Últimamente hay que andar con mucho ojo cuando instalamos una nueva aplicación en nuestro móvil. En Google Play han aparecido algunas apps infectadas con virus y hasta circulaban por la red versiones adulteradas del último juego de la saga Angry Birds. Ahora le ha tocado a Instagram. La aplicación es tan popular que ha atraído hasta a los piratas informáticos, creando clones que ocultan troyanos capaces de enviar SMS a servicios de tarificación adicional. Así que cuidado.
La alerta la ha dado uno de los expertos de seguridad más respetados, Graham Cluley, de la empresa británica Sophos. Diseñado en Rusia, el troyano también puede infectar móviles en España.
Con el gancho de la popularidad de Instagram, unos cinco millones de usuarios de Android se lo instalaron en la primera semana en que estuvo disponible para nuestra plataforma, los piratas crearon una copia que se instalaba desde fuera de la Google Play.
Una vez instalada, se colaba un troyano que actúa en segundo plano, sin que nos demos cuenta. Lo que hace es enviar SMS a servicios premium, con lo que nuestra factura telefónica podría verse incrementada en algún cero más.
Cluley reconoce que el diseño era algo burdo, pero que hace su misión bien. Entre los permisos que obtenía al instalar la falsa Instagram estaba el acceso pleno a internet, leer el estado y contactos del teléfono y enviar SMS. El troyano lo han identificado como Andr/Boxer-F.
Este último caso se une al descubierto la semana pasada en la que se detectaron copias falsas de Angry Birds Space. En este caso el troyano abría las puertas del móvil para instalar otros tipos de malware con una misión diferente: infectar el terminal hasta convertirlo en un zombie de una red de equipos infectados y bajo control de una tercera persona.
Como recomendación general, es aconsejable no instalar aplicaciones que no procedan de la Google Play. Y si lo hacemos, revisar la app con un antivirus y los permisos que solicita.
Más detalles en el blog de Sophos.
Cómo operan hoy los atacantes: robo de cookies y evasión de 2FA
Además de los SMS premium, es frecuente que un troyano vinculado a Instagram robe la base de datos de cookies del navegador (técnica conocida como Pass-The-Cookie Attack). Al capturar la cookie de sesión, el atacante se hace pasar por ti sin necesidad de contraseña y, lo más grave, evade la verificación en dos pasos; por eso no recibes avisos de inicio de sesión.
Con tu identidad suplantada, los delincuentes pueden añadir contactos al azar en Instagram para ampliar su alcance, publicar enlaces maliciosos, o usar tus perfiles para propagar malware y hasta campañas de estafas con criptomonedas. Esto expone tus cuentas a bloqueos o baneos por incumplimiento de normas, y la responsabilidad recae sobre el titular si no actúa con rapidez.
Principales vías de ataque a Instagram
- Phishing: enlaces o formularios falsos que roban credenciales o la cookie de autenticación para tomar el control de la cuenta.
- Fuerza bruta o diccionario: intentos masivos de contraseña; se mitigan con claves únicas y 2FA.
- Infección del smartphone: apps maliciosas con permisos abusivos capaces de leer SMS, contactos y sesiones de otras apps.
Señales de infección y medidas inmediatas
Si notas procesos activos sospechosos, consumo anómalo de datos, SMS que no recuerdas enviar, o ventanas emergentes en el navegador, sospecha. En escenarios avanzados puede haber un rootkit que esconda su presencia, navegadores secuestrados y adware como WebCompanion alterando el tráfico.
Actúa de inmediato: activa el modo avión para frenar comunicaciones, revoca sesiones en Instagram y el resto de servicios, y elimina permisos peligrosos. En Chrome/Edge u otros navegadores con sincronización en la nube, deshabilita la sincronización para evitar que extensiones o configuraciones maliciosas se restauren al reinstalar.
Limpieza: Android y PC implicados
En Android, realiza un análisis con soluciones reputadas (por ejemplo, ESET o Malwarebytes), revisa apps instaladas fuera de la tienda, y desinstala cualquier desconocida. Si el daño persiste o hay signos de rootkit, la opción más segura es restablecer a valores de fábrica tras guardar copias de seguridad verificadas.
Si el origen o parte del ataque está en tu PC, una desinfección avanzada puede hacerse con FRST (Farbar Recovery Scan Tool): coloca el ejecutable y el archivo fixlist.txt en el escritorio, ejecútalo, pulsa Corregir y deja que termine. Revisa el reporte Fixlog.txt para confirmar la limpieza. Aun así, la vía más fiable es formatear e instalar el sistema desde cero para cortar cualquier persistencia.
