Seguridad del celular en 2026: cómo proteger tu móvil y tus datos

Tu celular ya no es “un teléfono con apps”. Es tu banco, tu correo, tu identidad y la llave de casi todas tus cuentas. Y los delincuentes lo saben: hoy el dispositivo móvil es el frente principal del fraude en el mundo hispanohablante, tanto en España como en Latinoamérica. La proporción de fraudes que ya nacen en el móvil no deja de crecer a ambos lados del Atlántico.

Lo vemos en el laboratorio todo el tiempo: casi ningún compromiso empieza con una técnica de película. Empieza con una contraseña repetida, un SMS con un enlace, una copia de la SIM o un Wi-Fi abierto. La buena noticia es que esas mismas rutas se cierran con configuraciones y hábitos concretos: varios se activan en cinco minutos y otros piden una comprobación periódica, pero ninguno exige que seas experto.

Así opera el fraude móvil hoy, y estos son los controles concretos que lo frenan. Sirve tanto para Android como para iPhone.

¿Cómo proteger tu celular? Para reforzar la seguridad del móvil, aplica siete hábitos base:

1. Usa una contraseña única por cuenta con un gestor.
2. Activa la verificación en dos pasos.
3. Bloquea la pantalla con biometría.
4. Suma una capa de seguridad en Android.
5. Mantén una copia de seguridad al día.
6. Usa una VPN en el Wi-Fi público.
7. Ten claro cómo reaccionar ante un robo.

Abajo desarrollamos cada uno.

Por qué tu celular es hoy el objetivo número uno de los ciberdelincuentes

No es paranoia: el móvil es el canal donde más crece el fraude, y los números lo confirman en cada región de habla hispana.

El fraude móvil en España

Según el balance de ciberseguridad 2025 del INCIBE, en 2025 el fraude online supuso 4 de cada 10 incidentes, con 45.445 casos (un 19% más), y el phishing encabezó los fraudes con 25.133 casos. El smishing —el SMS falso que suplanta a tu banco— es una de las vías de entrada más habituales, y la línea de ayuda 017 del INCIBE atendió 142.767 consultas, un 45% más que en 2024.

El fraude móvil en Latinoamérica

En la región, los ataques dirigidos a móviles marcaron un récord de 3,9 millones de intentos en 2024, un 70% más que en 2022-2023, según el Panorama de Amenazas de Kaspersky para América Latina. Brasil concentró 1,8 millones de bloqueos, México 835.000 y Ecuador 402.000, con crecimientos explosivos en Chile (+213%) y Panamá (+160%).

A ello se suman los troyanos bancarios —una industria propia de la zona— y el dato de BioCatch de que el 79% de los fraudes de la región ya se originan en el móvil.

El fraude móvil en el resto del mundo

No es un problema solo hispano: a escala global, los ataques de troyanos bancarios en móviles se multiplicaron por 1,5 durante 2025, según el informe de amenazas financieras 2025 de Kaspersky, con marcas tan suplantadas como Netflix, Apple o Amazon en las campañas de phishing. El teléfono es hoy el vector de fraude más rentable que existe, vivas donde vivas. Por eso conviene dedicarle unos minutos a blindarlo.

Las amenazas reales que enfrentas hoy (no las de hace cinco años)

Antes de la parte práctica, conviene entender contra qué juegas. Lo vemos siempre en el equipo: quien reconoce la lógica del engaño deja de caer en él.

Phishing, smishing y estafas por WhatsApp

El phishing es el arte de robarte información haciéndose pasar por alguien de confianza: tu banco, una paquetería, una red social. En el móvil llega por SMS (smishing), por correo y, cada vez más, por WhatsApp: un mensaje de un “contacto” que pide un código, un premio que exige “confirmar tus datos”, una supuesta multa con un enlace de pago.

