La seguridad digital parece ser más una utopía que una realidad. Por más que nos vendan que dispositivos y software son seguros, lo cierto es que finalmente todo acaba siendo expuesto. Este es el caso del Blackphone que, según uno de los hackers más conocidos en el mundo Android, acaba de ser hackeado, permitiendo el acceso root y distintas funciones más.
Para quien no sepa de qué estamos hablando, Blackphone es un terminal que salió hace relativamente poco al mercado con un hardware interesante pero con un aspecto diferenciador con respecto a los demás smartphones con sistema operativo Android: una suite de aplicaciones capaces de asegurar las comunicaciones para imposibilitar la entrada de usuarios malintencionados al terminal. Todo comenzó debido al escándalo de Edward Snowden y las distintas filtraciones sobre el espionaje, lo que provocó la unión de dos compañías para crear el dispositivo.
Para asegurar nuestra privacidad, Blackphone se sirve de una ROM propia llamada PrivatOS basada en una ROM AOSP. No obstante, tal y como hemos podido leer, el dispositivo ha sido rooteado en menos de 5 minutos por un conocido hacker del mundo Android, todo un indicativo de que la seguridad que vendían no era tal.
hey @Blackphone_ch look, adb enabled without unlocking your bootloader pic.twitter.com/fVa6dTHR6g
— Justin Case (@TeamAndIRC)
Existen diversos métodos para hackear el terminal. Uno de ellos se basa en el menú de desarrollador y USB Debugging, que curiosamente está eliminado en las opciones gráficas pero totalmente implementado en la ROM, por lo que es accesible. Por otro lado, otros hacks se basan en la posibilidad de utilizar una aplicación del sistema capaz de hacer un wipe total del dispositivo remotamente mal implementada y que también permite acceso total a la shell o terminal del Blackphone.
No obstante, el hacker Justin Case (@TeamAndIRC en Twitter) también ha indicado que para aprovechar todos estos exploits debemos tener acceso directo al terminal y permiso directo del usuario, por lo que es complicado para un usuario malintencionado. Además, según la compañía, las vulnerabilidades ya han sido parcheadas, por lo que el Blackphone parece seguir siendo un terminal bastante seguro aunque, según parece, los hackers seguirán investigando.
Qué es Blackphone y cómo pretende blindar las comunicaciones
Blackphone nace de la alianza entre Silent Circle y Geeksphone, con una premisa clara: reducir al mínimo la exposición de datos. Su baza principal es PrivatOS y una suite de apps como Silent Phone, Silent Text y Silent Contacts que cifran llamadas y mensajes de extremo a extremo y ofrecen un directorio común para comunicación segura. Además, cuenta con Silent Store, una tienda que evita apps maliciosas y prioriza software verificado.
La iniciativa estuvo impulsada por un equipo de ingeniería con presencia en España, comandado por David Purón, y respaldada por ex miembros de Navy Seals, lo que marcó un enfoque práctico en operaciones seguras. El proyecto fue reconocido en el Mobile World Congress y llamó la atención de perfiles de alto nivel; incluso figuras públicas como Shaquille O’Neal han presumido de usarlo. El ruido mediático en torno a incidentes como el hackeo a Sony llegó a impulsar sus ventas.
Blackphone también segmenta la información en espacios aislados para separar datos personales y profesionales, un principio clave cuando se recomienda que la app bancaria no conviva al lado de redes sociales. Esta compartimentación, sumada a la posibilidad de borrado remoto y control granular de permisos, lo posiciona entre los móviles más orientados a la privacidad. Se han reportado países donde su venta está restringida, como Cuba, Irak, Corea del Norte, Irán o Siria, precisamente por la dificultad de espiar al usuario.
Vulnerabilidades, condiciones de explotación y respuesta
El evento Black Hat sirvió para exponer varios vectores: posibilidad de activar ADB sin desbloquear el bootloader, opciones de desarrollador ocultas pero funcionales y una app de wipe remoto mal implementada con acceso amplio a la shell. El resultado fue la escalada de privilegios hasta root en pocos minutos. Desde Silent Circle se indicó que estos fallos se corregían mediante actualización y que su explotación requería, en muchos casos, interacción directa o consentimiento del propietario.
