--- id: CP-093 slug: sideloading-aplicaciones-fuera-de-las-tiendas lang: es title: El sideloading en el móvil description: Una aplicación instalada fuera de las tiendas oficiales puede robar contraseñas y SMS. Qué ve el empleado, cómo funciona y qué hacer. canonical_url: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ markdown_url: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «El sideloading en el móvil», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-071 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ fr: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ en: https://startbrain.io/cyberpedia/en/articles/mobile-app-sideloading/ de: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ it: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ sources: - "n": 1 title: Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1444/ accessed: "2026-11-03" - "n": 2 title: Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1475/ accessed: "2026-11-03" - "n": 3 title: Cerberus, Software S0480 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0480/ accessed: "2026-11-03" - "n": 4 title: "Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/002/ accessed: "2026-11-03" - "n": 5 title: Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1626/ accessed: "2026-11-03" - "n": 6 title: Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1628/ accessed: "2026-11-03" - "n": 7 title: Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/ accessed: "2026-11-03" - "n": 8 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 9 title: BusyGasper, Software S0655 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0655/ accessed: "2026-11-03" - "n": 10 title: Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1409/ accessed: "2026-11-03" --- # El sideloading en el móvil En un teléfono profesional o personal, las aplicaciones proceden normalmente de una tienda oficial, como Google Play o la App Store. En esta ficha, el sideloading es la instalación de una aplicación por una vía distinta de esa tienda. Como los móviles suelen estar configurados para aceptar solo la tienda autorizada [2], el atacante tiene que convencer a la víctima de que salga de ese marco. MITRE describe el método: distribuir un software malicioso haciéndolo pasar por una aplicación legítima [1]. Esta ficha adopta el punto de vista del empleado. Las fuentes del expediente son las fichas técnicas de MITRE ATT&CK. Describen los métodos de los atacantes en Android e iOS, pero no contienen estadísticas sobre el sideloading. ## En 30 segundos - Dónde ocurre: en un sitio web que pide instalar un programa, como un falso instalador [3], y en un dispositivo al que el atacante accede físicamente [9]. - Qué quiere el atacante: que se instale una aplicación trampa y que se le concedan permisos amplios para robar credenciales y datos de mensajería [3][4][9]. - El reflejo: instalar solo desde la tienda oficial y rechazar cualquier solicitud de accesibilidad o de administrador del dispositivo que usted no haya buscado. - Si ya ocurrió: avisar al soporte informático sin esperar y no introducir ninguna contraseña en ese teléfono. ## Preguntas directas ### ¿Qué es el sideloading? Es la instalación de una aplicación sin pasar por la tienda autorizada del dispositivo. MITRE señala que los móviles suelen estar configurados para aceptar instalaciones solo desde una tienda autorizada, como Google Play Store o Apple App Store [2]. Un atacante que no puede colocar allí su aplicación debe convencer a la víctima de que la consiga en otro lugar. ### ¿Protege por completo la tienda oficial? No por completo: MITRE describe también el caso en que el atacante intenta colocar la aplicación maliciosa en una tienda autorizada, lo que permite instalarla en los dispositivos objetivo [2]. Las dos páginas de MITRE sobre este tema llevan un aviso de obsolescencia, pero su contenido describe bien ambas vías [1][2]. ### ¿Cómo se lleva a un empleado a instalar la aplicación? Las fuentes describen dos artimañas. La primera consiste en hacer pasar el software por una aplicación legítima, ya sea integrándolo en una aplicación real o imitando su aspecto [1]. La segunda pasa por un sitio web que invita a instalar un programa conocido: el troyano Cerberus se distribuyó mediante sitios que incitaban al usuario a «install Adobe Flash Player» y descargaban un APK malicioso [3]. ### ¿Qué autorizaciones pide la aplicación? Las fuentes citan los permisos de accesibilidad y de administrador del dispositivo. Aplicaciones maliciosas abusan de la accesibilidad de Android para saber qué aplicación está en primer plano [4]. Sobre los permisos de administrador, MITRE señala que las aplicaciones rara vez los necesitan y aconseja a los desarrolladores no recurrir a ese nivel de acceso [5]. ### ¿Sigue visible la aplicación instalada? No necesariamente. MITRE explica que los sistemas móviles tienen interfaces para ocultar elementos como el icono de una aplicación, y que los atacantes las desvían de su uso [6]. La ficha sobre la captura de entrada pide a los usuarios desconfiar de los permisos peligrosos, como el acceso a la accesibilidad [7]. Otros atacantes explotan fallos del sistema para obtener permisos más altos [8]. ### ¿Hace falta acceso físico al dispositivo para infectarlo? En el caso documentado de BusyGasper, sí: este software espía infectó a sus víctimas mediante acceso físico al dispositivo [9]. ## En la piel del atacante El atacante tiene un obstáculo: el dispositivo suele estar configurado para aceptar solo la tienda autorizada [2]. Necesita un pretexto creíble, y las fuentes dan uno: el nombre y el aspecto de una aplicación conocida [4]. En el caso de Cerberus, es un falso instalador de Adobe Flash Player [3]. Una vez instalada la aplicación, su primer objetivo es obtener permisos. Cerberus puede inyectar entradas para concederse permisos adicionales sin interacción del usuario y para impedir que se elimine la aplicación [3]. Después vienen la recopilación y la discreción: el atacante quiere leer los SMS, obtener los contactos y la lista de aplicaciones, y mostrar pantallas