Investigador descubre una enorme base de datos de stalkerware dirigida a figuras públicas

El investigador de ciberseguridad Jeremiah Fowler descubrió recientemente una base de datos desprotegida que contenía más de 86.000 imágenes y registros de chats privados recopilados mediante stalkerware. Los datos no estaban cifrados, no estaban protegidos con contraseña y quedaban completamente expuestos a cualquiera que supiera dónde buscar. Lo más alarmante: las víctimas no eran aleatorias. La base de datos tenía como objetivo específico a una celebridad europea de alto perfil y a varios influencers de redes sociales, lo que sugiere que el despliegue del spyware comercial fue deliberado y focalizado.

Los registros expuestos incluían comunicaciones privadas extraídas directamente de WhatsApp e Instagram, números de teléfono y fotografías de documentos de identidad. Esto no es una filtración de datos estándar en la que las credenciales se exponen desde un servidor mal protegido. Se trata de vigilancia como servicio dirigida contra personas reales, con detalles íntimos de sus vidas almacenados en una base de datos abierta.

Qué es el stalkerware y por qué es diferente a otras amenazas

El stalkerware hace referencia a software instalado de forma encubierta en un dispositivo, normalmente un smartphone, que monitoriza y transmite silenciosamente la actividad privada a un tercero. A diferencia de los ataques de phishing o el malware que apunta a tus contraseñas, el stalkerware opera desde dentro de tu dispositivo, tras haber sido accedido físicamente por alguien que instala el software sin tu conocimiento.

Esta distinción es enormemente importante para determinar cómo protegerse. El stalkerware elude la mayoría de las defensas en las que la gente confía. No necesita interceptar tu tráfico de internet. Lee tus mensajes antes de que sean cifrados y enviados. Captura imágenes almacenadas localmente. Recopila contactos y registros de llamadas. Para cuando tus datos abandonan el teléfono, la vigilancia ya ha ocurrido.

Los productos de spyware comercial están ampliamente disponibles, frecuentemente comercializados bajo la apariencia de herramientas de control parental o seguimiento de empleados. Los límites legales y éticos en torno a su uso son difusos, lo que dificulta su regulación. Y como demuestra esta investigación, los operadores de estas herramientas no siempre protegen los datos que recopilan, creando una segunda capa de exposición para las víctimas que quizás ni siquiera saben que están siendo vigiladas.

Por qué una VPN por sí sola no puede protegerte del stalkerware

Una VPN es una herramienta poderosa para proteger tu tráfico de internet de la vigilancia, especialmente en redes públicas o frente a tu proveedor de servicios de internet. Cifra la conexión entre tu dispositivo e internet, ocultando tu actividad a observadores externos. Pero una VPN no tiene visibilidad sobre lo que ocurre en tu propio dispositivo.

Si el stalkerware ya está instalado en tu teléfono, una VPN no puede detenerlo. El spyware lee tus mensajes de WhatsApp directamente desde la aplicación, no desde la red. Accede a tu biblioteca de fotos sin tocar tu conexión a internet. Opera a nivel de dispositivo, por debajo de la capa en la que una VPN ofrece cualquier tipo de protección.

Esto no hace que las VPN sean irrelevantes. Siguen siendo una parte importante de una estrategia de privacidad en capas. Pero son una herramienta entre muchas, y tratarlas como una solución completa deja brechas significativas que casos como este ilustran claramente.

Qué significa esto para ti

Las víctimas en este caso eran figuras públicas, pero la amenaza no es exclusiva de celebridades o influencers. Cualquier persona cuyo dispositivo sea accedido por una pareja, un familiar, un empleador o un conocido podría estar en riesgo. El hecho de que los datos recopilados hayan quedado en una base de datos sin protección significa que también estuvieron expuestos a cualquiera más allá del operador original, lo que agrava el daño.

A continuación se presentan medidas concretas que puedes tomar para reducir tu exposición al stalkerware y al spyware comercial:

  • Audita tus aplicaciones instaladas con regularidad. Revisa periódicamente todas las aplicaciones de tu teléfono, incluidas las que no instalaste tú mismo. El stalkerware a veces se disfraza con nombres genéricos. Elimina todo lo que no reconozcas.
  • Comprueba los permisos del dispositivo. Tanto en Android como en iOS, puedes ver qué aplicaciones tienen acceso a tu cámara, micrófono, ubicación y mensajes. Revoca los permisos que no tengan sentido para el propósito declarado de una aplicación.
  • Utiliza un escáner de seguridad. Varias herramientas de seguridad móvil detectan específicamente el stalkerware. La Coalition Against Stalkerware mantiene una lista de recursos verificados.
  • Activa la autenticación de dos factores. Aunque esto no detiene el spyware a nivel de dispositivo, limita lo que alguien puede hacer con tus credenciales si las roba.
  • Protege el acceso físico a tu dispositivo. El stalkerware casi siempre requiere acceso físico breve para instalarse. Usa un PIN seguro o bloqueo biométrico, y nunca dejes tu teléfono desatendido con personas en las que no confíes plenamente.
  • Mantén tu sistema operativo actualizado. Las actualizaciones parchean con frecuencia vulnerabilidades que el stalkerware y otro software malicioso explotan.
  • Considera un restablecimiento de fábrica si sospechas que estás comprometido. Es una medida extrema, pero si tienes motivos para creer que hay stalkerware presente y no puedes identificarlo, un restablecimiento completo es la forma más fiable de eliminarlo.

La investigación de Fowler es un recordatorio de que las amenazas a la privacidad provienen de múltiples direcciones, no solo de hackers que apuntan a tus cuentas en línea. Protegerte requiere pensar en quién tiene acceso a tus dispositivos físicos, no solo en quién puede interceptar tu tráfico de red.

Si te preocupa la presencia de stalkerware en tu dispositivo, comienza hoy mismo con una auditoría completa de aplicaciones. Las herramientas para protegerte existen; la clave está en saber contra qué amenazas te estás defendiendo realmente.