¿Te espían el móvil? Cómo comprobarlo paso a paso

«Tengo el móvil pinchado» es de esas frases que casi todo el mundo ha dicho alguna vez: el teléfono se calienta, la batería no dura, se oyen ruidos raros en las llamadas. Casi nunca es eso. Pero a veces sí hay alguien mirando: una pareja o expareja con una app de control instalada a escondidas, una sesión de WhatsApp abierta en un ordenador ajeno o, en casos contados, un programa espía de los que se venden a gobiernos, como Pegasus.

Este tutorial va de lo más probable a lo más raro. Las primeras comprobaciones te llevan diez minutos y no necesitas nada más que el propio teléfono. La última es un análisis forense con MVT, la herramienta libre con la que el laboratorio de seguridad de Amnistía Internacional ha destapado casos de espionaje a periodistas y activistas. Elige tu teléfono en el desplegable de arriba: los menús cambian entre Android e iPhone.

Si sospechas de alguien cercano, para un momento antes de borrar nada. Quien instala una app espía suele notar cuando deja de recibir datos, y eso puede empeorar las cosas. Haz capturas de lo que encuentres y busca apoyo antes de actuar. En España, el 016 también atiende casos de control y acoso digital; la llamada no aparece en la factura, pero sí en el registro del teléfono, así que bórrala después. En stopstalkerware.org hay más recursos.

Qué se puede comprobar y qué no

Conviene saberlo antes de empezar, para no buscar fantasmas.

• Lo que deja rastro en el teléfono: los desvíos de llamadas, las sesiones abiertas en otros aparatos, las apps con permisos que no les tocan, los perfiles de gestión y, con las herramientas adecuadas, las huellas conocidas del software espía comercial.
• Lo que no: las escuchas judiciales se hacen en la red del operador (en España, con el sistema SITEL) y el teléfono no se entera de nada. Tampoco hay forma fiable de detectar desde el móvil una antena falsa, lo que se conoce como IMSI catcher, aunque sí puedes ponérselo más difícil, como verás al final.

Las señales de siempre (batería que se agota, calor, consumo de datos disparado, ruidos en las llamadas) casi siempre tienen una explicación aburrida: una app mal hecha, una actualización a medias, mala cobertura. Tómalas como pista, nunca como prueba.

Paso 1: los desvíos de llamadas

Muchas veces, lo que se vive como «tener el teléfono pinchado» es un desvío: alguien con tu móvil en la mano durante un minuto, o con acceso a tu cuenta del operador, hace que tus llamadas acaben en otro número. Se comprueba marcando estos códigos como si fueran un número y pulsando la tecla de llamar:

• *#21#: desvío de todas las llamadas.
• *#61#: desvío cuando no contestas.
• *#62#: desvío cuando el teléfono está apagado o sin cobertura.
• *#67#: desvío cuando comunicas.

La respuesta aparece en pantalla al cabo de unos segundos. Lo normal es que el primero diga que el servicio no está activo y que los otros tres apunten al número del buzón de voz de tu operador. Si sale un número que no reconoces, alguien lo ha puesto ahí.

Para borrar todos los desvíos de golpe, marca ##002#. Con ellos se va también el desvío al buzón de voz; si lo usas, vuelve a activarlo desde la app o el área de cliente de tu operador.

Estos códigos son un estándar de las redes móviles y funcionan con casi todos los operadores, pero alguna compañía de bajo coste no los admite. Si no recibes respuesta, consulta los desvíos en el área de cliente.

Paso 2: las sesiones abiertas en otros aparatos

Es la forma más sencilla de espiar a alguien y no hace falta instalar nada: abrir su cuenta en otro dispositivo y dejarla ahí. Revisa una por una:

• WhatsApp: en el menú (los tres puntos en Android, Configuración en iPhone), entra en Dispositivos vinculados. Cualquier ordenador o tablet de esa lista lee todos tus mensajes en tiempo real. Si hay uno que no es tuyo, tócalo y cierra la sesión.
• Telegram: Ajustes > Dispositivos. Desde ahí puedes cerrar todas las sesiones menos la actual.
• Signal: Ajustes > Dispositivos vinculados.
• Correo y redes sociales: todas tienen una página de sesiones abiertas o actividad de inicio de sesión. Si hay algo raro, cierra todas las sesiones y cambia la contraseña.

Paso 3: tu cuenta de Google o de Apple

La cuenta principal del teléfono guarda tus fotos, tus contactos, tu ubicación y las copias de seguridad. Quien la tenga abierta en otro sitio lo ve casi todo sin tocar tu móvil.

Paso 4: apps espía y permisos de más

Las apps de control que se venden para «vigilar a los hijos» o «saber si tu pareja te engaña» se conocen como stalkerware. Necesitan que alguien tenga el teléfono desbloqueado unos minutos, y después se esconden con nombres que no llaman la atención.

