Cyberpediapor Brain
ESDEENFR

El sideloading en el móvil

Una aplicación instalada fuera de las tiendas oficiales puede robar contraseñas y SMS. Qué ve el empleado, cómo funciona y qué hacer.

En 30 segundos

Dónde ocurre
En un sitio web que pide instalar un programa, como un falso instalador3, y en un dispositivo al que el atacante accede físicamente9.
Qué quiere el atacante
Que se instale una aplicación trampa y que se le concedan permisos amplios para robar credenciales y datos de mensajería349.
El reflejo
Instalar solo desde la tienda oficial y rechazar cualquier solicitud de accesibilidad o de administrador del dispositivo que usted no haya buscado.
Si ya ocurrió
Avisar al soporte informático sin esperar y no introducir ninguna contraseña en ese teléfono.

De qué se trata

En un teléfono profesional o personal, las aplicaciones proceden normalmente de una tienda oficial, como Google Play o la App Store. En esta ficha, el sideloading es la instalación de una aplicación por una vía distinta de esa tienda. Como los móviles suelen estar configurados para aceptar solo la tienda autorizada2, el atacante tiene que convencer a la víctima de que salga de ese marco. MITRE describe el método: distribuir un software malicioso haciéndolo pasar por una aplicación legítima1.

Esta ficha adopta el punto de vista del empleado. Las fuentes del expediente son las fichas técnicas de MITRE ATT&CK. Describen los métodos de los atacantes en Android e iOS, pero no contienen estadísticas sobre el sideloading.

Preguntas directas

¿Qué es el sideloading?

Es la instalación de una aplicación sin pasar por la tienda autorizada del dispositivo. MITRE señala que los móviles suelen estar configurados para aceptar instalaciones solo desde una tienda autorizada, como Google Play Store o Apple App Store2. Un atacante que no puede colocar allí su aplicación debe convencer a la víctima de que la consiga en otro lugar.

¿Protege por completo la tienda oficial?

No por completo: MITRE describe también el caso en que el atacante intenta colocar la aplicación maliciosa en una tienda autorizada, lo que permite instalarla en los dispositivos objetivo2. Las dos páginas de MITRE sobre este tema llevan un aviso de obsolescencia, pero su contenido describe bien ambas vías12.

¿Cómo se lleva a un empleado a instalar la aplicación?

Las fuentes describen dos artimañas. La primera consiste en hacer pasar el software por una aplicación legítima, ya sea integrándolo en una aplicación real o imitando su aspecto1. La segunda pasa por un sitio web que invita a instalar un programa conocido: el troyano Cerberus se distribuyó mediante sitios que incitaban al usuario a «install Adobe Flash Player» y descargaban un APK malicioso3.

¿Qué autorizaciones pide la aplicación?

Las fuentes citan los permisos de accesibilidad y de administrador del dispositivo. Aplicaciones maliciosas abusan de la accesibilidad de Android para saber qué aplicación está en primer plano4. Sobre los permisos de administrador, MITRE señala que las aplicaciones rara vez los necesitan y aconseja a los desarrolladores no recurrir a ese nivel de acceso5.

¿Sigue visible la aplicación instalada?

No necesariamente. MITRE explica que los sistemas móviles tienen interfaces para ocultar elementos como el icono de una aplicación, y que los atacantes las desvían de su uso6. La ficha sobre la captura de entrada pide a los usuarios desconfiar de los permisos peligrosos, como el acceso a la accesibilidad7. Otros atacantes explotan fallos del sistema para obtener permisos más altos8.

¿Hace falta acceso físico al dispositivo para infectarlo?

En el caso documentado de BusyGasper, sí: este software espía infectó a sus víctimas mediante acceso físico al dispositivo9.

1En la piel del atacante1 min

El atacante tiene un obstáculo: el dispositivo suele estar configurado para aceptar solo la tienda autorizada2. Necesita un pretexto creíble, y las fuentes dan uno: el nombre y el aspecto de una aplicación conocida4. En el caso de Cerberus, es un falso instalador de Adobe Flash Player3.

Una vez instalada la aplicación, su primer objetivo es obtener permisos. Cerberus puede inyectar entradas para concederse permisos adicionales sin interacción del usuario y para impedir que se elimine la aplicación3. Después vienen la recopilación y la discreción: el atacante quiere leer los SMS, obtener los contactos y la lista de aplicaciones, y mostrar pantallas falsas sobre las aplicaciones que él designa3.

Las fuentes describen también atacantes que apuntan al propio sistema. Algunos explotan fallos del sistema operativo para pasar de un nivel de acceso limitado a permisos de superusuario (root)8. MITRE cita Pegasus para Android, que intenta explotar fallos conocidos de Android, y Pegasus para iOS, que explota fallos de iOS8.

2Lo que ve en la pantalla1 min

La víctima ve primero la página o el mensaje que la invita a instalar un programa. Las fuentes del expediente no describen la advertencia de instalación del dispositivo, por lo que esa etapa no se detalla aquí.

Tras la instalación, las señales son escasas, por diseño. MITRE explica que los sistemas móviles ofrecen interfaces para ocultar elementos, como el icono de una aplicación, y que esas interfaces tienen usos legítimos que los atacantes desvían6. Cerberus oculta su icono del cajón de aplicaciones tras su primer inicio3. BusyGasper baja el brillo de la pantalla al mínimo y silencia el sonido cuando está activo9.

La señal más visible es una solicitud de entrada falsa. MITRE explica que las aplicaciones maliciosas imitan elementos de la interfaz del sistema para pedir información sensible, y que el tamaño reducido de la pantalla de un móvil dificulta comprobar el contexto4. También pueden enviar notificaciones falsas que abren una solicitud al tocarlas4. Por último, una solicitud puede aparecer encima de una aplicación legítima4.