La defensa no es un producto, es un hábito: antes de tocar cualquier enlace, piensa. Verifica el remitente, no confíes en la urgencia (es la herramienta favorita del estafador) y, ante la duda, entra a la web o la app oficial por tu cuenta, nunca por el enlace del mensaje. Si quieres reconocer los patrones a fondo, tenemos una guía sobre cómo saber si tienes phishing en el móvil.

SIM swapping y robo físico

El SIM swapping es una de las estafas que más crece: el delincuente convence a tu operadora de que él eres tú y consigue que active tu número en una SIM que él controla. A partir de ahí recibe todos tus SMS —incluidos los códigos de verificación— y puede vaciar cuentas bancarias y secuestrar tus redes. El primer síntoma suele ser que tu teléfono se queda de golpe sin señal.

No es teoría: el fraude por dispositivo robado o duplicado creció 49% en el primer trimestre de 2025 en la región. Es, además, la razón principal para dejar de usar el SMS como segundo factor.

Troyanos bancarios y apps con permisos excesivos

Los troyanos bancarios ya son una industria en todo el mundo. Un caso típico de 2024 fue SpyLoan, apps de “préstamos” que en realidad bloquean el teléfono y extorsionan a la víctima, y que pasaron del 7% al 12% de los bloqueos en un año.

El patrón que se repite: una app aparentemente inofensiva que pide permisos que no necesita (acceso a SMS, accesibilidad, superposición de pantalla). Instala solo desde tiendas oficiales y, antes de aceptar, mira qué permisos pide una app: una linterna no necesita leer tus mensajes.

Contraseñas: donde empieza casi todo compromiso

Aclaremos algo que se dice mal muy seguido: no debes usar la misma contraseña para todas tus cuentas. Parece obvio, pero es el error más común y el más caro. Cuando reutilizas una clave y una sola web sufre una filtración, los atacantes prueban ese mismo par usuario/contraseña en decenas de servicios más. Se llama credential stuffing y está automatizado: no te eligen a ti, te procesan en lote.

La regla de oro es una contraseña única y larga por cada cuenta. Sabemos lo que estás pensando: es imposible recordar cincuenta contraseñas distintas. Y tienes razón. Por eso nadie serio lo hace de memoria.

Usa un gestor de contraseñas

Un gestor genera, guarda y autocompleta contraseñas únicas por ti. Solo recuerdas una clave maestra; el gestor se encarga del resto. Estas son las opciones que recomendamos hoy:

Un apunte importante: LastPass sufrió filtraciones graves en 2022 y subió precios; hoy no lo recomendamos como primera opción.

Si quieres profundizar, revisa nuestra selección de los mejores gestores de contraseñas, con opciones para Android e iPhone y también para crear y guardar claves fuertes a mano.

Verificación en dos pasos (2FA): actívala y deja el SMS

La verificación en dos pasos agrega un segundo candado a tu inicio de sesión: aunque alguien conozca tu contraseña, no entra sin el código temporal. Actívala ya en tu correo, tu banco y tus redes.

Pero hay un matiz importante: no todos los segundos factores son iguales. El código por SMS es mejor que nada, pero es justo el que cae con el SIM swapping que vimos arriba. La opción sólida es una app de autenticación (TOTP), que genera el código dentro de tu teléfono, sin pasar por la red telefónica y sin conexión a internet. Es mucho más resistente al SIM swapping que el SMS.

Nuestras recomendadas:

• Aegis Authenticator (solo Android, open source): máximo control y copias cifradas locales.
• Google Authenticator (Android e iOS): la más simple y universal, ya con respaldo en la nube.
• Bitwarden Authenticator: ideal si ya usas Bitwarden, con sincronización cifrada.

Un paso más allá: cuando el servicio lo permita, usa passkeys (el estándar FIDO2/WebAuthn que ya integran Android e iOS). La clave criptográfica nunca sale de tu dispositivo, así que resisten incluso el phishing en tiempo real; deja las apps TOTP como respaldo para los servicios —sobre todo de banca regional— que todavía no las soportan.

