooth en modo visible.

No había ningún fallo de seguridad de por medio: era un uso molesto de una función normal. El receptor podía leer el mensaje, ignorarlo o borrarlo, sin que nadie tocara su agenda ni sus archivos; si aceptaba la tarjeta, solo se guardaba un contacto.

Así lo explicaban ya en 2003 Ajack y Nick Hunn, director de TDK Systems, a ITWeb.

¿Funciona hoy ese truco en un iPhone o un Android actualizado? En la práctica, casi no. Los teléfonos actuales ya no quedan visibles todo el tiempo: en nuestro iPhone, la pantalla de Bluetooth en Ajustes avisa de que el teléfono estará visible mientras esa pantalla siga abierta.

Y cualquier archivo que llegue por Bluetooth o por las funciones para compartir necesita que lo aceptes, y el sistema muestra el nombre del equipo que lo envía.

Cómo se ve hoy: AirDrop, Quick Share y ventanas falsas por Bluetooth

El bluejacking de tarjetas de contacto prácticamente desapareció, pero la idea sigue viva con otras herramientas: las funciones para compartir archivos con quien tienes cerca y los avisos de emparejamiento que muestran los teléfonos.

Imágenes no pedidas por AirDrop o Quick Share

AirDrop (en iPhone, iPad y Mac) y Quick Share (en Android y Windows) sirven para pasar fotos y archivos entre equipos cercanos. Si tu teléfono acepta solicitudes de cualquiera, un desconocido puede ver el nombre de tu equipo y mandarte una solicitud con vista previa.

Cuando lo enviado es una imagen sexual, se llama cyberflashing y es acoso.

En España hay casos contados en primera persona:

• En junio de 2023, El Confidencial publicó el caso de una madrileña que recibió por AirDrop una imagen sexual no pedida en el metro.
• En octubre de 2023, la exconcejala de Movilidad de Barcelona Mercedes Vidal denunció en X que había recibido solicitudes de AirDrop de hombres desconocidos en el metro, según contó El Periódico.

Los fabricantes han ido cerrando la puerta. Desde iOS 16.2, la opción de AirDrop para recibir de cualquiera dura diez minutos y vuelve sola a «Sólo contactos» pasado ese tiempo, o a no recibir si no tienes sesión iniciada en tu cuenta de Apple, según la página de Apple Cómo usar AirDrop en el iPhone y iPad.

Las tres opciones se llaman No recibir, Sólo contactos y Todos por 10 minutos.

Desde iOS 26.2 y macOS 26.2, Apple añadió además un código de un solo uso para quien no está en tus contactos: el remitente tiene que pedírtelo y tú se lo dices.

Así, un desconocido puede mandarte la solicitud, pero el envío no se completa sin ese código, según Apple.

En nuestro iPhone y en nuestro Mac aparece así: «Las personas con las que hayas compartido un código de un solo uso podrán encontrarte durante 30 días».

Quick Share funciona parecido: las opciones son «Tus dispositivos», «Contactos» y «Todos durante 10 minutos», y cualquier envío de otra persona muestra el nombre del equipo que lo envía y de qué archivo se trata antes de que toques «Aceptar» o «Rechazar», según la ayuda de Google.

Ventanas falsas de emparejamiento por Bluetooth Low Energy

En 2023 apareció una variante más ruidosa. Con un Flipper Zero, un pequeño dispositivo de pruebas de radio, y un firmware no oficial, alguien cercano podía llenar de ventanas emergentes cualquier iPhone de alrededor. Las ventanas pedían conectar unos AirPods, una Apple TV u otros accesorios que no existían.

No se informó de acceso a datos, pero el teléfono se volvía casi inutilizable por la cantidad de avisos y, en algunos casos, llegaba a reiniciarse.

El investigador Jeroen van der Ham sufrió el ataque en un tren en Países Bajos, según contó TechSpot en noviembre de 2023.

Las ventanas falsas usan Bluetooth Low Energy (BLE), la versión de bajo consumo con la que los accesorios se anuncian: un aparato imita a unos auriculares y el teléfono muestra la ventana de emparejamiento.

