Antonio Domenech Picó, administrador de sistemas: “Detecté que mi teléfono se estaba comunicando de madrugada con un dominio al cual yo no conocía”

Antonio Domenech Picó estuvo analizando los comportamientos nocturnos de su móvil OPPO en el momento en el que se propuso realizar una comprobación más exhaustiva con dos teléfonos móviles y una tablet. “Detecté que mi teléfono se estaba comunicando de madrugada con un dominio al cual yo no conocía”.

Explicó el tráfico cifrado que vio cada 30 minutos. El origen de la investigación quedó reflejado en la primera publicación que hizo sobre el caso en LinkedIn, el 20 de septiembre de 2026. Asignó ese tráfico al programa Música, incluido en ColorOS, que, según su relato, ni él ni su mujer habían abierto. Esta conclusión se extrajo gracias a un aviso generado por Suricata, que supervisaba su red.

El artículo sobre sus hallazgos, publicado el 24 de septiembre de 2026, recoge las comunicaciones registradas durante varias noches.

En él se especifica que se utilizaron los siguientes elementos para realizar las comprobaciones: dos móviles OPPO CPH2173 con Android 14 y ColorOS 14, y una tablet con Android 13. PCAPdroid se instaló en los dispositivos, y Suricata y ntopng se ejecutaron en la red durante varias noches.

Domenech también informó de las acciones posteriores que llevó a cabo tras encontrar el origen del tráfico. Específicamente, desactivó la aplicación Música en ambos teléfonos móviles; el dominio que había originado la alerta dejó de aparecer durante más de nueve horas de pruebas simultáneas.

Según su relato, el resultado relacionaba la aplicación con el dominio en cuestión. Esta observación se limita a esos dispositivos y a ese periodo. En sus palabras: “No sabemos qué tráfico es porque va cifrado, pero sabemos que hay una conexión desde los móviles, periódica, y sabemos hacia dónde va”.

La inspección de las capturas no permite conocer el contenido cifrado sin descifrarlo. Además, una consulta al sistema de nombres de dominio (DNS) no equivale a una conexión cifrada mediante TLS. La dirección puede quedar almacenada y reutilizarse sin otra consulta.

De este modo, los consejos que Domenech ofreció deben examinarse con cautela. Recomendó revisar los permisos de las aplicaciones y realizar una segmentación de red mediante redes locales virtuales (VLAN). Subrayó la importancia de revisar los ajustes de privacidad de los televisores inteligentes. 

En dispositivos como Alexa o Google, aconsejó apagar los equipos manualmente mediante su botón físico cuando no se utilicen. También mencionó la necesidad de comprobar las actualizaciones de firmware y el cifrado de extremo a extremo en las cámaras de seguridad. Dice que es bueno evitar la instalación de estas dentro del hogar. Finalmente, Domenech expresó su temor a que la inteligencia artificial termine siendo imposible de controlar y defendió la soberanía digital y la regulación de la IA.

Los permisos de las aplicaciones

Al intentar verificar los privilegios de las aplicaciones móviles, los usuarios podrían referirse a la ayuda oficial de Android.

Modificando estos ajustes, cada persona puede permitir o denegar el acceso a la cámara, al micrófono o a la ubicación. El permiso para conectarse a Internet funciona de otra manera. Según la documentación de los desarrolladores de Android, pertenece al grupo de permisos normales y se concede automáticamente al instalar una aplicación, sin solicitarlo durante su uso. 

Esto explica por qué denegar el acceso al micrófono no impide por sí mismo que una aplicación se conecte a Internet. Además, en el panel de privacidad, disponible desde Android 12, se puede examinar qué aplicaciones han utilizado permisos como la cámara o la ubicación. Se encuentra en Privacidad, dentro de Seguridad y privacidad o Privacidad en los ajustes del teléfono.

Esta función de visualización tiene sus limitaciones, ya que mostrará cuándo se ha utilizado el permiso del micrófono o de la cámara, pero no los servidores contactados. Un análisis más profundo de la actividad del móvil puede realizarse utilizando un PC y un archivo de captura de tráfico en formato PCAP.

Cómo capturar el tráfico del móvil

En su publicación, Domenech ofreció cierta orientación sobre PCAPdroid, una herramienta de captura de tráfico de código abierto para Android. La aplicación se instala en el móvil del usuario, donde permite configurar y analizar la captura.

En esa publicación, el autor describe la captura de tráfico con PCAPdroid y el uso de ntopng en su red. PCAPdroid no requiere permisos de administrador. En la sección de información general del proyecto PCAPdroid, se explica que el proceso se lleva a cabo mediante una red privada virtual (VPN) local y que el tráfico no se transmite a un servidor VPN remoto. Las funciones básicas permiten examinar las conexiones de aplicaciones de usuario y del sistema y el volumen de tráfico. El cortafuegos es una función opcional de pago. Para conocer el contenido de las conexiones cifradas hacen falta pasos adicionales de descifrado.

Las instrucciones en línea pueden ayudar y son fáciles de seguir. Para revisar las conexiones, un usuario puede iniciar la aplicación, pulsar el botón de captura, aceptar el permiso de VPN local, dejar el móvil sin tocar durante algún tiempo y detener la captura para examinarla.

Qué cambia con Doze

Para un análisis preciso, las condiciones en las que se realizan los ensayos pueden influir en los resultados. Por ejemplo, Android tiene una función llamada Doze que restringe la actividad de red y procesamiento en segundo plano tras un periodo de inactividad. Este escenario presupone que el móvil permanece encendido, quieto, con la pantalla apagada y desconectado del cargador. 

Esto puede causar diferencias en la comparación si, por ejemplo, durante una noche el móvil estuvo cargándose, pero la otra vez no. La razón se explica en la documentación sobre Doze: el sistema restringe el acceso a la red, abre ventanas periódicas para ejecutar tareas pendientes y sale de ese estado cuando el dispositivo se conecta a un cargador.

El análisis de los ajustes que ofrecen las aplicaciones y la gestión de los privilegios otorgados a cada una de ellas se incluyeron en la guía de privacidad de Xataka.

La posibilidad de quitar una aplicación preinstalada depende de que el fabricante permita dicha acción. Google explica que algunas aplicaciones del sistema no pueden desinstalarse, aunque en ciertos teléfonos sí se pueden inhabilitar las aplicaciones preinstaladas. En el caso de Música, Domenech la desactivó. Esto no garantiza que el mismo procedimiento esté disponible para cualquier otra aplicación no deseada.

Imágenes | Unsplash con edición, PCAPdroid y Xataka