Si quieres entender la mecánica por dentro, lee nuestra guía sobre qué es la autenticación de dos factores.

Blinda la pantalla: biometría, PIN y patrón

El bloqueo de pantalla es la primera barrera física de tu dispositivo, y la calidad de esa barrera importa. Ordenadas de más a menos seguras:

1. Huella dactilar o reconocimiento facial seguro (como Face ID) con un PIN de respaldo. Es la combinación más segura y práctica: nadie la observa a distancia.
2. Contraseña alfanumérica, si manejas datos muy sensibles.
3. PIN de 6 o más dígitos. Evita fechas obvias y secuencias como 1234.
4. Patrón de desbloqueo, la opción más débil. Es vulnerable a los smudge attacks (las huellas grasas que quedan marcadas en la pantalla) y la gente repite las mismas formas: L, Z, N, C. Si usas patrón —lo más habitual en Android—, hazlo con muchos puntos y cruces, y no empieces en una esquina; si no, quédate con la biometría.

¿Antivirus en el celular? Qué sí y qué no

Aquí hay que separar plataformas, porque la respuesta cambia.

En Android sí tiene sentido. El sistema es más abierto y concentra la enorme mayoría del malware móvil. Una buena solución de seguridad detecta apps maliciosas y, cuando incluye protección anti-phishing, también bloquea enlaces fraudulentos. Las que mejor equilibran detección y rendimiento son Bitdefender Mobile Security, ESET Mobile Security, Kaspersky, Norton y Malwarebytes, en línea con los resultados del laboratorio independiente AV-TEST para Android. Tratamos el tema a fondo en ¿es necesario un antivirus en Android?.

En iPhone, en general, no. iOS trabaja en una “caja de arena” (sandbox) que impide que una app toque el sistema u otras apps, y la App Store revisa lo que publica. El malware tradicional es rarísimo mientras no hagas jailbreak. El riesgo real en iPhone no es el virus, es el phishing.

Copia de seguridad: la red que casi nadie configura bien

De nada sirve blindar el teléfono si un día lo pierdes, se rompe o un ransomware te lo secuestra y no tienes copia de tus datos. La copia de seguridad no evita perder el teléfono, pero cambia el desenlace: la diferencia entre un contratiempo y perderlo todo.

En Android (Google One): abre la app Google One o ve a Ajustes › Google › Copia de seguridad, activa Copia de seguridad de Google One y elige qué incluir (fotos y videos, contactos, SMS, historial de llamadas y datos de apps). Pulsa Realizar copia de seguridad ahora para forzarla y confirma la fecha en “Ver detalles”. Ojo: WhatsApp tiene su propia copia aparte, en Ajustes de WhatsApp › Chats › Copia de seguridad.

En iPhone (iCloud, iOS 17+): entra en Ajustes › [tu nombre] › iCloud › Copia de seguridad de iCloud, actívala y pulsa Realizar copia ahora (necesitas Wi-Fi y, de preferencia, el equipo cargando). Verifica la última copia en iCloud › Gestionar almacenamiento › Copias de seguridad. Los nombres exactos de estas opciones y sus rutas pueden variar según la versión de Android o iOS.

Tres errores comunes que conviene evitar: asumir que la copia se ejecuta sola sin comprobar que esté activada y al día, quedarte sin espacio en el plan gratuito (Google One e iCloud arrancan chicos) y no verificar el cifrado de las copias que contienen datos sensibles.

Aquí cubrimos lo esencial; el paso a paso completo, con Android, iPhone, PC y el cambio de equipo, lo tienes en nuestra guía de cómo hacer una copia de seguridad del móvil.

Wi-Fi público y VPN: cómo no regalar tu sesión

El Wi-Fi gratis del café o el aeropuerto es cómodo y, a la vez, terreno resbaladizo. Hoy el cifrado HTTPS protege la gran mayoría del tráfico web (más del 90%), así que el riesgo bajó respecto a hace unos años, pero no desapareció.