El ataque funcionaba aunque se apagara Bluetooth desde el Centro de control, porque ese botón solo lo desconecta a medias; si se apagaba en Ajustes, las ventanas dejaban de llegar.

Poco después la técnica llegó a Android y Windows, que muestran avisos parecidos al detectar accesorios cercanos: Fast Pair (Emparejamiento rápido) en Android y Swift Pair en Windows. Según Bitdefender, también aparecieron apps de Android que lo hacen sin el Flipper Zero.

BleepingComputer contó en octubre de 2023 que estos anuncios falsos no ejecutan código ni causan daño directo, aunque el texto de los avisos se puede manipular para engañar al usuario.

Apple corrigió el problema sin anunciarlo. 9to5Mac recogió las pruebas que publicó ZDNET y las repitió con sus propios equipos: desde iOS 17.2 aparecen unos pocos avisos y después el ataque se detiene.

¿Es peligroso el bluejacking? ¿Es delito?

El bluejacking clásico es molesto, no peligroso: no roba datos ni toma el control de tu equipo. El riesgo real aparece en tres casos.

El primero es el engaño. Lo que te llega puede traer un enlace o un archivo pensados para que caigas en una trampa.

El NIST advierte que aceptar contactos o citas fabricados puede facilitar ataques de ingeniería social, y recomienda no aceptar transferencias por Bluetooth, como tarjetas de contacto, si no confías en quien las manda.

Lo mismo vale para una ventana de emparejamiento falsa: si no la tocas, no caes en el engaño.

El segundo es el bloqueo del teléfono: el bombardeo de ventanas falsas puede dejarlo inservible mientras dura.

El tercero es el acoso. Recibir imágenes sexuales de un desconocido que está cerca y te eligió entre la gente es intimidante, y en algunos países ya está en el código penal:

• Inglaterra y Gales: desde el 31 de enero de 2024 es delito enviar una foto o un video de genitales a otra persona con intención de causarle alarma, angustia o humillación, o para obtener gratificación sexual sin importarle si causa alarma, angustia o humillación. La pena puede llegar a dos años de prisión (Sexual Offences Act 2003, sección 66A, añadida por la Online Safety Act 2023). Cubre el envío por cualquier medio electrónico, AirDrop y Bluetooth incluidos, y no se aplica en Escocia.
• España: no hay un delito con ese nombre. El artículo 173.4 del Código Penal castiga a quien se dirija a otra persona «con expresiones, comportamientos o proposiciones de carácter sexual» que le creen una situación objetivamente humillante, hostil o intimidatoria; solo se persigue si la víctima denuncia.

Si vives en otro país, revisa la ley local o consulta a la policía especializada en delitos informáticos.

Cómo evitar el bluejacking en iPhone, Mac, Windows y Android

Lo principal son tres ajustes: limitar la recepción a tus contactos, desactivar los avisos de emparejamiento rápido (en Windows y Android) y apagar el Bluetooth cuando no lo uses.

iPhone

1. AirDrop: en Ajustes > General > AirDrop, elige Sólo contactos o No recibir. También puedes cambiarlo desde el Centro de control: mantén presionado el bloque de conexiones y toca AirDrop. Usa Todos por 10 minutos solo cuando vayas a recibir algo de alguien concreto: durante esos diez minutos, cualquiera que esté cerca puede mandarte una solicitud. Pasado ese tiempo, AirDrop vuelve por sí solo a Sólo contactos (o a No recibir, si no tienes sesión iniciada en tu cuenta de Apple).
2. Bluetooth: el iPhone solo es visible mientras tienes abierta la pantalla Ajustes > Bluetooth; sal de ella cuando termines de emparejar. Si te llegan ventanas de «Conectar» que no pediste, apágalo en Ajustes > Bluetooth, no desde el Centro de control.
3. Imágenes de desnudos: activa la Advertencia de contenido íntimo (Apple también la llama «Aviso de contenido sensible») en Ajustes > Privacidad y seguridad > Advertencia de contenido íntimo. Con esa función, el iPhone difumina las fotos y los videos que parecen contener desnudos, también los que llegan por AirDrop, y te da la opción de bloquear al remitente. Está disponible desde iOS 17.
4. Actualiza iOS: desde iOS 17.2, el iPhone frena la avalancha de ventanas falsas.

