Spyware: Detección técnica según CCN-CERT y ENISA
El spyware constituye una categoría de software malicioso diseñado para monitorizar actividades digitales sin consentimiento. Su detección requiere análisis forense especializado y conocimiento de indicadores de compromiso documentados por el CCN-CERT y ENISA.
Definición técnica y tipologías de spyware
El spyware se define técnicamente como software que recopila información de un dispositivo sin consentimiento explícito del usuario, transmitiéndola a terceros con fines de vigilancia no autorizada. Según el informe «Threat Landscape 2025» de la ENISA, existen cuatro tipologías principales: keyloggers que registran pulsaciones de teclado para capturar contraseñas; stalkerware comercializado como «software de control parental» pero instalado sin consentimiento en dispositivos de parejas adultas; spyware gubernamental de grado profesional (ej.: Pegasus, Predator) con capacidades de explotación zero-day; y adware con componentes de espionaje que monitoriza hábitos de navegación para perfiles publicitarios no consentidos.
El CCN-CERT destaca en su aviso TA25-198C (2025) que el spyware difiere del malware tradicional en su bajo perfil operativo: evita comportamientos destructivos para permanecer indetectado durante meses o años. Esta característica dificulta su identificación mediante antivirus convencionales, requiriendo análisis de comportamiento y correlación de eventos de seguridad mediante SIEM (Security Information and Event Management).
Métodos de infección documentados por el CCN-CERT
El CCN-CERT ha documentado tres vectores de infección predominantes para spyware en el contexto español durante 2024-2025. El primero es la ingeniería social mediante SMS o correo electrónico que simula notificaciones legales («Citación judicial pendiente») con enlaces a dominios maliciosos que explotan vulnerabilidades en navegadores móviles. El segundo es la instalación física no autorizada: acceso breve al dispositivo desatendido para instalar aplicaciones de stalkerware como mSpy o FlexiSPY, práctica documentada en casos de violencia de género investigados por la Guardia Civil.
El tercer vector, reservado a actores estatales avanzados, emplea exploits zero-day contra vulnerabilidades no parcheadas en iOS o Android. El CCN-CERT colaboró con Citizen Lab en 2024 para identificar campañas de Pegasus contra periodistas españoles, donde la infección se produjo mediante enlaces SMS que explotaban vulnerabilidades en el procesador de imágenes de iOS (CVE-2023-41991). La ENISA señala en su informe que estos ataques gubernamentales representan menos del 0,1% de las infecciones por spyware, siendo el stalkerware y el adware las amenazas más prevalentes para ciudadanos.
Indicadores de compromiso y protocolos de detección
La detección de spyware requiere monitorización de indicadores técnicos específicos. El CCN-CERT enumera en su guía «Detección de spyware en dispositivos móviles» (2025) los siguientes IoCs: consumo anómalo de batería (>40% en reposo durante 8 horas); transferencia de datos en segundo plano no atribuible a aplicaciones conocidas (detectable mediante Ajustes > Telefonía > Uso de datos en iOS); presencia de certificados raíz no estándar en el almacén de confianza del sistema; y comportamientos de micrófono/cámara activados sin interacción del usuario (ej.: LED de cámara iluminado sin aplicación activa).
El protocolo de detección forense recomendado por el INCIBE incluye: análisis de tráfico de red mediante herramientas como Wireshark para identificar conexiones C2 (Command & Control) a dominios sospechosos; revisión de permisos de aplicaciones buscando solicitudes excesivas (ej.: calculadora con permiso de SMS); y verificación de integridad del sistema mediante herramientas oficiales como Apple Configurator 2 para iOS o ADB para Android. En casos graves, el CCN-CERT recomienda formateo completo del dispositivo y cambio de todas las contraseñas desde un equipo limpio.
Marco legal español contra el spyware
El marco legal español tipifica el uso no autorizado de spyware como delito. El artículo 197.1 del Código Penal castiga con penas de 1 a 4 años de prisión el acceso no autorizado a sistemas informáticos para obtener datos privados. La Ley Orgánica 1/2015 incorporó el delito de «stalkerware» en el artículo 172 ter, específicamente dirigido a software instalado sin consentimiento en dispositivos de parejas o exparejas.
La AEPD ha emitido resoluciones sancionadoras contra empresas que comercializan spyware en España, considerando que su venta constituye facilitación de delito. En 2024, la Agencia multó con 200.000 euros a una empresa que ofrecía «software de control parental» sin mecanismos técnicos que impidieran su uso en adultos sin consentimiento. El CCN-CERT colabora con la Fiscalía Especializada en Delitos Informáticos para investigar casos documentados, recomendando a las víctimas preservar evidencias digitales antes de formatear el dispositivo.
Preguntas frecuentes sobre spyware
¿Cómo sé si tengo spyware en mi teléfono?
Busca indicadores como consumo excesivo de batería en reposo, transferencia de datos en segundo plano no explicada, o aplicaciones desconocidas con permisos excesivos. Herramientas como Certo Mobile Security (iOS) o Malwarebytes (Android) pueden ayudar, pero no garantizan detección al 100% contra spyware avanzado.
¿Puede el spyware activar mi cámara sin que lo note?
En Android, sí es posible si el spyware tiene permisos de cámara. En iOS 14+, el sistema muestra un punto naranja en la barra de estado cuando la cámara está activa, dificultando el espionaje encubierto. Mantener el sistema actualizado es clave para mitigar estos riesgos.
¿Qué hago si descubro spyware en mi dispositivo?
El CCN-CERT recomienda: 1) No apagar el dispositivo (preserva evidencias en memoria RAM); 2) Desconectar de redes Wi-Fi/celular; 3) Contactar con la Guardia Civil (Unidad TIC) o Policía Nacional para denuncia; 4) Formatear completamente el dispositivo tras preservar evidencias forenses.
