Detectar vulnerabilidades en el móvil

Por encargo del servicio de ayuda a las víctimas de beider Basel y Basilea-Campiña, realizas las llamadas «evaluaciones de seguridad de móviles» para víctimas de violencia de pareja y acoso. ¿En qué consiste exactamente tu trabajo?

Rachid Dahjaoui: Hacemos una revisión exhaustiva de las personas afectadas para detectar riesgos de seguridad digital. El objetivo es averiguar si su dispositivo está siendo vigilado, por ejemplo, mediante el llamado «stalkerware» (aplicaciones de vigilancia ocultas), o si hay otros puntos débiles que puedan suponer un peligro. Al final, la persona afectada recibe un plan de medidas concreto con recomendaciones claras sobre cómo actuar. Además, durante toda la evaluación, las personas afectadas pueden plantear más preguntas.

¿Cómo se desarrolla un examen de este tipo?

Rachid Dahjaoui: En la primera fase, le explicamos a la persona afectada cómo va a ser el proceso y cuál es el objetivo de la evaluación. Además, le damos una guía de autodefensa digital con consejos prácticos para usar el móvil de forma segura, sobre contraseñas y ajustes importantes en las apps de redes sociales, sobre todo en lo que se refiere a compartir la ubicación. En la segunda fase, repasamos juntos un cuestionario que hemos elaborado nosotros mismos, con el que analizamos de forma sistemática todas las áreas de riesgo relevantes. Si detectamos algo sospechoso, lo que se conoce como «señales de alerta», profundizamos en ello para evaluar el peligro concreto. Ya durante la charla, acordamos las medidas adecuadas para contrarrestarlas.

¿Y ahora qué pasa?

En la tercera fase nos metemos en lo técnico: analizamos el tráfico de red del smartphone, es decir, las conexiones que el dispositivo establece en segundo plano. Así podemos detectar si el teléfono envía datos a escondidas a servicios sospechosos, como ocurriría con el «stalkerware». Para ello utilizamos un dispositivo especialmente configurado al que se conecta la persona afectada. Tras la evaluación, recibe un plan de acción con todos los riesgos detectados y los pasos recomendados.

¿Cuáles son las vulnerabilidades más comunes con las que te has encontrado?

Rachid Dahjaoui: Sin duda, el mayor punto débil es la falta de precaución a la hora de gestionar las cuentas y contraseñas propias. Las personas afectadas suelen haber compartido sus datos de acceso con su pareja o haber dejado que esta les configurara las cuentas. Esto hace que tu pareja tenga acceso total y, por lo tanto, también control total y la posibilidad de vigilarte. Además, muchas veces se usa la misma contraseña para varias cuentas. Si se descubre una de ellas, se abren varias puertas a la vez.

Francis Fink: En este contexto, a las personas afectadas también les suele faltar una visión general de qué cuentas tienen y qué nivel de seguridad ofrecen. Cuando se enteran de que todas sus cuentas deben considerarse en peligro o incluso comprometidas, eso les supone una gran carga.

La fase piloto ya ha terminado. ¿Qué experiencias has podido adquirir? ¿Qué balance provisional sacas de todo esto?

Rachid Dahjaoui: Una conclusión importante: salvo en un caso, no hemos encontrado ningún programa de acoso ni de espionaje en los dispositivos. Pero eso no significa que no haya vigilancia, sino todo lo contrario. El riesgo no suele venir de ataques técnicos, sino de que se hayan compartido voluntariamente los datos de acceso o de que los haya configurado la pareja. En términos técnicos, a esto se le llama «ingeniería social», es decir, la manipulación deliberada de personas para conseguir acceso o información. Otra conclusión: un cuestionario por sí solo no basta. Se necesitan conocimientos sólidos en materia de ciberseguridad para poder evaluar correctamente el riesgo real.

Francis Fink: Una de las cosas que más me ha llamado la atención es que, en los casos de violencia doméstica y psicológica, los agresores también trasladan el control que ejercen sobre las víctimas al ámbito digital. Esto significa que las víctimas, que hasta antes de que se produjeran los hechos se tomaban la seguridad de sus cuentas con la misma despreocupación que la mayoría de la gente, tienen que adaptar sin falta sus medidas de seguridad a esta situación de mayor riesgo. Este cambio no se consigue de la noche a la mañana y, a menudo, en ese momento ya existe un gran riesgo potencial. Nuestras evaluaciones cibernéticas son un punto de partida para practicar lo que llamamos «higiene digital» y, en su caso, empezar a recuperar el control sobre tus propias cuentas y conexiones.

¿Cómo puedes asegurarte de que las personas afectadas pongan en práctica tus recomendaciones?