Mac

1. AirDrop: en Ajustes del Sistema > General > AirDrop y continuidad, pon AirDrop en Sólo contactos o desactívalo. También puedes cambiarlo desde el Centro de control de la barra de menús: mantén presionado el icono de AirDrop (o haz clic en la flecha junto a él) y elige Sólo contactos, o hazlo desde la ventana de AirDrop del Finder. A diferencia del iPhone, en el Mac la opción para todos se llama simplemente «todos» y no caduca a los diez minutos, así que no la dejes activada.
2. Bluetooth: apágalo desde el Centro de control o desde Ajustes del Sistema > Bluetooth cuando no uses accesorios.

Windows

1. Uso compartido en proximidad: ve a Configuración > Sistema > Uso compartido en proximidad y elige Desactivado o Solo mis dispositivos. Microsoft advierte que, con la opción para cualquiera, otros equipos pueden ver el nombre y la dirección Bluetooth de tu PC. En nuestro Windows 11, esa opción se llama Cualquier persona cercana. La función solo comparte con dispositivos Windows.
2. Avisos de emparejamiento: en Configuración > Bluetooth y dispositivos > Dispositivos, desactiva Mostrar notificaciones para conectarse mediante Swift Pair (en algunas versiones, «Mostrar notificaciones para conectarse mediante el par de Swift»), como indica BleepingComputer. Así dejan de aparecer las ventanas de accesorios cercanos.
3. Bluetooth: apágalo desde la Configuración rápida (Windows + A) cuando no lo necesites.

Android

Los menús cambian según la marca, sobre todo en los Samsung, así que usa el buscador de Ajustes.

1. Quick Share: busca «Quick Share», toca Quién puede compartir contenido contigo y elige Contactos o Tus dispositivos. «Todos durante 10 minutos» vuelve sola a la opción anterior.
2. Avisos de emparejamiento: desactiva la búsqueda de dispositivos cercanos de Fast Pair. Según Google, está en Ajustes > tu perfil > Todos los servicios > Dispositivos conectados y uso compartido > Dispositivos > Buscar dispositivos cercanos.
3. Bluetooth: no dejes abierta la pantalla de emparejamiento y apágalo cuando no lo uses.

Qué hacer si te llega algo por AirDrop o Bluetooth

Si no lo aceptas, no entra. Una solicitud de AirDrop o Quick Share es solo un aviso con vista previa; la imagen no se guarda en tu galería hasta que tocas «Aceptar».

1. Si es acoso, guarda pruebas antes de rechazar la solicitud o borrarla: una captura de la solicitud con el nombre del dispositivo que la envió, la hora y el lugar. Ten en cuenta que ese nombre lo elige quien lo manda y no identifica a nadie por sí solo.
2. No aceptes ni abras. Toca «Rechazar» o deja pasar el aviso. Tampoco toques enlaces ni ventanas de emparejamiento que no esperabas.
3. Corta la vía de entrada. Cambia AirDrop a «Sólo contactos» o Quick Share a «Contactos», o desactívalos. Si te llueven ventanas de emparejamiento, apaga el Bluetooth en Ajustes unos minutos y aléjate del lugar.
4. Si ya lo aceptaste, bórralo. Una imagen no infecta el teléfono por sí sola; un enlace o un archivo instalable sí pueden ser un problema. Si tocaste un enlace o instalaste algo, revisa las señales de que tu teléfono fue hackeado.
5. Denuncia cuando corresponda. Si te mandan imágenes sexuales o el envío te intimida, avisa al personal de seguridad del lugar y acude a la policía. En España, la Línea de Ayuda en Ciberseguridad del INCIBE atiende en el 017, por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017. En otros países, la policía o el CERT nacional.

Denunciar no garantiza que se identifique al remitente, pero deja constancia y ayuda a que el lugar tome medidas.

Si quieres ver los demás ataques que usan Bluetooth y cómo se diferencian, los repasamos en nuestra guía de ataques Bluetooth.

Preguntas frecuentes sobre el bluejacking