Un nuevo malware para Android se instala a partir de un SMS falso, usa inteligencia artificial para manejar el celular como si fuera su dueño y sigue funcionando aunque se borre la aplicación. Para un negocio donde el teléfono concentra la banca, el correo y la atención a clientes, el riesgo es directo.
Desinstalar una aplicación sospechosa ya no garantiza que el atacante haya salido del teléfono.
En Perú y Latinoamérica, el celular es la principal herramienta de trabajo de miles de pequeñas empresas. Desde ahí se aprueban pagos, se atiende a los clientes por WhatsApp y se reciben los códigos de verificación del banco. Por eso el hallazgo de RatHat, un malware en celulares descrito por investigadores de la firma Zimperium, merece la atención de cualquier dueño de negocio, aunque todavía no haya casos reportados en el país.
Qué hace diferente a RatHat
RatHat reúne en una sola amenaza varias técnicas que normalmente aparecen por separado:
- Llega por mensajes y descargas falsas: se distribuye sobre todo por smishing, anuncios maliciosos y portales que imitan sitios de descarga legítimos.
- Se esconde de los analistas: el instalador incluye trucos para que las herramientas automáticas de revisión fallen o no reconozcan el código.
- Usa IA para orientarse: consulta a un asistente de inteligencia artificial para ubicar botones y textos en la pantalla.
- Sobrevive a la desinstalación: conserva el acceso al sistema aunque la aplicación se borre.
Según los investigadores, la operación estaría en manos de actores con base en China.
Cómo pasa de una app a controlar todo el teléfono
Todo empieza con un permiso que parece inofensivo. La aplicación pide acceso a las funciones de accesibilidad, pensadas para ayudar a personas con discapacidad a usar el celular. Con ese permiso, el malware puede tocar la pantalla por su cuenta.
Así activa las opciones de desarrollador, enciende la depuración inalámbrica y lee el código de seis dígitos con el que Android autoriza conexiones de ADB, la herramienta que usan los programadores para administrar equipos a distancia. Con ese código se conecta consigo mismo y obtiene privilegios de sistema, algo que una app común no tiene. Desde ahí abre un canal permanente hacia los atacantes.
Un asistente de IA que le lee la pantalla
La parte más novedosa está en cómo se mueve dentro del celular. RatHat convierte lo que aparece en pantalla en un texto y lo envía a uno de los asistentes de IA generativa más populares, cuyo nombre no fue revelado. La IA le responde dónde está un botón, qué dice un mensaje o cuándo desplazarse.
Zimperium aclara que la IA no ejecuta las acciones maliciosas: solo interpreta la pantalla. Pero esa ayuda le permite al malware adaptarse a celulares de distintas marcas sin que nadie tenga que programar cada caso. Es un ejemplo claro de cómo los delincuentes ya usan herramientas de IA de uso general para automatizar sus ataques.
Por qué borrar la app no resuelve el problema
Ante una aplicación extraña, lo normal es desinstalarla. Con RatHat eso no basta. Como sus procesos funcionan con privilegios propios, el atacante mantiene el acceso aunque la app desaparezca, puede revisar si el malware sigue instalado y volver a instalarlo si no lo encuentra.
Además, cuando la víctima intenta instalar otras aplicaciones, RatHat puede mostrar una pantalla de error falsa que imita a Google Play. El usuario cree que el problema es de la tienda y no del teléfono.
Qué datos quedan expuestos en un negocio
De acuerdo con el reporte, los operadores de RatHat pueden obtener:
- Mensajes SMS: incluidos los códigos que envía el banco para confirmar operaciones.
- Contraseñas: capturadas con pantallas falsas que se colocan encima de otras aplicaciones.
- El bloqueo del teléfono: PIN, patrón o contraseña.
- Lo que se ve y se escribe: capturas y grabaciones de pantalla, pulsaciones de teclado y direcciones web visitadas.
- Archivos y aplicaciones: documentos guardados y la lista de apps instaladas.
En una mype, ese mismo celular suele tener la banca móvil de la empresa, el correo del negocio y las conversaciones con clientes. Si además guarda datos personales de clientes, una filtración puede traer obligaciones bajo la Ley 29733 de Protección de Datos Personales.
El fraude por SMS ya afecta a los peruanos
RatHat todavía no aparece en reportes locales, pero su puerta de entrada es muy conocida aquí. Según datos del Portal Estadístico del Ministerio Público citados por Causa Justa, entre enero y marzo de 2026 se registraron 11 624 denuncias por delitos informáticos, un 26,4 % más que en el mismo periodo de 2025.
El Comercio reportó en julio el caso de una usuaria que recibió un SMS que suplantaba al BCP con el aviso de una transferencia retenida. Después de entrar al enlace, su aplicación bancaria se bloqueó y le sustrajeron S/ 5 500. En esa nota, el abogado especialista en derecho digital Erick Iriarte explicó que estos enlaces pueden descargar un archivo que toma el control del dispositivo.
Qué puede hacer su negocio desde hoy
- Solo tiendas oficiales: instale aplicaciones únicamente desde Google Play y mantenga bloqueadas las fuentes desconocidas.
- Permisos bajo la lupa: desconfíe de cualquier app que pida accesibilidad sin una razón evidente.
- Opciones de desarrollador apagadas: si nadie en el equipo las usa, la depuración inalámbrica debe estar desactivada.
- Actualizaciones al día: mantenga Android y las aplicaciones en su última versión.
- Códigos fuera del SMS: cuando el servicio lo permita, use aplicaciones autenticadoras o llaves de acceso en lugar de códigos por SMS.
- Un protocolo claro: ante una sospecha, desconecte el equipo, cambie las contraseñas desde otro dispositivo, avise al banco y restablezca el teléfono de fábrica. Iriarte recuerda que formatear no recupera lo robado, por lo que también conviene denunciar ante una comisaría o la Dirección de Investigación de Ciberdelincuencia de la PNP.
Cuando el negocio maneja varios equipos, llevar este control a mano se vuelve difícil. Para eso, Xcitione RMM ayuda a mantener un inventario y una supervisión centralizada de los dispositivos de la empresa.
Conclusión
RatHat muestra que el malware en celulares ya combina ingeniería social, abuso de funciones legítimas de Android e inteligencia artificial. Para una pequeña empresa, la defensa empieza por algo sencillo: no abrir enlaces de SMS inesperados, cuidar los permisos que se conceden y tratar el celular como un equipo de trabajo, no solo como un teléfono personal.