Cuando el dispositivo esté limpio, cambia todas las contraseñas desde un equipo no infectado y habilita de nuevo el 2FA. Recuerda mantener desactivada la sincronización del navegador hasta verificar que no se reintroducen extensiones sospechosas en ningún dispositivo vinculado.
Recupera el control de tus cuentas y avisa a las plataformas
Contacta con el soporte de los servicios afectados explicando que has limpiado o reinstalado tus equipos y que estás cambiando credenciales desde un dispositivo seguro. En casos de redes sociales y plataformas de vídeo, también puedes recurrir a sus canales oficiales en X/Twitter para acelerar la atención: @TeamYouTube, @YTCreadores, @YouTubeLATAM. En Instagram, reporta el acceso no autorizado y solicita una revisión del registro de actividad y cierres de sesión globales.
Protegerse de los troyanos que se hacen pasar por Instagram exige instalar apps solo desde tiendas oficiales y utilizar métodos para clonar aplicaciones, revisar permisos, mantener copias de seguridad y reaccionar rápido ante cualquier indicio de suplantación. Con medidas de limpieza adecuadas y comunicación con las plataformas, es posible cortar la intrusión y recuperar tu presencia digital sin secuelas.
Buenas prácticas de seguridad y privacidad en Instagram
- Contraseñas robustas y únicas: mezcla mayúsculas, minúsculas, números y símbolos; no reutilices claves y cámbialas de forma periódica con ayuda de un gestor de contraseñas.
- Activa 2FA con TOTP: prioriza apps como Google Authenticator, Latch TOTP o Authy frente a SMS. En la app: Configuración > Seguridad > Autenticación en dos pasos, registra la clave y guarda los códigos de recuperación.
- Controla actividad de inicio de sesión: revisa dispositivos y ubicaciones en Seguridad > Actividad de inicio de sesión y cierra sesiones dudosas.
- Usa la app oficial y revoca accesos de terceros en Seguridad > Aplicaciones y sitios web. Evita iniciar sesión desde páginas no oficiales.
- Actualiza sistema y apps para corregir vulnerabilidades explotables por malware.
- Comprobación rápida de seguridad: desde ajustes, verifica correo, teléfono, fuerza de la contraseña y 2FA.
- Privacidad: evita vincular con Facebook, desactiva Estado de actividad, no publiques ubicación, mantén la cuenta privada si es necesario y limita etiquetados.
Estafas frecuentes y cómo reconocerlas
- Romance y sorteos falsos, loterías o suscripciones baratas que piden dinero por adelantado.
- Trabajo, préstamos e inversiones con promesas irreales; suelen solicitar datos bancarios.
- Falsos patrocinadores de influencers y correos que simulan alertas de normas para robar credenciales.
- Always a request: toda estafa culmina en un pedido (dinero, datos, clic o descarga).
Qué hacer si has caído en una estafa
- Revisa movimientos en bancos y tarjetas y reporta cargos extraños.
- Cambia contraseñas de correo, redes, banca y activa 2FA; usa claves únicas.
- Monitoriza identidad: activa alertas de crédito o servicios de vigilancia de identidad cuando estén disponibles en tu país.
- Escanea tus dispositivos con antivirus reputado y reporta los perfiles o mensajes a la plataforma.
Malware en redes sociales: vectores y señales
- Anuncios y publicaciones con enlaces que redirigen a descargas maliciosas.
- Mensajes directos con phishing que imitan a amigos o marcas.
- Apps falsas promocionadas en redes: instala solo desde tiendas oficiales.
- Desconfía de ofertas demasiado buenas, verifica URL y detecta perfiles falsos.
Bloqueos maliciosos y rescates de cuentas
Existen mafias que explotan los mecanismos de reporte de la plataforma para lograr bloqueos indebidos y luego ofrecer un “rescate”. Afecta especialmente a creadores e influencers. Mitiga el riesgo verificando identidad, manteniendo contactos de recuperación actualizados y acudiendo solo a canales oficiales; nunca pagues a intermediarios.
Con una estrategia que combine higiene digital, 2FA robusto, revisiones periódicas de actividad y sentido común frente a enlaces y ofertas, reducirás drásticamente la exposición a troyanos, robos de sesión y fraudes que circulan alrededor de Instagram.
