Cómo eliminar software espía sin alertar a quien lo instaló

Si buscas cómo eliminar software espía, los consejos son unánimes: borra la app, cambia tus contraseñas, restablece el teléfono de fábrica. Es sencillo, y para un tipo de intrusión es lo correcto.

Para el tipo más común, es el peor primer paso posible.

La diferencia está en quién lo instaló. Si detrás hay un delincuente desconocido, elimínalo hoy. Si es tu pareja, una expareja, un familiar o tu empresa —que es la mayoría de los casos reales—, borrarlo hace dos cosas que quizá no quieras. Les dice que lo has descubierto, en un momento que no has elegido tú. Y destruye las pruebas.

Decide en qué situación estás

Puede que esté implicado alguien de tu entorno si esa persona ha tenido acceso físico al teléfono, si conoce tu código de desbloqueo, si configuró el dispositivo o paga la cuenta, o si ha sabido cosas que no tenía forma normal de saber. Ve a la secuencia cuidadosa que viene a continuación.

Probablemente sea un atacante desconocido si el teléfono se vio comprometido por una app maliciosa que instalaste tú mismo, un enlace de phishing o un jailbreak público, y nadie de tu entorno pudo tener acceso de forma creíble. Salta a la sección de eliminación directa. Ahí la rapidez juega a tu favor.

Si no estás seguro, trátalo como el primer caso. El camino cuidadoso te cuesta unos días. El camino rápido, si lo eliges mal, no tiene vuelta atrás.

La secuencia cuidadosa

1. No cambies nada todavía

Ni la app, ni las contraseñas, ni los ajustes. No te enfrentes a nadie. De momento, da por hecho que lo que haces en el teléfono se ve, incluido leer esto.

2. Pide consejo, desde otro dispositivo

Usa un teléfono o un ordenador al que la otra persona nunca haya tenido acceso. El teléfono de una amiga, un equipo del trabajo, un ordenador de una biblioteca.

Las organizaciones contra la violencia doméstica se encuentran con esto todas las semanas y te ayudarán a planificar el orden de los pasos según tu situación real. La Coalition Against Stalkerware mantiene un directorio; el proyecto Safety Net de NNEDV en Estados Unidos y Refuge en el Reino Unido tienen servicios especializados en el abuso a través de la tecnología. Estas llamadas son gratuitas y confidenciales.

3. Documenta antes de borrar

Este es el paso que desaparece en cuanto pulsas desinstalar, y el que importa si algún día intervienen un abogado, un agente de policía o un juzgado de familia.

Las capturas de pantalla de los ajustes son mejor que nada. Un informe forense de un análisis externo es bastante mejor: muestra qué se instaló, a qué tenía acceso y cuándo, de una forma que puede leer alguien sin conocimientos técnicos. Este es el caso en el que las herramientas de pago se justifican, y conviene organizarlo antes de eliminar nada, no después. Haris Shield genera exactamente este tipo de informe.

4. Protege tus cuentas, desde otro dispositivo, en este orden

El acceso a las cuentas suele ser el canal real, y sobrevive a que borres el teléfono.

1. El correo electrónico primero. Con él se restablece todo lo demás. Cambia la contraseña, activa la verificación en dos pasos y revisa el correo y el número de teléfono de recuperación. Una dirección de recuperación que pertenezca a la otra persona le devuelve la cuenta directamente, por muy segura que sea la nueva contraseña.
2. Apple ID o cuenta de Google. Lo mismo, y además revisa la lista de dispositivos con sesión iniciada y quita los que no reconozcas. Ten en cuenta que esas eliminaciones pueden notarse.
3. Mensajería. Busca dispositivos vinculados: WhatsApp, Signal y Telegram permiten que otro dispositivo siga conectado indefinidamente. Comprueba también si se ha añadido discretamente una regla de reenvío a tu correo.
4. Banca y compras, donde una tarjeta guardada también revela dónde has estado.

Haz todo esto desde un dispositivo que la otra persona no haya tocado nunca.

5. Planifica la eliminación, no la improvises

Decide con calma, y con apoyo ya organizado, entre tres opciones:

• Limpiar el teléfono, asumiendo que la otra persona puede darse cuenta.
• Cambiar de teléfono, configurándolo desde cero, con un Apple ID o una cuenta de Google nuevos, sin restaurar nada.
• Dejarlo como está por ahora y usar un segundo teléfono privado para todo lo delicado. A veces el teléfono más seguro es el que sigue pareciendo exactamente igual que antes.

La tercera opción es la que nadie menciona, y en algunas situaciones es la correcta.

