Spyware en móviles de empresa: cómo proteger tu pyme de Pegasus y amenazas similares En INCIBE, la transformación digital avanza cada día.#

Los teléfonos móviles corporativos han dejado de ser herramientas de comunicación para convertirse en repositorios de datos críticos para el negocio. Calendarios con reuniones estratégicas, correos con negociaciones comerciales, accesos a plataformas de gestión, conversaciones con clientes, documentos financieros y credenciales de sistemas empresariales: todo circula por dispositivos que caben en un bolsillo y que, con frecuencia, salen de la oficina sin las mismas medidas de protección que aplicamos a los ordenadores.

El spyware avanzado, del que Pegasus es el exponente más conocido, ha demostrado que incluso sistemas operativos modernos pueden verse comprometidos mediante técnicas sofisticadas de explotación. Aunque estas herramientas se diseñaron inicialmente para vigilancia gubernamental, su existencia ha acelerado el desarrollo de variantes más accesibles y ha evidenciado vulnerabilidades que otros actores maliciosos pueden aprovechar. Para una pyme española, el riesgo real no viene tanto de ser objetivo específico de Pegasus, sino de spyware comercial, campañas de phishing móvil y malware que explotan las mismas debilidades de seguridad que estas herramientas avanzadas han puesto de manifiesto.

Este artículo presenta medidas prácticas y proporcionadas que cualquier pyme puede implementar para proteger sus dispositivos móviles corporativos, sin necesidad de presupuestos millonarios ni equipos técnicos dedicados.

Qué está pasando: el spyware móvil ya no es ciencia ficción#

Pegasus, desarrollado por la empresa israelí NSO Group, saltó a la opinión pública cuando investigaciones periodísticas revelaron que había sido utilizado para interceptar comunicaciones de periodistas, activistas y políticos en diversos países. Su capacidad para infectar dispositivos iOS y Android sin que el usuario haga clic en ningún enlace, mediante vulnerabilidades de día cero en aplicaciones de mensajería y servicios del sistema, marcó un punto de inflexión en la percepción de seguridad móvil.

Lo relevante para el entorno empresarial no es la herramienta concreta, sino lo que representa: la demostración de que los teléfonos móviles son vectores de ataque viables y valiosos Desde entonces, el ecosistema de spyware comercial ha crecido considerablemente Existen soluciones de vigilancia que se venden como servicios legítimos de monitorización parental o control de empleados, pero que en manos equivocadas funcionan como herramientas de espionaje empresarial.

Las técnicas de infección han evolucionado. Además de las sofisticadas explotaciones de día cero, el spyware móvil utiliza métodos más accesibles: aplicaciones aparentemente legítimas en tiendas alternativas, ataques de ingeniería social que convencen al usuario para instalar perfiles de configuración maliciosos, aprovechamiento de dispositivos desbloqueados momentáneamente o explotación de redes Wi-Fi públicas sin cifrado adecuado.

Para las empresas, esto significa que cualquier móvil corporativo conectado a sistemas internos, con acceso a correo empresarial o con aplicaciones de gestión instaladas, es potencialmente una puerta de entrada a información sensible del negocio.

Cómo afecta a las pymes españolas#

La mayoría de pymes españolas opera sin departamentos de seguridad informática dedicados. La gestión de dispositivos móviles suele ser informal: se entregan teléfonos a comerciales y directivos, se permite el uso de dispositivos personales para trabajo o, simplemente, se asume que los sistemas operativos modernos son suficientemente seguros por sí mismos.

Esta realidad choca con el perfil de riesgo actual. Una empresa con 50 empleados puede tener fácilmente 30 dispositivos móviles con acceso a información corporativa. Si uno de esos dispositivos está comprometido, el atacante puede obtener:

• Credenciales de acceso a plataformas de gestión empresarial (ERP, CRM)
• Comunicaciones confidenciales con clientes y proveedores
• Documentos financieros y presupuestos comerciales
• Información sobre estrategias de negocio, fusiones o nuevos productos
• Acceso a sistemas internos mediante VPN o aplicaciones corporativas
• Datos personales de empleados y clientes, con las implicaciones legales correspondientes según el RGPD

El impacto no es solo técnico. Un caso de espionaje empresarial a través de móviles corporativos puede derivar en pérdida de ventaja competitiva, fuga de información estratégica a competidores, daño reputacional si los datos de clientes se ven comprometidos y, dependiendo del sector, incumplimientos normativos con consecuencias administrativas.

Además, las pymes suelen carecer de visibilidad sobre qué está ocurriendo en los dispositivos móviles. Mientras que los ordenadores corporativos pueden tener antivirus y sistemas de monitorización, los móviles operan frecuentemente como cajas negras. Esta asimetría los convierte en objetivos especialmente atractivos para actores maliciosos que buscan el eslabón más débil de la cadena de seguridad informática empresas.

La buena noticia es que la protección efectiva no requiere tecnologías inaccesibles Requiere, sobre todo, método: establecer políticas claras, configurar correctamente los dispositivos y formar a las personas que los usan.

Qué hacer, paso a paso#

1. Establece una política clara sobre dispositivos móviles corporativos#

Define por escrito qué dispositivos pueden acceder a recursos empresariales, quién es responsable de su seguridad y qué prácticas están prohibidas. Si permites BYOD (Bring Your Own Device, es decir, uso de dispositivos personales para trabajo), establece requisitos mínimos: sistemas operativos actualizados, contraseñas fuertes, separación entre apps personales y corporativas mediante perfiles de trabajo. Esta política debe comunicarse claramente a todos los empleados con dispositivos con acceso a datos de empresa y formar parte del proceso de onboarding de nuevas incorporaciones.

