No todos los permisos pesan lo mismo. Que una app de mapas pida tu ubicación es esperable; que una linterna pida tus contactos —o que cualquier app pida Accesibilidad o convertirse en Administrador del dispositivo— es una bandera roja. Esos permisos de alto poder son precisamente los que el malware persigue, porque le dan control casi total sobre tu teléfono.
Vas a distinguir los permisos peligrosos en Android que más importan, a revisarlos y revocarlos desde los ajustes de Android, y a ir un paso más allá con herramientas que ven lo que el sistema te oculta —sin necesidad de rootear.
Los permisos peligrosos son los que dan acceso a datos sensibles —cámara, micrófono, ubicación, contactos, SMS, teléfono y almacenamiento—. Puedes revisarlos y revocarlos desde Ajustes → Seguridad y privacidad → Gestor de permisos, por tipo o por aplicación. Los permisos especiales de alto riesgo (Accesibilidad, Administrador de dispositivo) se gestionan en pantallas aparte de Ajustes.
Qué son los permisos peligrosos en Android (“runtime”)
Android clasifica los permisos por el riesgo que suponen para tu privacidad. Los permisos normales cubren funciones de bajo impacto —conectarse a internet, usar el bluetooth— y el sistema los concede solo con instalar la app, sin preguntarte. No son el problema.
Los que Android llama peligrosos (o runtime, “en tiempo de ejecución”) son los que dan acceso a tus datos privados o a sensores sensibles: cámara, micrófono, ubicación, contactos, SMS, teléfono, calendario y almacenamiento.
Desde Android 6 el sistema no los concede al instalar: la app tiene que pedírtelos cuando los va a usar y tú los apruebas o rechazas en el momento. Es el modelo que ves cada vez que una app muestra el diálogo “¿Permitir que X acceda a tu ubicación?”.
Android agrupa estos permisos en familias (la de almacenamiento, la de ubicación, la de contactos…). Una vez que concedes un permiso de una familia, si la app pide más adelante otro permiso de esa misma familia —a menudo tras una actualización—, el sistema se lo concede sin volver a preguntarte.
Es un comportamiento documentado por la propia Android desde la versión 8: conceder un permiso puede abrir la puerta al resto de su familia sin un nuevo aviso, así que vale la pena fijarse en qué le das a cada app.
Este modelo es un buen primer filtro, pero tiene un punto ciego: trata todos estos permisos como una lista más o menos plana. Y no lo es. Hay un grupo aparte, mucho más peligroso, que ni siquiera aparece en ese diálogo.
Los permisos especiales que de verdad importan (bandera roja)
Por encima de los permisos peligrosos, Android reserva una categoría llamada permisos especiales. No se conceden con un simple diálogo: hay que activarlos a mano en una pantalla aparte de Ajustes, porque otorgan un poder desproporcionado sobre el dispositivo.
Estos cinco son los que el malware persigue:
Accesibilidad. Pensado para lectores de pantalla y ayudas para personas con discapacidad, este servicio permite a una app leer todo lo que aparece en pantalla y simular toques. En manos de malware es la joya de la corona: puede registrar lo que escribes (keylogging), leer tus mensajes, autocompletar transferencias y secuestrar la interfaz sin que toques nada. Si una app que no es un lector de pantalla te pide los permisos de accesibilidad, desconfía.
Administrador de dispositivo. Da control administrativo profundo: bloquear la pantalla, forzar políticas, incluso borrar el teléfono. El malware lo activa para persistir: mientras una app es administradora del dispositivo, Android no te deja desinstalarla con normalidad. Es la técnica clásica del ransomware y el stalkerware para atrincherarse.
Acceso a notificaciones. Permite a una app leer todas tus notificaciones, incluidas las que traen códigos de verificación de dos pasos (OTP) y mensajes privados. Para un atacante vale doble: con este acceso puede interceptar el código 2FA que te llega por SMS o por app y completar el robo de una cuenta.
Mostrar sobre otras apps (overlay). Deja a una app dibujar ventanas por encima de las demás. Es útil para burbujas de chat, pero también es la base del clickjacking y de las pantallas de login falsas: el malware superpone una ventana idéntica a la de tu banco para que teclees tus credenciales creyendo que estás en la app real.
Instalar apps desconocidas. Autoriza a una app a instalar otros APK (sideloading). El malware lo usa como cabeza de puente: una app aparentemente inofensiva obtiene este permiso y descarga e instala después la carga maliciosa de verdad.