Eliminación directa, cuando no hay nadie de tu entorno implicado

En Android

1. Retira los permisos antes de desinstalar. Primero el de administrador del dispositivo, en Ajustes, Seguridad, Apps de administración de dispositivos: una app con derechos de administrador puede negarse a desinstalarse hasta que se los quites. Después los servicios de accesibilidad y luego el acceso a notificaciones.
2. Desinstala la app, en Ajustes, Aplicaciones.
3. Vuelve a activar Play Protect y haz un análisis.
4. Actualiza Android y las actualizaciones del sistema de Google Play.
5. Cambia la contraseña de Google y cierra la sesión en los dispositivos que no conozcas.

En iPhone

1. Elimina los perfiles de configuración que no reconozcas, en Ajustes, General, VPN y gestión de dispositivos.
2. Actualiza iOS. La mayoría de las intrusiones en iPhone se aprovechan de fallos que Apple ya ha corregido, así que esto solo ya elimina muchas.
3. Cambia la contraseña de tu Apple ID y revisa la lista de dispositivos.
4. Si el teléfono tenía jailbreak, actualizar iOS lo elimina, y restablecerlo de fábrica es la opción más segura.
5. Plantéate el modo de aislamiento si tienes motivos reales para pensar que fuiste un objetivo deliberado.

La trampa de la copia de seguridad

Aquí es donde la gente deshace su propio trabajo.

Un restablecimiento de fábrica borra el teléfono. Después restauras tu copia de seguridad, porque si no pierdes tus fotos y tus mensajes, y si esa copia se hizo cuando el teléfono ya estaba comprometido, puedes volver a instalar el problema el primer día de tu teléfono limpio.

Cómo evitarlo:

• Configúralo como nuevo, no desde una copia de seguridad, si puedes asumirlo.
• Si tienes que restaurar, usa una copia hecha antes de la intrusión, si puedes saber su fecha. El análisis forense del paso 3 es lo que te dice, más o menos, cuándo cambiaron las cosas.
• Restaura los datos de forma selectiva: saca las fotos y los contactos de la copia en lugar de restaurar en bloque las apps y los ajustes.
• Después de restaurar, vuelve a revisar las pantallas de ajustes. Los perfiles de configuración y los permisos pueden volver con una restauración de ajustes.

Y ten en cuenta lo que un restablecimiento de fábrica no arregla: no hace nada frente a alguien que conoce la contraseña de tu cuenta. Si la vía de acceso es la cuenta, borrar el teléfono no sirve absolutamente de nada.

¿Un restablecimiento de fábrica funciona siempre?

Con stalkerware comercial en un dispositivo normal, sí. Con cualquier cosa que tenga root o jailbreak, normalmente sí, porque el restablecimiento elimina el sistema modificado. Con software espía de nivel estatal, en general sí en cuanto a la persistencia, porque la mayoría de los implantes mercenarios no sobreviven a un restablecimiento y algunos ni siquiera a un reinicio, que es también la razón de que se vuelvan a instalar, en silencio, por la misma vía que antes.

Esa es la verdadera cuestión. La eliminación acaba con la infección. No cierra la vía de entrada. Si la vía de entrada fue el acceso físico a un teléfono desbloqueado, y ese acceso sigue existiendo, volverás a estar aquí.

Cerrar la vía de entrada

• Un código de desbloqueo que nadie más conozca. Comprueba que no se hayan registrado huellas ni caras de más.
• Actualizaciones el mismo día que salgan, tanto del sistema operativo como de las tiendas de apps.
• Verificación en dos pasos, empezando por el correo electrónico.
• Nada de jailbreak ni de root, ni por tu parte ni por la de nadie.
• Revisión de las listas de dispositivos de tus cuentas cada pocos meses.
• Revisión de las funciones para compartir. La ubicación compartida que se configuró en una época más feliz y se olvidó es una forma de monitorización en sí misma.

La respuesta corta

Si puede haber detrás alguien que conoces: primero el consejo, después la documentación, luego las cuentas y la eliminación al final, y nunca un enfrentamiento antes de estar preparado.

Si es un atacante desconocido: en Android, retira el permiso de administrador del dispositivo antes de desinstalar, actualiza el sistema operativo, cambia tus contraseñas desde otro dispositivo y ten cuidado con qué copia de seguridad restauras.

En cualquier caso, la eliminación acaba con la infección, no cierra la puerta. Si no cambias la forma en que entraron, volverá a pasar lo mismo.

Fuentes

• Coalition Against Stalkerware, Information for survivors: stopstalkerware.org/information-for-survivors
• NNEDV Safety Net, seguridad tecnológica: techsafety.org
• Apple, Acerca del modo de aislamiento: support.apple.com/en-us/105120
• Google, Play Protect: support.google.com/googleplay/answer/2812853

Lecturas relacionadas: las señales del stalkerware y lo que no debes hacer, cómo detectar software espía en Android.