La amenaza vigente son las redes Evil Twin: un punto de acceso falso con el mismo nombre que el legítimo, montado para interceptar el tráfico que cursas por esa red.

Qué hacer en la práctica:

• Usa una VPN en redes públicas (opciones fiables: ProtonVPN, Mullvad, NordVPN; y como capa básica gratuita, Cloudflare 1.1.1.1 con WARP).
• Confirma con el personal el nombre exacto de la red antes de conectarte.
• Evita operar con el banco en Wi-Fi abierto: mejor tus datos móviles.
• Desactiva la conexión automática a redes abiertas.

Y desconfía de las VPN gratuitas de tienda: muchas se financian vendiendo tu navegación. Para elegir bien, tenemos la guía de VPN para celular.

Señales de que tu celular podría estar comprometido

Conviene saber leer los síntomas. Ninguno es prueba definitiva por sí solo, pero varios juntos son una señal de alarma:

• La batería se agota mucho más rápido de un día para otro, o el equipo se calienta sin que lo uses.
• Aparecen apps que no instalaste, con nombres genéricos tipo “System Service”.
• El consumo de datos se dispara sin explicación.
• Tus contactos reciben mensajes raros de tu número.
• Se enciende solo el indicador de cámara o micrófono: en iOS, un punto verde (cámara) o naranja (micrófono); en Android 12 o superior, un indicador equivalente en la esquina superior.
• Ves accesos a tus cuentas desde dispositivos desconocidos.

Si sospechas un compromiso y aún conservas el control físico del equipo, deja de introducir datos sensibles en él, revisa y elimina apps desconocidas y cambia tus contraseñas desde otro dispositivo. Si los indicios continúan tras eliminar las apps desconocidas, haz un restablecimiento de fábrica con una copia previa de tus datos.

Qué hacer si te roban el celular

Actuar rápido y en orden marca la diferencia entre un susto y un desastre:

1. Bloquea el equipo en remoto. En Android, desde google.com/android/find; en iPhone, desde icloud.com/find. Desde ahí puedes bloquearlo y, si hace falta, borrarlo.
2. Llama a tu operadora para bloquear la línea (para que no puedan usar tu número) y pide el bloqueo del IMEI, para que sea mucho más difícil usar el equipo con otra SIM.
3. Cambia tus contraseñas críticas desde otro dispositivo: correo, banco, redes y tu gestor de contraseñas.
4. Cierra las sesiones activas en Gmail, Apple ID y WhatsApp (Dispositivos vinculados).
5. Denuncia el robo ante la policía; el comprobante suele ser necesario para el seguro y, según el país y la operadora, para el bloqueo del IMEI.

Ampliamos el protocolo en qué hacer si te roban el móvil.

Endurecer la seguridad del móvil en Android más allá de lo básico

Todo lo anterior son hábitos que aplican a cualquier teléfono. Si quieres dar el siguiente paso y ajustar Android a fondo —permisos por app, cifrado, espacios de trabajo, opciones de desarrollador y ajustes nativos avanzados—, lo cubrimos en detalle en nuestra guía para aumentar la seguridad de un dispositivo Android.

Checklist final de seguridad móvil

Estos son, resumidos, los consejos de seguridad para el móvil que acabamos de desarrollar:

• [ ] Una contraseña única y larga por cuenta, gestionada con un gestor.
• [ ] Verificación en dos pasos activada, con app TOTP (o passkeys) en lugar de SMS.
• [ ] Bloqueo de pantalla con biometría + PIN de respaldo de 6 o más dígitos.
• [ ] Apps solo desde tiendas oficiales, revisando permisos.
• [ ] Seguridad/antivirus en Android; en iPhone, foco en anti-phishing.
• [ ] Copia de seguridad activa y verificada (Google One / iCloud).
• [ ] VPN al usar Wi-Fi público; sin operaciones bancarias en redes abiertas.
• [ ] Función de “buscar mi dispositivo” y borrado remoto habilitados.

Preguntas frecuentes