El fraude invisible que roba tus contraseñas desde el celular sin que lo notes

Santo Domingo.- Cuando una persona revisa su correo electrónico, consulta el saldo de su cuenta bancaria o abre una red social desde su teléfono, todo parece funcionar con normalidad.

Sin embargo, mientras escribe su usuario y contraseña, un ciberdelincuente podría estar capturando esa información sin necesidad de vulnerar la aplicación original.

Esta amenaza se conoce como screen overlay, una técnica de fraude que consiste en superponer una pantalla falsa sobre una aplicación legítima para engañar al usuario y obtener sus credenciales de acceso.

Hoy en día, a medida que los teléfonos inteligentes concentran más información financiera y personal, este tipo de ataques también evoluciona y se vuelve más sofisticado.

"Lo que hace el atacante es colocar una capa sobre una aplicación real. La persona cree que está usando la aplicación de su banco, Gmail, Instagram o cualquier otra plataforma, pero en realidad está escribiendo sus datos en una pantalla creada por el delincuente. Toda esa información queda capturada”, explica Kenny Lajara, experto en ciberseguridad y tecnología a El Día.

A diferencia de otros ciberataques, el screen overlay no busca romper complejos sistemas de seguridad, ya que su éxito depende de que la víctima no note absolutamente nada extraño.

Mientras la aplicación original permanece abierta, la superposición simula su apariencia y registra cada dato que el usuario introduce.

Lajara sostiene que las consecuencias pueden ir mucho más allá del robo de una contraseña, debido a que si el atacante obtiene acceso a una aplicación bancaria, podría intentar realizar transferencias o vaciar cuentas. Pero cuando logra controlar el correo electrónico de la víctima, el riesgo aumenta considerablemente.

"El correo electrónico probablemente sea la cuenta más importante que tiene una persona, desde ahí muchas veces se puede recuperar el acceso a prácticamente todos los demás servicios”, advierte Lajara.

Por esa razón, aseguró que los delincuentes también buscan números telefónicos, documentos de identidad, fechas de nacimiento y cualquier otra información que facilite la suplantación de identidad o el acceso a nuevas cuentas.

Una amenaza en crecimiento

El experto revela que, aunque no existen estadísticas que contabilicen exclusivamente los ataques de screen overlay, sí hay datos que reflejan el crecimiento de las amenazas que utilizan esta técnica.

Detalló que durante 2024 se registraron más de 33,3 millones de ataques contra teléfonos inteligentes en todo el mundo. Ese mismo año, los ataques mediante troyanos bancarios, muchos de los cuales utilizaban pantallas superpuestas para capturar credenciales, pasaron de 420,000 en 2023 a 1,24 millones, para un incremento del 196%.

Asimismo, revela que en 2025 la tendencia continuó, con un crecimiento adicional del 56% y un aumento del 271% en las nuevas variantes de este tipo de malware.

"Hace algunos años estos ataques eran relativamente simples y se limitaban a mostrar una pantalla falsa sobre una aplicación bancaria. Hoy forman parte de campañas mucho más sofisticadas. Se combinan con permisos de accesibilidad, automatización de transacciones y técnicas diseñadas para evadir los sistemas de detección. Además, ya no apuntan solo a los bancos, sino también a billeteras digitales, aplicaciones de pago y plataformas de criptomonedas”, relató el especialista.

Android, el sistema más atacado

Históricamente, Android ha sido el sistema operativo que concentra la mayor cantidad de ataques de este tipo.

Lajara manifestó que una de las razones es su ecosistema abierto, que permite a investigadores y desarrolladores detectar y corregir vulnerabilidades con rapidez, pero que también facilita que los atacantes estudien el funcionamiento del sistema.

"Cuando se publica una actualización de seguridad también queda claro cuál era la vulnerabilidad que se corrigió. Si el usuario mantiene su dispositivo desactualizado, un delincuente puede intentar aprovechar precisamente ese fallo", agregó Kenny Lajara.

En el caso de Apple, dijo que el ecosistema cerrado dificulta que terceros analicen el código del sistema operativo. Eso no significa que el iPhone sea inmune a los ataques, sino que descubrir y explotar vulnerabilidades suele ser más complejo.

¿Cómo detectar un ataque?

De acuerdo con el experto en ciberseguridad, una de las principales dificultades del screen overlay es que suele pasar desapercibido.

En algunos dispositivos puede aparecer un pequeño indicador relacionado con las funciones de accesibilidad cuando existe una superposición activa, aunque esto depende del fabricante y de la versión del sistema operativo.

Para el especialista, la mejor estrategia sigue siendo la prevención, ya que las primeras señales de alerta aparecen cuando una aplicación solicita permisos que no guardan relación con la función que desempeña.

Pero explicó que, si esta herramienta pide acceso a las funciones de accesibilidad, al micrófono, la cámara o la ubicación sin una razón evidente, conviene revisar cuidadosamente esa solicitud.