Este episodio demuestra algo esencial: la seguridad es un proceso continuo. Por muchas garantías que incluyan los fabricantes, la comunidad de investigadores acaba encontrando formulas de bypass que obligan a iterar. Aquí el tiempo de reacción y el ciclo de parches son tan relevantes como el diseño inicial de la plataforma.
Ecosistema de apps, permisos y precauciones
Una de las renuncias del Blackphone original fue prescindir del ecosistema completo de Google, lo que empujó a muchos usuarios a la descarga paralela de aplicaciones de terceros. Según expertos de Kaspersky, esta práctica puede incrementar el riesgo de malware, por lo que recomiendan extrema prudencia e incluso antivirus para móviles en entornos corporativos o de alto riesgo.
En ese escenario, Amazon Appstore ha demostrado funcionar correctamente en el dispositivo, y con el tiempo Silent Circle integró capacidades profesionales como Android for Work para usar apps de Google con protecciones adicionales que impiden compartir datos personales. Todo se complementa con un centro de seguridad donde el usuario ajusta permisos finos por app: desde ubicación hasta acceso a micrófono o cámara, con controles explícitos cada vez que una aplicación intenta usar información sensible.
Las WIFI públicas siguen siendo un dolor de cabeza. Blackphone reduce el riesgo con VPN automática por defecto en cada conexión y con ajustes para desactivar el WIFI al salir de casa, evitando emparejamientos no deseados. Entre las amenazas habituales, más allá del malware, se señalan apps con permisos invasivos (como algunos juegos o redes sociales) y supuestas apps de ofertas a coste cero que ocultan prácticas agresivas de recolección de datos.
Blackphone 2: hardware, ‘espacios’ y servicios empresariales
La segunda generación, Blackphone 2, elevó la propuesta con una pantalla de 5,5 pulgadas, procesador de ocho núcleos, 3 GB de RAM, 32 GB ampliables, cámara de 13 MP y carga rápida. Más allá de las cifras, lo diferencial está en los espacios independientes que permiten alternar entre perfiles con mayor o menor exposición, en función de si el objetivo es productividad o máxima privacidad.
El terminal incorpora un sensor físico que bloquea el acceso a la memoria si detecta conexiones USB potencialmente intrusivas, útil ante inspecciones en fronteras. La lista de llamadas puede requerir clave para consulta, y el sistema verifica acciones como adjuntar fotos o compartir ubicación, reforzando el principio de consentimiento explícito. Todo esto se acompaña de control remoto vía web para borrado y recuperación, muy útil en políticas BYOD donde se confunden dispositivos personales y corporativos.
En el plano institucional, Silent Circle trasladó su sede a Suiza, enfatizando que no ofrece puertas traseras y limitando su exposición a requerimientos secretos de datos. Sus clientes incluyen gobiernos, ejércitos y decenas de grandes compañías, con contratos de confidencialidad estrictos. La compañía sostiene un programa de recompensas para incentivar el reporte responsable de fallos y ha trabajado en acuerdos para usar apps de Google de forma profesional y privada, reduciendo la telemetría.
Quien venga de un Android de consumo encontrará un móvil sobrio, con una ligera pérdida de fluidez en pro de la verificación constante y un precio en la franja alta del mercado. Para perfiles con sensibilidad por la privacidad y equipos de seguridad, el balance tiende a ser positivo; para quien prioriza comodidad sin compromisos, el esfuerzo adicional puede resultar exigente.
El caso Blackphone demuestra que un diseño con la privacidad en el centro puede elevar el listón del mercado y, al mismo tiempo, que ningún sistema está libre de escrutinio. Con parches rápidos, controles granulares, cifrado extremo a extremo y políticas restrictivas por defecto, sigue siendo un referente para quien busca minimizar superficie de ataque y controlar sus datos sin depender ciegamente del ecosistema tradicional.