Un solo SMS puede bloquear un móvil Android, y Android 12 y 13 no recibirán una solución

Un investigador ha publicado código de ataque funcional para explotar un fallo de Android que permite a cualquiera que conozca tu número bloquear tu móvil con un solo mensaje de texto. Apodado el «SMS de la muerte», el mensaje no aparece en la bandeja de entrada ni requiere que pulses nada. Hace caer el componente de Android que gestiona las llamadas y la señal móvil, interrumpiendo cualquier llamada en curso, incluidas las llamadas a los servicios de emergencia. Google ha corregido el fallo en las versiones actuales de Android, pero los móviles antiguos que ya no reciben actualizaciones de seguridad seguirán expuestos.

Para la mayoría, la pregunta es sencilla: ¿tiene tu móvil instalada la última actualización de seguridad? El fallo está en el código de telefonía central de Android, que incluyen todos los fabricantes, así que no afecta a una sola marca. El investigador, que publica sus hallazgos como Mark B, afirma que el bloqueo se reprodujo todas las veces en un Google Pixel y en varios móviles Samsung Galaxy, incluidos modelos más económicos de la serie A, que todavía no habían recibido la solución.

El ataque se aprovecha de WAP Push, un antiguo formato de mensaje que las operadoras utilizan para enviar ajustes a los móviles en segundo plano. Un mensaje malformado hace que Android intente reservar una cantidad negativa de memoria, lo que provoca que se bloquee el proceso que gestiona las llamadas y la señal. Cada mensaje deja a la víctima sin servicio durante uno o dos segundos. El verdadero daño llega al repetirlo. Las operadoras vuelven a enviar los mensajes que el móvil no ha confirmado haber recibido y, en las pruebas del investigador, un solo mensaje provocó cortes intermitentes durante hasta una semana. Unos 20 bastaron para dejar un móvil inutilizable.

Los mensajes manipulados también quedan en cola y se vuelven a procesar cada vez que se inicia el móvil. Durante las pruebas, un móvil con Android 12 se reinició en modo de recuperación aproximadamente cada 90 segundos, en un bucle del que un usuario corriente solo podría salir restableciendo los valores de fábrica, lo que borra el dispositivo. Un colaborador del proyecto que se hace llamar Sakis encontró una forma de eliminar únicamente los mensajes problemáticos, pero hace falta un ordenador, las herramientas de desarrollo de Android y actuar deprisa durante el breve intervalo posterior a cada reinicio.

El investigador enmarca el fallo en torno al número de emergencias australiano Triple Zero y señala una consecuencia indirecta peculiar. La normativa australiana obliga a las operadoras a localizar los móviles que no pueden llamar a los servicios de emergencia y, con el tiempo, desconectarlos; Telstra afirma que bloquea esos móviles si la situación no cambia en un plazo de 28 días. Según la interpretación del investigador, un atacante capaz de impedir a voluntad que un móvil realice llamadas de emergencia podría conseguir que la propia operadora bloqueara el dispositivo de la víctima.

Conviene no exagerar el riesgo. Se trata de un ataque de denegación de servicio, no de una intrusión: el mensaje no puede leer tus datos, instalar nada ni tomar el control del móvil. El atacante necesita tu número y una forma de enviar mensajes de datos sin procesar; la herramienta publicada los envía desde otro móvil Android con una tarjeta SIM, por lo que queda constancia en la operadora. Hasta ahora no se ha publicado ningún informe que describa el uso del fallo contra personas reales. El boletín de seguridad de octubre de Google tampoco menciona la solución, como señaló BleepingComputer, así que los propietarios de móviles antiguos no han recibido ninguna advertencia oficial de que estén expuestos.

Para comprobarlo, abre Ajustes, entra en Información del teléfono o Seguridad y consulta la fecha de la actualización de seguridad de Android. Las actualizaciones de octubre de 2026 en adelante incluyen la solución. Samsung, Motorola, Xiaomi y otros fabricantes distribuyen los parches según sus propios calendarios, y las operadoras pueden retrasarlos, así que es posible que un móvil con una versión más reciente de Android siga a la espera. Si tu móvil se ha quedado en Android 12 o 13, la única protección completa es cambiar a un dispositivo que todavía reciba actualizaciones.

El investigador informó del fallo al programa de recompensas de Google por vulnerabilidades de Android el 5 de mayo. Un ingeniero de Google escribió la solución a mediados de junio y esta llegó con la actualización de seguridad de octubre de 2026 para Android 14 a 17. El análisis público y la prueba de concepto se publicaron después, el 29 de octubre. Google no añadió la comprobación de longitud que había propuesto el investigador: su parche evita el bloqueo y elimina el mensaje problemático para que no pueda volver a activarse.

Los móviles Android antiguos quedan así en una situación peculiar. Siguen haciendo llamadas con normalidad. Lo que no pueden garantizar es que consigan terminarlas.

Etiquetas: Google, ciberseguridad, Android, Google Pixel, Samsung Galaxy, BleepingComputer