2. Implementa gestión básica de dispositivos móviles mediante MDM#

Un sistema MDM (Mobile Device Management) permite administrar de forma centralizada los móviles corporativos. No necesitas soluciones empresariales costosas: existen opciones proporcionadas para pymes que permiten funciones esenciales como forzar actualizaciones de sistema operativo, exigir contraseñas robustas, habilitar cifrado de dispositivo, instalar certificados de seguridad y, crucialmente, borrar datos remotamente si un dispositivo se pierde o es robado. Configurar MDM básico puede llevar unas horas y previene la mayoría de vectores de ataque comunes contra la ciberseguridad pymes.

3. Configura correctamente la seguridad en iOS y Android#

En dispositivos iOS: activa el modo de bloqueo en entornos de alto riesgo, desactiva la vista previa de notificaciones en pantalla bloqueada para información sensible, configura autenticación de dos factores para el ID de Apple corporativo y revisa periódicamente los perfiles de configuración instalados. En Android: utiliza únicamente dispositivos con Android Enterprise para entornos corporativos, activa Google Play Protect, restringe la instalación de aplicaciones a fuentes oficiales y habilita el cifrado completo del dispositivo. Ambos sistemas deben configurarse para solicitar autenticación biométrica o PIN después de periodos cortos de inactividad.

4. Forma a los empleados en higiene de seguridad móvil#

La tecnología es insuficiente sin concienciación. Organiza sesiones breves de formación sobre riesgos específicos: no conectarse a redes Wi-Fi públicas sin VPN corporativa, reconocer intentos de phishing por SMS o aplicaciones de mensajería, no instalar aplicaciones de origen desconocido, mantener el dispositivo físicamente protegido y reportar inmediatamente comportamientos anómalos del teléfono. Esta formación debe repetirse periódicamente y formar parte de la cultura de seguridad informática empresas, no ser un evento aislado anual.

5. Establece un protocolo de respuesta ante sospecha de compromiso#

Define qué hacer si un empleado sospecha que su dispositivo está infectado: a quién informar, qué accesos revocar inmediatamente y cómo preservar evidencias. El protocolo básico incluye desconectar el dispositivo de redes corporativas, cambiar contraseñas de servicios accedidos desde ese móvil, notificar al responsable de IT o al proveedor de consultoría ciberseguridad España que os asista y documentar comportamientos anómalos observados. Tener este protocolo por escrito reduce el tiempo de respuesta y minimiza el daño potencial.

Cuándo necesitas ayuda profesional#

Existen señales claras de que la seguridad móvil de tu empresa requiere valoración por especialistas en ciberseguridad pymes:

Tienes más de 20 dispositivos móviles con acceso a sistemas críticos y no existe gestión centralizada ni inventario actualizado de qué dispositivos acceden a qué recursos.

Tu sector maneja información especialmente sensible: datos sanitarios, financieros, industriales o comerciales de alto valor competitivo. En estos casos, una auditoría ciberseguridad específica sobre gestión de dispositivos móviles identifica vulnerabilidades antes de que sean explotadas.

Has detectado actividad anómala: accesos no autorizados a sistemas desde móviles corporativos, información confidencial que aparece en manos de competidores sin explicación clara o empleados que reportan comportamientos extraños en sus dispositivos.

Necesitas cumplir requisitos normativos específicos: el Esquema Nacional de Seguridad, certificaciones sectoriales o requisitos contractuales de clientes que exigen demostrar controles de seguridad sobre dispositivos móviles.

Estás implementando MDM por primera vez y no tienes experiencia interna. Un acompañamiento profesional durante la fase de configuración e implantación evita errores de configuración que pueden dejar brechas de seguridad o generar fricciones con los empleados.

La consultoría ciberseguridad España especializada en pymes puede realizar valoraciones rápidas, ayudar a priorizar inversiones de seguridad y diseñar políticas ajustadas a tu realidad operativa y presupuestaria, sin soluciones sobredimensionadas.

En resumen#

• El spyware móvil avanzado ha demostrado que los teléfonos corporativos son vectores de ataque viables, pero la mayoría de pymes pueden protegerse eficazmente contra amenazas comunes con políticas claras y configuraciones correctas, sin necesidad de tecnologías inaccesibles.

• Establece una política escrita sobre dispositivos móviles corporativos, implementa gestión MDM básica proporcional a tu tamaño y configura correctamente las opciones de seguridad nativas de iOS y Android antes de buscar soluciones complejas.

• La formación continua de empleados en higiene de seguridad móvil es tan importante como la tecnología: reconocer phishing móvil, evitar redes inseguras y reportar anomalías son comportamientos que previenen la mayoría de infecciones.

• Define protocolos claros de respuesta ante sospecha de compromiso para minimizar el tiempo de reacción y el daño potencial, incluyendo desconexión de redes, cambio de credenciales y notificación a responsables.

• Busca auditoría ciberseguridad profesional cuando manejes más de 20 dispositivos, operes en sectores con información sensible o necesites cumplir requisitos normativos específicos que exijan demostración de controles de seguridad móvil.