Una falsa actualización de Chrome lee tus chats de Telegram y WhatsApp

Una falsa actualización de Chrome está instalando software espía en teléfonos Android de más de 26 países. Positive Technologies publicó su análisis el 17 de agosto: el programa, llamado DragonDoll, llega desde una página que copia el sitio oficial de Chrome, pide un único permiso del sistema y a partir de ahí lee tus conversaciones de Telegram, WhatsApp y Signal directamente en la pantalla. Los investigadores reunieron unas 150 muestras en dos meses. Lo importante no es el nombre del programa malicioso, sino la regla que cuenta con que no conozcas: en Android, Chrome nunca se actualiza desde una página web.

Una actualización del navegador ofrecida por una web siempre es falsa

En Android, Chrome lo actualiza Google Play, en segundo plano, sin pedirte que descargues nada. El navegador nunca te entrega un archivo de instalación, y las demás aplicaciones que vienen con el teléfono tampoco. Así que una página que avisa de que tu Chrome está desactualizado y ofrece la actualización como archivo tiene un único objetivo, por muy bien dibujada que esté.

En esta campaña estaba bien dibujada. La página copiaba el diseño del sitio real de Chrome y cambiaba de idioma automáticamente según el del navegador que la abría, con 34 localizaciones entre ellas ruso, ucraniano, árabe, chino, coreano, hebreo y persa. El texto cambiaba incluso según si el archivo ya estaba instalado. Las direcciones no tenían nada que ver con Google: la trampa se alojaba en nombres como datewithmealways[.]site y digitaladstracking[.]com.

Un permiso es todo el ataque

Lo que quiere el instalador es el servicio de accesibilidad. En Android ese ajuste existe para quienes no ven la pantalla o no pueden pulsar con precisión, así que por diseño puede leer todo lo que se muestra y pulsar en tu lugar. Dárselo a una aplicación cualquiera equivale a dejar que un desconocido se siente a tu lado, mire por encima de tu hombro y además maneje el teléfono.

Con ese interruptor activado, DragonDoll lee listas de chats, contactos, texto de los mensajes, horas de envío y nombres de remitentes en Signal y WhatsApp, y en Telegram intercepta además el contenido de las notificaciones. Con Viber y el resto simplemente captura el texto visible de la pantalla. El mismo canal le da las pulsaciones del teclado, incluidos los campos de contraseña, capturas de pantalla, ventanas falsas encima de aplicaciones reales, lectura y envío de SMS, llamadas, contactos y control remoto del dispositivo. Los investigadores contaron más de cincuenta órdenes que puede enviar el operador.

Por eso el cifrado de tu mensajería no pinta nada aquí. Signal y WhatsApp protegen el mensaje mientras viaja entre dos teléfonos. DragonDoll está dentro de uno de esos teléfonos y lee el mensaje ya descifrado, en la pantalla, igual que lo lees tú.

Revisa tu teléfono esta noche

1. Abre Ajustes, Accesibilidad, y busca la lista de aplicaciones instaladas con acceso. En la mayoría de los teléfonos aparece bajo "Aplicaciones descargadas" o "Servicios instalados". Todo lo que no hayas activado a conciencia hay que desactivarlo. Un navegador, un juego o una "actualización" no pintan nada ahí.
2. Ve a Ajustes, Aplicaciones, Acceso especial, Instalar aplicaciones desconocidas. Retira el permiso a todas, sobre todo al navegador y a las aplicaciones de mensajería. Ese interruptor es justo lo que permite a una página web instalar un programa.
3. En ese mismo menú revisa el acceso a las notificaciones. Una aplicación que lee todas las notificaciones ve los códigos de un solo uso y las vistas previas de los mensajes sin entrar en la mensajería.
4. Abre Ajustes, Seguridad, Aplicaciones de administración del dispositivo. En un teléfono personal esa lista suele estar vacía o contener solo "Encontrar mi dispositivo". Un administrador del dispositivo es más difícil de desinstalar, y por eso mismo lo piden los programas maliciosos.
5. Lanza un análisis en Google Play: tu foto arriba a la derecha, después Play Protect y Analizar. No es un antivirus completo, pero reconoce las familias conocidas.
6. Ordena las aplicaciones instaladas por fecha y mira las más recientes. Lo que no reconozcas o no recuerdes haber instalado, fuera.

Si ya lo has instalado

1. Activa el modo avión. El programa recibe órdenes de un servidor de control, y cortar la red termina la conversación.
2. Arranca en modo seguro: mantén pulsado el botón de encendido y luego pulsa de forma prolongada "Apagar" hasta que el teléfono ofrezca el modo seguro. Ahí no se ejecutan las aplicaciones de terceros, lo que hace posible eliminarlas.
3. Quita primero los derechos de administrador en Ajustes, Seguridad, Aplicaciones de administración, y después desinstala la aplicación. Si se niega a desaparecer, el restablecimiento de fábrica es la respuesta fiable.
4. Desde otro dispositivo, cambia las contraseñas del correo, del banco y de la mensajería. En Telegram abre Ajustes, Dispositivos y cierra todas las demás sesiones; en WhatsApp revisa los dispositivos vinculados y desconecta lo que no reconozcas.
5. Vigila los movimientos de la tarjeta, en especial los cargos pequeños de prueba, y da por conocidos por terceros el PIN o la contraseña del banco que hayas tecleado en ese teléfono.

A quién apuntaban

Positive Technologies encontró esta familia por primera vez en primavera, mientras investigaba ataques contra usuarios de Arabia Saudí, y después halló el mismo código en personas de Rusia, China, Corea y de todo Oriente Medio y el norte de África. Las muestras recogidas abarcan del 6 de marzo al 6 de mayo de 2026 e incluyen dos versiones del programa, la 9.3 y la 9.4. Los datos robados salían cifrados hacia un servidor de control alojado en Rusia.

Una campaña que habla 34 idiomas no apunta a una persona, apunta a quien pulse. Esa es la lectura útil: nadie te eligió, eligieron el momento en que una página dijo que tu navegador estaba desactualizado y tú te lo creíste.