3Bajo el capóEquipos de TI1 min

Las fuentes describen primero la superposición y la accesibilidad, y después la persistencia.

  • La superposición: la aplicación dibuja una ventana sobre otra. Debe contar con el permiso SYSTEM_ALERT_WINDOW, que según MITRE se concede automáticamente, al menos en ciertas condiciones, a las aplicaciones instaladas desde Google Play4. Android 10 limita el inicio de una actividad sobre otra aplicación4. Android 12 añade el permiso HIDE_OVERLAY_WINDOWS, que permite ocultar esas ventanas7.
  • La accesibilidad: un uso indebido permite saber qué aplicación está en primer plano4. MITRE señala además aplicaciones que registran las pulsaciones de teclas o captan información sobre los gestos en la pantalla7.
  • La persistencia: Cerberus desactiva Google Play Protect para evitar ser descubierto y eliminado más tarde3. Puede actualizar su código bajo orden3.

MITRE precisa además que el aislamiento de las aplicaciones limita el acceso a los datos de otra aplicación, salvo en tres casos: almacenamiento externo sin protección, almacenamiento interno con permisos poco seguros u obtención de permisos root10.

4AutopsiasCasos reales1 min

Cerberus, troyano bancario de alquiler

Cerberus es un troyano bancario para Android cuyo uso se alquila en foros clandestinos3. Sus autores afirman haberlo empleado durante dos años en privado antes de ponerlo en alquiler3. Las referencias de la ficha de MITRE incluyen un informe de ThreatFabric de agosto de 2019 y un artículo del 16 de agosto de 2019 sobre falsos instaladores de Adobe Flash Player3. El software podía leer los SMS, obtener los contactos y la lista de aplicaciones, generar notificaciones falsas y lanzar ataques de superposición contra las aplicaciones designadas por el atacante3.

BusyGasper, software espía (desde mayo de 2016)

BusyGasper es un software espía para Android utilizado desde mayo de 20169. Se conocen menos de diez víctimas, todas aparentemente en Rusia y todas infectadas mediante acceso físico al dispositivo9. Puede grabar el sonido y la cámara, copiar las fotos y el historial del navegador, y leer SMS y datos de WhatsApp, Viber y Facebook9. La referencia de la ficha es un artículo de Alexey Firsh del 29 de agosto de 20189.

5Lo que usted hace1 min
  • Instale únicamente desde la tienda oficial del dispositivo. Una invitación a descargar un archivo o un «instalador» desde un sitio web es sospechosa, incluso para un programa conocido3.
  • Rechace los permisos de accesibilidad, de teclado o de administrador que una aplicación pida sin una razón clara. MITRE aconseja al usuario desconfiar de los permisos peligrosos o intrusivos, como el registro de un teclado o el acceso a la accesibilidad7.
  • Mantenga su teléfono bloqueado y al alcance de la mano: un caso documentado empieza con un acceso físico9.
  • Actualice el sistema: ciertas protecciones, como las restricciones de Android 10 y de Android 12, dependen de la versión47.
  • En un dispositivo gestionado, la empresa puede limitar los servicios de accesibilidad permitidos mediante una lista explícita, a través de una herramienta de gestión de dispositivos (EMM o MDM)7.
6Las trampas1 min

La tienda oficial no es una garantía completa2. Una aplicación maliciosa también puede ocultar su icono, de modo que la ausencia de un icono sospechoso no prueba nada6. MITRE escribe que este tipo de técnica no se contrarresta fácilmente con controles preventivos, porque abusa de funciones del sistema6.

Un ajuste de seguridad que cambia sin que usted haga nada es una señal: Cerberus desactiva Google Play Protect3. En ese caso, o si una aplicación desconocida pide permisos amplios, contacte con el soporte.

Ficha

Identificador
CP-093
Ala
1. Ataques y técnicas
Competencia Brain
Proteger los dispositivos (secure_devices)
Reflejo Brain
cr-071
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr
Fuentes
10 fuentes verificadas el 3 de noviembre de 2026
Fuentes10 fuentes
  1. MITRE ATT&CK, «Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1444/ (consultado el 3 de noviembre de 2026)
  2. MITRE ATT&CK, «Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1475/ (consultado el 3 de noviembre de 2026)
  3. MITRE ATT&CK, «Cerberus, Software S0480 | MITRE ATT&CK®». https://attack.mitre.org/software/S0480/ (consultado el 3 de noviembre de 2026)
  4. MITRE ATT&CK, «Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/002/ (consultado el 3 de noviembre de 2026)
  5. MITRE ATT&CK, «Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1626/ (consultado el 3 de noviembre de 2026)
  6. MITRE ATT&CK, «Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1628/ (consultado el 3 de noviembre de 2026)
  7. MITRE ATT&CK, «Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/ (consultado el 3 de noviembre de 2026)
  8. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultado el 3 de noviembre de 2026)
  9. MITRE ATT&CK, «BusyGasper, Software S0655 | MITRE ATT&CK®». https://attack.mitre.org/software/S0655/ (consultado el 3 de noviembre de 2026)
  10. MITRE ATT&CK, «Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1409/ (consultado el 3 de noviembre de 2026)

Citar este artículo

Brain, «El sideloading en el móvil», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/

BibTeX 
@misc{brain_cp093_es_2026,
  author = {Brain},
  title = {El sideloading en el móvil},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/},
  note = {CC BY 4.0}
}
Licencia CC BY 4.0