Paso 5: rastreadores que viajan contigo

Un AirTag o una etiqueta parecida, escondida en un bolso o en el coche, permite seguir a alguien sin tocar su teléfono. Los dos sistemas avisan cuando un rastreador ajeno se mueve contigo, pero conviene comprobar que el aviso está encendido.

Paso 6: buscar software espía con MVT

Lo anterior destapa casi todo lo que se compra en una web. El software espía de gama alta (Pegasus, de NSO Group, o Predator, de Intellexa) es otra liga: puede entrar sin que toques nada, se esconde bien y se vende a gobiernos. Es caro y se usa contra objetivos concretos: periodistas, activistas, abogadas, políticos. En España lo conocemos por el caso Catalangate, que en 2022 sacó a la luz decenas de teléfonos infectados.

Para buscar sus huellas existe MVT (Mobile Verification Toolkit), que el Security Lab de Amnistía Internacional publicó como software libre tras la investigación de Pegasus en 2021. Extrae datos del teléfono y los compara con listas públicas de indicadores: dominios, procesos y nombres de archivo que han dejado estos programas en casos ya documentados. Se ejecuta en un ordenador, no en el móvil, y los datos no salen de tu equipo.

MVT no es un antivirus. Si no encuentra nada, solo significa que no hay rastros conocidos; si encuentra algo, puede ser un falso positivo. Si tu trabajo te convierte en un objetivo probable, pide una revisión a gente experta: la Digital Security Helpline de Access Now (help@accessnow.org) atiende gratis a periodistas, activistas y organizaciones, también en castellano.

Instalar MVT

MVT funciona en Linux y en macOS. En Windows hay que usarlo dentro de WSL, el subsistema de Linux, siguiendo los pasos de Debian o Ubuntu. Necesita Python 3.10 o posterior, y lo más limpio es instalarlo con pipx, que lo deja en su propio rincón sin tocar el resto del sistema.

En Debian o Ubuntu:

sudo apt install python3 python3-venv python3-pip pipx sqlite3 libusb-1.0-0
pipx ensurepath
pipx install mvt

En macOS, con Homebrew:

brew install python3 pipx libusb sqlite3
pipx ensurepath
pipx install mvt

Cierra la terminal y abre otra para que encuentre los programas nuevos: mvt-ios y mvt-android.

Sacar los datos del teléfono y analizarlos

mvt-android download-iocs
mvt-android check-androidqf --output ~/resultado-mvt ~/ruta/a/la/carpeta-de-androidqf

sudo apt install libimobiledevice-utils
idevicepair pair
idevicebackup2 -i encryption on
mkdir -p ~/copia-iphone
idevicebackup2 backup --full ~/copia-iphone

mvt-ios download-iocs
mvt-ios decrypt-backup -d ~/iphone-descifrado ~/ruta/a/la/copia
mvt-ios check-backup --output ~/resultado-mvt ~/iphone-descifrado

Leer el resultado

MVT va contando en pantalla lo que revisa y deja en la carpeta de resultados un archivo JSON por cada tipo de dato. Lo que importa son los avisos en rojo que hablan de una coincidencia con los indicadores (matching indicator) y los archivos que terminan en _detected.json, que solo aparecen si ha habido coincidencias.

• Sin coincidencias: no hay rastros conocidos. No es una garantía absoluta, pero es una buena noticia.
• Avisos sin coincidencias, como apps instaladas desde fuera de la tienda o ajustes poco habituales: merecen un vistazo, pero no indican una infección por sí solos.
• Con coincidencias: no borres nada ni restaures el teléfono, porque destruirías las pruebas. Guarda la carpeta de resultados y escribe a la Digital Security Helpline.

Paso 7: ponérselo difícil

Revisar está bien, pero es mejor no tener nada que encontrar:

• Actualiza siempre. Casi todo el espionaje de alto nivel aprovecha fallos que la última versión ya corrige. Un teléfono que ya no recibe actualizaciones es un teléfono vulnerable.
• Reinicia a menudo. Muchos programas espía no sobreviven a un reinicio y necesitan volver a entrar. Hacerlo una vez al día no cuesta nada.
• Un código de desbloqueo de verdad, de seis cifras o más, que no conozca nadie. Casi todo el espionaje doméstico empieza con alguien que sabe el PIN.
• No dejes el teléfono desbloqueado al alcance de otra persona, ni siquiera un momento.

Y si te sabes en el punto de mira, activa el modo blindado de tu sistema:

Listo

Has descartado lo más habitual (desvíos, sesiones abiertas, apps espía, rastreadores) y, si hacía falta, has buscado las huellas del espionaje profesional. Repite la revisión de vez en cuando, sobre todo si alguien ha tenido tu teléfono en la mano.

La privacidad del teléfono también depende de lo que lo rodea. Para que tu tráfico no pase por redes que no controlas, monta tu propia VPN con WireGuard; y para que tus contraseñas no vivan en una libreta ni en el navegador, tu gestor de contraseñas con Vaultwarden.