También recomendó sospechar cuando una aplicación pide permisos apenas se instala, sin que el usuario haya realizado ninguna acción que los justifique, o cuando aparece una pantalla de inicio de sesión que no esperaba ver.

La prevención sigue siendo la mejor herramienta

Lajara recomienda revisar periódicamente los permisos otorgados a las aplicaciones y eliminar aquellos que no sean necesarios.

También aconseja activar la autenticación en dos factores en todas las cuentas importantes, especialmente en el correo electrónico, ya que una segunda verificación puede impedir que un atacante tome el control de otros servicios incluso si consigue la contraseña.

Otra medida esencial es mantener actualizado el sistema operativo, descargar aplicaciones únicamente desde Google Play o App Store y evitar instalar programas provenientes de sitios desconocidos.

El especialista también desaconseja modificar el sistema operativo del teléfono, como realizar root al dispositivo, por recomendación de una aplicación o de un sitio web, especialmente cuando el usuario desconoce las implicaciones técnicas.

El panorama en República Dominicana

Las advertencias del especialista coinciden con el diagnóstico del Centro Nacional de Ciberseguridad (CNCS), que en su boletín de gestión de diciembre de 2025 reportó que el malware continúa siendo la principal amenaza para las instituciones monitoreadas en el país.

Durante ese mes, el Equipo Nacional de Respuesta a Incidentes Cibernéticos (CSIRT-RD) atendió 16 nuevos casos, de los cuales cinco se materializaron en incidentes de seguridad, los cuales fueron corregidos para restablecer la operatividad de las entidades afectadas.

Además, realizó dos análisis y validaciones de vulnerabilidades, emitió tres alertas de seguridad y compartió 11 indicadores de compromiso (IOC) para fortalecer las acciones preventivas de las instituciones.

El informe también revela que el código malicioso fue la categoría de incidente más frecuente atendida por el CSIRT-RD, por encima de los problemas de disponibilidad de servicios, compromiso de información, intrusiones y fraudes.

Asimismo, los análisis identificaron vulnerabilidades recurrentes en aplicaciones web, exposición de datos, componentes de software, ejecución remota de código y errores en la cadena de componentes, debilidades que pueden ser aprovechadas por los ciberdelincuentes para comprometer sistemas y desplegar ataques más sofisticados.

El monitoreo del ciberespacio dominicano también evidencia una intensa actividad de software malicioso.

El estudio muestra que entre las principales están variantes detectadas figuran android.badbox2, android.vo1d, android.vo1d2, android.triada, avalanche-andromeda, bondat, expiro y ranbyus, lo que confirma que los dispositivos móviles continúan siendo uno de los principales objetivos de los atacantes.

Asimismo, el CNCS registró cerca de 1.99 millones de eventos asociados a botnets durante diciembre, además de 12,138 eventos de ataques de fuerza bruta, utilizados para obtener credenciales mediante intentos masivos de acceso.

El boletín añade que los servicios más atacados fueron Telnet, con el 54.78% de los intentos; SSH, con 40.97%; SOCKS5, con 4.17%; y MySQL, con 0.07%.

SISAP alerta sobre la evolución de esta modalidad de fraude

Sobre esta modalidad de fraude, también la firma tecnológica SISAP advirtió sobre el crecimiento de este ataque cibernético, que permite a los delincuentes robar información desde aplicaciones móviles sin que los usuarios lo detecten.

José Amado, gerente de la práctica de identidades digitales de SISAP, afirmó que esta modalidad representa una evolución de las técnicas tradicionales de fraude digital.

"Los ataques de screen overlay representan una evolución de las técnicas tradicionales de fraude digital. Ya no se trata únicamente de engañar al usuario mediante correos electrónicos falsos; ahora los atacantes buscan infiltrarse en los dispositivos y aprovechar la confianza que las personas depositan en sus aplicaciones cotidianas", expuso.

El especialista explicó que, a diferencia del phishing por correo electrónico, el screen overlay ocurre directamente dentro del dispositivo del usuario, lo que dificulta considerablemente su detección.

En muchos casos, el software malicioso obtiene permisos de accesibilidad o privilegios avanzados que le permiten monitorear la actividad del teléfono y activar la pantalla falsa en el momento exacto en que la víctima abre una aplicación específica.

Ante el incremento de estas amenazas, la firma recomendó descargar aplicaciones únicamente desde tiendas oficiales y verificar siempre la legitimidad del desarrollador.

También exhortó a revisar cuidadosamente los permisos solicitados por las aplicaciones, especialmente aquellos relacionados con accesibilidad y privacidad, mantener actualizado el sistema operativo y las aplicaciones, implementar soluciones de seguridad capaces de detectar comportamientos sospechosos y activar mecanismos de autenticación multifactor cuando estén disponibles.

Además, aconsejó desconfiar de enlaces recibidos por mensajes, correos electrónicos o aplicaciones de mensajería que soliciten instalar actualizaciones o aplicaciones externas, así como fomentar una cultura de ciberseguridad tanto en las organizaciones como entre los usuarios.