Rachid Dahjaoui: Lo ideal sería crear una oferta que acompañe directamente a las personas afectadas a la hora de poner en práctica las medidas. Es decir, que no las deje solas con una lista, sino que las apoye paso a paso. Al mismo tiempo, es importante concienciar a las personas afectadas: ¿qué es lo que se puede hacer técnicamente? ¿Qué riesgos hay concretamente? ¿Y cómo podría haberse protegido esa persona? Esta concienciación es clave para que las recomendaciones se apliquen en el día a día a largo plazo.

Francis Fink: Por ahora, lamentablemente, no podemos hacer un seguimiento de las personas afectadas tras la evaluación. Eso significa que no podemos asegurarnos de que puedan poner en práctica nuestras recomendaciones de forma adecuada. En mi opinión, sería fundamental recuperar la soberanía digital, es decir, una situación en la que cada persona pueda decidir y controlar por sí misma el nivel de acceso que quiere conceder a otras personas y, si es necesario, también pueda retirárselo. Ampliar la oferta de los centros de ayuda a las víctimas para incluir servicios de asesoramiento sobre cómo moverse con seguridad en el espacio digital y cómo podrían aplicar las medidas que recomendamos completaría sin duda nuestros esfuerzos.

Has podido compartir tus experiencias con los centros de apoyo a las víctimas y, por encargo de «tech against violence», impartes una sesión semanal de consulta para profesionales. ¿A qué atribuyes el gran interés que despierta tu trabajo?

Rachid Dahjaoui: Hoy en día es alarmantemente fácil vigilar a otras personas por medios digitales. Para ello no hace falta saber de piratería informática ni tener grandes conocimientos técnicos. Esto hace que la vigilancia digital sea cada vez más habitual en las relaciones de violencia, y los centros de asesoramiento se enfrentan cada vez más a este problema concreto. Al mismo tiempo, a menudo les falta el conocimiento necesario para evaluar correctamente los riesgos. Un ejemplo concreto: si una persona afectada se refugia en un centro de acogida para mujeres o niñas y lleva consigo un smartphone que está siendo rastreado en ese mismo momento, la seguridad de todo el centro de acogida queda en peligro. Justo ahí es donde se necesitan conocimientos especializados, y precisamente por eso hay tanto interés en nuestro trabajo.

Francis Fink: Los conocimientos informáticos de los empleados de los organismos especializados en ciberseguridad suelen ser insuficientes para poder reaccionar adecuadamente ante las situaciones de riesgo en el espacio digital. La mayoría de estos organismos son conscientes de ello, por lo que recurren con frecuencia a la oferta de «tech against violence».

¿Qué consejos nos puedes dar a todos para que seamos más conscientes de la seguridad de los datos?

Rachid Dahjaoui: Cuatro reglas básicas sencillas que marcan una gran diferencia: Primero: usa una contraseña diferente y segura para cada cuenta. Un gestor de contraseñas te ayuda a tenerlas todas a mano. Segundo: activa la autenticación de dos factores siempre que puedas. Esto significa que, además de la contraseña, se necesita un segundo paso de confirmación, por ejemplo, un código que te llega a través de una app. Aunque alguien conozca tu contraseña, no podrá acceder a la cuenta solo con eso. Tercero: revisa regularmente los permisos de tus apps: ¿qué app tiene acceso a tu ubicación, a tu cámara o a tu micrófono? Desactiva todo lo que no sea estrictamente necesario. Cuarto: mantén tus dispositivos siempre al día e instala las actualizaciones. Y, sobre todo: no compartas tus datos de acceso con nadie, ni siquiera con tu pareja.

Francis Fink: Yo opino lo mismo que Rachid: gestionar bien tus propias cuentas y contraseñas es la base de tu propia ciberseguridad.

¿Cómo nos damos cuenta de que algo va mal con la seguridad de nuestro móvil? ¿Y qué debemos hacer entonces?

Rachid Dahjaoui: Hay algunas señales de alerta típicas: la batería se agota con una rapidez llamativa, aunque apenas hayas usado el móvil. La cámara o el micrófono se activan sin motivo aparente. Recibes correos electrónicos sobre restablecimientos de contraseña que tú no has solicitado. O de repente ya no puedes cambiar ciertos ajustes y aparecen mensajes de error. Estos son solo algunos ejemplos, pero si notas cosas así, deberías estar atento. En ese caso, acude a un centro especializado o a un servicio de asesoramiento que te pueda ayudar a que revisen el dispositivo.

Francis Fink: Hay que añadir que, desde el 1 de enero de 2026, el acoso es un delito. Se pueden imponer penas de prisión de hasta tres años. El acoso consiste en un seguimiento, hostigamiento o amenaza continuados que limitan mucho la capacidad de una persona para vivir su vida libremente. A menudo, la vigilancia digital forma parte de ello.