Como regla mental: un permiso peligroso mal concedido expone un dato (tu ubicación, tus fotos); un permiso especial mal concedido puede exponer el dispositivo entero. Por eso el grueso de la revisión debe empezar por aquí.
Android ha ido poniendo trabas a que el malware active estos accesos por su cuenta. Desde Android 13, las apps instaladas fuera de una tienda (un APK que te pasan por chat o que bajas de una web) quedan bloqueadas por los Ajustes restringidos: el sistema no te deja activarles Accesibilidad, Administrador de dispositivo, overlay ni acceso a notificaciones hasta que lo desbloqueas a mano desde la ficha de la app.
Es una barrera útil, pero no infalible: el malware que llega por la propia tienda, o que te convence de desbloquear esos ajustes, sigue teniendo la puerta abierta. Por eso revisar lo que ya está concedido sigue siendo clave.
Cómo revisar y revocar permisos desde los ajustes (método nativo)
No necesitas instalar nada para hacer una primera auditoría: Android trae todo lo necesario. Las rutas exactas cambian según la marca y la versión de Android, pero la lógica es la misma en todas; si un menú no se llama exactamente igual en tu teléfono, búscalo por el nombre del permiso.
Por tipo de permiso, con el Gestor de permisos
Entra en Ajustes → Seguridad y privacidad → Gestor de permisos. Verás la lista de permisos peligrosos (Cámara, Micrófono, Ubicación, Contactos…) y cuántas apps tienen concedido cada uno. Toca uno —por ejemplo Cámara— y Android te muestra las apps repartidas en Permitido, Preguntar siempre y No permitido. Desde ahí revocas cualquiera con un toque.
Esta vista es la más útil para una revisión rápida: te permite ver los permisos de las aplicaciones de un vistazo y responder a preguntas como “¿qué apps pueden usar mi micrófono?”.
Por aplicación
El camino inverso también sirve, y es el mejor cuando sospechas de una app concreta. Ve a Ajustes → Aplicaciones → [la app] → Permisos y revisa todo lo que tiene concedido. Si algo no cuadra con lo que la app hace, quítalo.
Al tocar un permiso concreto (por ejemplo Ubicación) verás además el nivel de acceso: Permitir siempre, Solo con la app en uso, Preguntar siempre o No permitir.
Ojo: “Preguntar siempre” no es lo mismo que “Solo esta vez” —esa última es la opción temporal del diálogo de permisos, que vemos enseguida—. Para la mayoría de apps, “solo con la app en uso” es el equilibrio correcto.
Permisos de una sola vez
Desde Android 11, cuando una app pide cámara, micrófono o ubicación, el diálogo incluye la opción "Solo esta vez". Concede el permiso de forma temporal, válido mientras usas la app, y lo revoca solo al cerrarla. Es la mejor opción para apps en las que no confías del todo pero necesitas usar puntualmente.
Auto-revocación de apps que no usas
También desde Android 11, el sistema revoca solo los permisos peligrosos de las apps que llevas meses sin abrir (Google llevó esta función también a dispositivos con Android 6 a 10 mediante los servicios de Google Play). Puedes comprobarlo y ajustarlo en la pantalla de permisos de cada app, con el interruptor "Quitar permisos si no se usa la app".
Indicadores de cámara y micrófono
Android 12 añadió un punto verde en la esquina superior de la pantalla que se enciende cada vez que una app usa la cámara o el micrófono, junto con un Panel de privacidad que guarda el historial de accesos recientes (los últimos siete días). La ubicación tiene su propio indicador aparte.
Si el punto se enciende sin que estés usando ninguna app de cámara o grabación, tienes un problema: despliega el panel desde la parte superior y toca el indicador para ver qué app está usando el sensor; desde ahí abre sus permisos y córtale el acceso.
Los accesos especiales, uno por uno
Aquí es donde debes poner la lupa. Los permisos especiales viven fuera del Gestor de permisos, cada uno en su propia pantalla:
- Accesibilidad: Ajustes → Accesibilidad → Apps instaladas (servicios). Revisa qué apps tienen un servicio de accesibilidad activo y desactiva cualquiera que no reconozcas.
- Administrador de dispositivo: Ajustes → Seguridad y privacidad → Más ajustes de seguridad → Apps de administración del dispositivo. Desactiva aquí cualquier app antes de intentar desinstalarla si se resiste.
