La nueva amenaza Pixnapping: así roban datos de tu móvil Android sin permisos

Cuando pensamos en malware para Android, solemos imaginar aplicaciones que piden permisos sospechosos. Pero acaba de aparecer una técnica de ataque mucho más sigilosa que puede extraer información sensible sin necesitar ningún permiso especial. Los investigadores de la Universidad Carnegie Mellon han descubierto un método llamado Pixnapping que representa un nuevo nivel de sofisticación en el espionaje digital para smartphones.

Cómo funciona el ataque Pixnapping

Esta técnica es especialmente preocupante porque opera de forma casi invisible. A diferencia de otros ataques que dependen de vulnerabilidades obvias, Pixnapping utiliza un enfoque mucho más sutil basado en el comportamiento normal del sistema operativo Android.

El proceso es fascinante desde una perspectiva técnica (aunque aterrador desde la seguridad): el atacante necesita que instales una aplicación maliciosa, pero esta no solicita permisos sospechosos. Una vez dentro, la app lanza la aplicación objetivo en segundo plano y realiza operaciones gráficas específicas sobre píxeles donde suele mostrarse información sensible.

Lo curioso es que utiliza un canal lateral de GPU llamado GPU.zip (descubierto por los mismos investigadores en 2023) para robar los píxeles uno por uno mientras tú sigues usando tu móvil sin notar nada extraño.

El «truco» técnico detrás del ataque

Si nos metemos en los detalles técnicos, Pixnapping es realmente ingenioso:

1. Fuerza píxeles sensibles a entrar en el pipeline de renderizado
2. Superpone actividades semi-transparentes sobre esos píxeles usando intents de Android
3. Utiliza la API de desenfoque de ventanas de Android para inducir operaciones gráficas
4. Mide los tiempos de renderizado mediante callbacks VSync

Es como si la aplicación maliciosa estuviera tomando capturas de pantalla de contenido al que no debería tener acceso, pero de manera tan sutil que ni el sistema lo detecta como comportamiento malicioso.

Dispositivos afectados y datos vulnerables

Los investigadores han demostrado el ataque en teléfonos Google Pixel y Samsung, pero sospechan que dispositivos Android de otros fabricantes también son vulnerables. La lista de aplicaciones que pueden ser objetivo es preocupante:

• Google Authenticator (códigos 2FA)
• Gmail y Google Accounts
• Aplicaciones de pago como Venmo
• Apps de mensajería como Signal
• Google Maps (ubicaciones)

Google Authenticator resultó ser un objetivo particularmente valioso porque la posición de los códigos 2FA en pantalla es predecible, facilitando su extracción píxel por píxel. En sus pruebas, los investigadores lograron tasas de éxito entre el 29% y el 73% para robar códigos 2FA en dispositivos Pixel antes de que expiraran (30 segundos). Curiosamente, en el Samsung Galaxy S25 no pudieron completar el ataque a tiempo.

Limitaciones del ataque

No todo son malas noticias. Pixnapping tiene limitaciones importantes:

1. Solo puede robar información visible en pantalla en ese momento
2. Requiere que instales voluntariamente una aplicación maliciosa
3. La tasa de éxito varía significativamente según el dispositivo y la aplicación objetivo
4. El ataque es relativamente lento para ciertos tipos de datos que cambian rápidamente

La respuesta de Google y medidas de protección

Google fue notificado de esta vulnerabilidad en febrero de 2025, asignándole el identificador CVE-2025-48561. Ya lanzaron un primer parche con las actualizaciones de Android de septiembre, pero los investigadores lograron eludirlo (algo bastante habitual en este tipo de vulnerabilidades sofisticadas). Ahora la compañía está desarrollando una solución adicional que debería estar disponible en diciembre.

La buena noticia es que Google afirma no haber detectado explotación en el mundo real, y según sus sistemas de monitorización, no se han encontrado aplicaciones en Google Play que aprovechen esta vulnerabilidad.

¿Cómo protegerse mientras tanto?

Hasta que lleguen los parches definitivos, estas son mis recomendaciones:

1. Instala únicamente aplicaciones de fuentes confiables como Google Play
2. Mantén tu smartphone Android actualizado con los últimos parches de seguridad
3. Considera usar soluciones alternativas para la autenticación 2FA, como llaves físicas de seguridad
4. Presta atención al comportamiento de tu dispositivo: rendimiento anormal o ralentizaciones pueden ser indicios de actividad sospechosa
5. Utiliza una solución de seguridad móvil de calidad que pueda detectar comportamientos anómalos

Este tipo de vulnerabilidades demuestra que la seguridad móvil ha entrado en una nueva era donde los atacantes son cada vez más sofisticados. Ya no basta con revisar los permisos que piden las apps; ahora los ataques pueden ocurrir a un nivel mucho más profundo del sistema operativo.