falsas sobre las aplicaciones que él designa [3]. Las fuentes describen también atacantes que apuntan al propio sistema. Algunos explotan fallos del sistema operativo para pasar de un nivel de acceso limitado a permisos de superusuario (root) [8]. MITRE cita Pegasus para Android, que intenta explotar fallos conocidos de Android, y Pegasus para iOS, que explota fallos de iOS [8]. ## Lo que ve en la pantalla La víctima ve primero la página o el mensaje que la invita a instalar un programa. Las fuentes del expediente no describen la advertencia de instalación del dispositivo, por lo que esa etapa no se detalla aquí. Tras la instalación, las señales son escasas, por diseño. MITRE explica que los sistemas móviles ofrecen interfaces para ocultar elementos, como el icono de una aplicación, y que esas interfaces tienen usos legítimos que los atacantes desvían [6]. Cerberus oculta su icono del cajón de aplicaciones tras su primer inicio [3]. BusyGasper baja el brillo de la pantalla al mínimo y silencia el sonido cuando está activo [9]. La señal más visible es una solicitud de entrada falsa. MITRE explica que las aplicaciones maliciosas imitan elementos de la interfaz del sistema para pedir información sensible, y que el tamaño reducido de la pantalla de un móvil dificulta comprobar el contexto [4]. También pueden enviar notificaciones falsas que abren una solicitud al tocarlas [4]. Por último, una solicitud puede aparecer encima de una aplicación legítima [4]. ## Bajo el capó Las fuentes describen primero la superposición y la accesibilidad, y después la persistencia. - La superposición: la aplicación dibuja una ventana sobre otra. Debe contar con el permiso SYSTEM_ALERT_WINDOW, que según MITRE se concede automáticamente, al menos en ciertas condiciones, a las aplicaciones instaladas desde Google Play [4]. Android 10 limita el inicio de una actividad sobre otra aplicación [4]. Android 12 añade el permiso HIDE_OVERLAY_WINDOWS, que permite ocultar esas ventanas [7]. - La accesibilidad: un uso indebido permite saber qué aplicación está en primer plano [4]. MITRE señala además aplicaciones que registran las pulsaciones de teclas o captan información sobre los gestos en la pantalla [7]. - La persistencia: Cerberus desactiva Google Play Protect para evitar ser descubierto y eliminado más tarde [3]. Puede actualizar su código bajo orden [3]. MITRE precisa además que el aislamiento de las aplicaciones limita el acceso a los datos de otra aplicación, salvo en tres casos: almacenamiento externo sin protección, almacenamiento interno con permisos poco seguros u obtención de permisos root [10]. ## Autopsias ### Cerberus, troyano bancario de alquiler Cerberus es un troyano bancario para Android cuyo uso se alquila en foros clandestinos [3]. Sus autores afirman haberlo empleado durante dos años en privado antes de ponerlo en alquiler [3]. Las referencias de la ficha de MITRE incluyen un informe de ThreatFabric de agosto de 2019 y un artículo del 16 de agosto de 2019 sobre falsos instaladores de Adobe Flash Player [3]. El software podía leer los SMS, obtener los contactos y la lista de aplicaciones, generar notificaciones falsas y lanzar ataques de superposición contra las aplicaciones designadas por el atacante [3]. ### BusyGasper, software espía (desde mayo de 2016) BusyGasper es un software espía para Android utilizado desde mayo de 2016 [9]. Se conocen menos de diez víctimas, todas aparentemente en Rusia y todas infectadas mediante acceso físico al dispositivo [9]. Puede grabar el sonido y la cámara, copiar las fotos y el historial del navegador, y leer SMS y datos de WhatsApp, Viber y Facebook [9]. La referencia de la ficha es un artículo de Alexey Firsh del 29 de agosto de 2018 [9]. ## Lo que usted hace - Instale únicamente desde la tienda oficial del dispositivo. Una invitación a descargar un archivo o un «instalador» desde un sitio web es sospechosa, incluso para un programa conocido [3]. - Rechace los permisos de accesibilidad, de teclado o de administrador que una aplicación pida sin una razón clara. MITRE aconseja al usuario desconfiar de los permisos peligrosos o intrusivos, como el registro de un teclado o el acceso a la accesibilidad [7]. - Mantenga su teléfono bloqueado y al alcance de la mano: un caso documentado empieza con un acceso físico [9]. - Actualice el sistema: ciertas protecciones, como las restricciones de Android 10 y de Android 12, dependen de la versión [4][7]. - En un dispositivo gestionado, la empresa puede limitar los servicios de accesibilidad permitidos mediante una lista explícita, a través de una herramienta de gestión de dispositivos (EMM o MDM) [7]. ## Las trampas La tienda oficial no es una garantía completa [2]. Una aplicación maliciosa también puede ocultar su icono, de modo que la ausencia de un icono sospechoso no prueba nada [6]. MITRE escribe que este tipo de técnica no se contrarresta fácilmente con controles preventivos, porque abusa de funciones del sistema [6]. Un ajuste de seguridad que cambia sin que usted haga nada es una señal: Cerberus desactiva Google Play Protect [3]. En ese caso, o si una aplicación desconocida pide permisos amplios, contacte con el soporte. ## Fuentes 1. MITRE ATT&CK, «Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1444/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1475/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Cerberus, Software S0480 | MITRE ATT&CK®». https://attack.mitre.org/software/S0480/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/002/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1626/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1628/ (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/ (consultado el 3 de noviembre de 2026) 8. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultado el 3 de noviembre de 2026) 9. MITRE ATT&CK, «BusyGasper, Software S0655 | MITRE ATT&CK®». https://attack.mitre.org/software/S0655/ (consultado el 3 de noviembre de 2026) 10. MITRE ATT&CK, «Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1409/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.