- Acceso a notificaciones, Mostrar sobre otras apps e Instalar apps desconocidas: todas cuelgan de Ajustes → Aplicaciones → Acceso especial. Repásalas una a una.
Si una app tiene concedido alguno de estos cinco accesos y no hay una razón evidente para ello, revócalo sin miedo: si de verdad lo necesita, la función asociada dejará de funcionar hasta que se lo vuelvas a conceder desde esa misma pantalla (estos accesos no se piden con el diálogo normal, así que no saltará solo).
Ir más allá del método nativo: herramientas sin root
El Gestor de permisos de Android es un buen punto de partida, pero solo reúne los permisos que se gestionan desde ese panel (los accesos especiales, ya lo viste, viven en pantallas aparte). Y por debajo de todas esas interfaces, Android controla el comportamiento de cada app con un sistema más fino llamado AppOps (app operations), que el Gestor de permisos no muestra como una vista unificada. Ahí es donde entran las herramientas de auditoría, buena parte de ellas dentro del catálogo de aplicaciones para Android sin root.
PermissionManager X
PermissionManager X (proyecto de código abierto de mirfatif) muestra en una sola pantalla tanto los permisos del manifiesto —los de siempre: cámara, ubicación, almacenamiento…— como los AppOps. Los AppOps dan control de grano fino sobre operaciones que el menú nativo ni menciona: ejecución en segundo plano, portapapeles, vibración y muchas más.
Además permite fijar un estado de referencia para cada permiso y avisarte cuando la configuración de una app cambia respecto a ese estado, útil para detectar que una app ha modificado sus permisos o AppOps sin que te dieras cuenta.
Lo interesante para nosotros: no requiere root. Puede funcionar con privilegios elevados a través de ADB por red, así que corre en un teléfono de serie. Está probado en Android 7 a 16 y es software libre; descárgalo siempre de sus fuentes oficiales —F-Droid o el repositorio en GitHub— y nunca de un APK suelto de terceros.
App Manager
Si buscas una navaja suiza todo-en-uno —gestión de apps, permisos, AppOps y hasta un escáner de rastreadores en la misma herramienta—, App Manager reúne todas esas capacidades en una sola app, y para lo básico funciona sin root. No lo desarrollamos aquí porque tiene guía propia: revísala en nuestro artículo sobre App Manager en Android.
Buenas prácticas para gestionar permisos
La mejor revisión es la que haces antes de instalar. Cuando bajes una app, mira los permisos de las aplicaciones que declara en su ficha de la tienda y pregúntate si tienen sentido para lo que hace: una app de fondos de pantalla no necesita tus contactos ni tus SMS.
Aplica el principio de mínimo privilegio: concede solo lo que la app necesita para la tarea concreta que vas a hacer, usa “solo con la app en uso” y “solo esta vez” siempre que puedas, y desconfía de cualquier app que pida uno de los cinco accesos especiales sin una razón clara. Revisa el Gestor de permisos cada cierto tiempo; las apps cambian y a veces piden de más tras una actualización.
Preguntas frecuentes
¿Quitar un permiso rompe la app?
No la rompe, pero la función que dependía de ese permiso dejará de funcionar. Si revocas la cámara a una app de mensajería, seguirá sirviéndote para chatear, pero no podrás enviar fotos hasta que se la vuelvas a conceder.
Si en cambio ajustas un AppOp con una herramienta avanzada, el efecto suele ser más silencioso: en muchos casos la app no falla de forma visible, simplemente no recibe el dato. Si algo deja de funcionar, vuelve a Ajustes —o a la herramienta que usaste— y restaura lo que cambiaste.
¿Cómo veo qué apps están usando la cámara o el micrófono?
En Android 12 y posteriores, el punto verde de la esquina se enciende en tiempo real, y el Panel de privacidad guarda el historial de accesos recientes. Deslizando desde arriba y tocando el indicador ves qué app está usando el sensor en ese momento.
¿Se pueden gestionar permisos avanzados sin root?
Sí. Herramientas como PermissionManager X pueden acceder a los AppOps mediante privilegios obtenidos por ADB (por red), sin rootear el teléfono. En ese modo, la información y las acciones disponibles son más limitadas que con root, pero suficientes para auditar y revocar lo que el menú nativo no te deja tocar.
Esta guía es una pieza del trabajo más amplio de blindar tu teléfono. Si quieres el panorama completo —desde el cifrado y las actualizaciones hasta cómo cerrarle la puerta al malware— continúa con nuestra guía para aumentar la seguridad de tu dispositivo Android.
