Malware Operación NoVoice: las 50 apps falsas de Google Play con 2,3 millones de descargas

¿Cuántas veces has instalado una app porque tenía buenas valoraciones y miles de descargas? Eso es exactamente lo que aprovecharon los atacantes detrás de la Operación NoVoice.

En 2026, los investigadores de McAfee publicaron su análisis de Operación NoVoice: más de 50 aplicaciones aparentemente legítimas en Google Play, al menos 2,3 millones de descargas acumuladas y un rootkit capaz de instalarse de forma muy persistente en móviles sin parchear. McAfee no ha podido precisar cuántos dispositivos llegaron a infectarse: 2,3 millones son descargas, no víctimas confirmadas.

Qué era Operación NoVoice exactamente

No estamos hablando de un virus cualquiera. Un rootkit es una categoría de malware especialmente peligrosa porque actúa con privilegios de administrador. Se instala en capas profundas del sistema, se camufla de procesos legítimos y, lo más inquietante, consigue ocultarse de las propias herramientas de seguridad del dispositivo.

Según McAfee, las apps se presentaban como limpiadores, juegos y galerías de fotos. Nada que levantara sospechas a primera vista, y algunas funcionaban como apps normales mientras, en segundo plano, intentaban explotar fallos antiguos de Android para obtener privilegios de administrador.

En los móviles vulnerables, el malware puede inyectar código en otras apps y robar datos de sesión de WhatsApp, lo que permitiría a los atacantes suplantar la cuenta. Todo ello en un teléfono aparentemente normal, con las apps instaladas desde la tienda oficial de Google.

La clave está en la versión de seguridad del móvil: los exploits que McAfee pudo analizar aprovechan vulnerabilidades corregidas entre 2016 y 2021, así que un dispositivo con el nivel de parche 2021-05-01 o posterior no es susceptible a ellos. Aun así, McAfee advierte de que los móviles actualizados que instalaron estas apps pudieron recibir otras cargas maliciosas desconocidas.

Las categorías de apps implicadas

McAfee agrupa las apps de esta operación en categorías muy habituales en Google Play: limpiadores y optimizadores, juegos casuales y galerías o herramientas de fotos. Son apps que la gente instala sin pensarlo mucho y que suelen pedir permisos amplios.

Los limpiadores y optimizadores merecen mención especial. Prometen liberar espacio o acelerar el móvil, algo que Android ya gestiona por sí mismo, y a cambio piden acceso al almacenamiento y a otras apps. Si alguna categoría merece desconfianza por defecto, es esa.

Las galerías y herramientas de fotos funcionan igual: el usuario les concede acceso a sus archivos sin pensarlo demasiado, porque para eso sirven.

Cómo eludieron la revisión de Google Play

Esta es la pregunta que más incomoda, porque la respuesta dice mucho del estado actual de la seguridad en la tienda de apps más grande del mundo.

McAfee no ha detallado en su resumen público cómo superaron exactamente las revisiones de Google Play. Una técnica habitual en este tipo de campañas es subir la app limpia y activar el componente malicioso más tarde, de forma remota, cuando ya tiene descargas y reseñas.

Lo que sí está claro es que el malware dependía de fallos antiguos: en un móvil actualizado los exploits conocidos no funcionan, por eso los más expuestos eran los teléfonos sin soporte o sin parches desde hace años.

Tras el aviso de McAfee, Google retiró de Google Play las apps identificadas y cerró las cuentas de desarrollador asociadas.

Si quieres entender otras amenazas en Android, lee nuestro análisis de la vulnerabilidad CVE-2025-48595, el zero-day del boletín de junio de 2026. Y para un enfoque más práctico de protección, la guía de cómo proteger tu móvil de estafas y fraudes en 2026 cubre los pasos concretos.

Cómo saber si tu dispositivo fue afectado

Lo primero es mirar el nivel de parche de seguridad (Ajustes > Información del teléfono > Versión de Android). Si es anterior a mayo de 2021, tu móvil es vulnerable a los exploits conocidos de NoVoice y conviene revisarlo con más cuidado, sobre todo si instalaste limpiadores, juegos o galerías de desarrolladores poco conocidos.

Primero, el consumo de datos en segundo plano. Los rootkits se comunican con servidores externos, lo que genera tráfico de red que no se puede atribuir fácilmente a ninguna app concreta. Revisa el uso de datos por aplicación en Ajustes y busca apps con consumo de datos elevado que no deberían tenerlo.

Segundo, apps con permisos que no recuerdas haber concedido. Ve a Ajustes, Privacidad, Administrador de permisos, y revisa qué apps tienen acceso a cámara, micrófono y localización. Si hay alguna desconocida o que no debería tener esos permisos, actúa de inmediato.

Tercero, la herramienta más accesible: abre Google Play, toca tu perfil, entra en Play Protect y ejecuta un análisis.

Qué hacer si sospechas que estuviste infectado

La respuesta corta es: no te quedes solo en desinstalar la app afectada. Eso no es suficiente con un rootkit.

Cambia las contraseñas de tus cuentas más importantes desde otro dispositivo. Activa la verificación en dos pasos en todo lo que puedas, especialmente cuentas bancarias y de correo. Notifica a tu banco si tienes razones para creer que tus datos financieros estuvieron expuestos.

Si tu móvil tiene un parche de seguridad anterior a mayo de 2021 y sospechas que se infectó, ten en cuenta que, según McAfee, en esos dispositivos la infección puede sobrevivir a un restablecimiento de fábrica estándar. En ese caso, lo más seguro es acudir al servicio técnico para reinstalar el firmware oficial o, directamente, dejar de usar ese teléfono para cuentas importantes. En un móvil actualizado, desinstalar las apps sospechosas, pasar Play Protect y cambiar contraseñas es el punto de partida razonable.

El problema de fondo que nadie quiere admitir

Google Play tiene millones de apps. El equipo de revisión no puede analizar cada actualización de cada app en profundidad, y los atacantes lo saben perfectamente.

La idea de que una app en Google Play es segura por definición es un mito que hay que superar ya. La tienda reduce el riesgo, pero no lo elimina. Las buenas prácticas de seguridad siguen siendo responsabilidad del usuario: no instalar apps de desarrolladores desconocidos sin revisar sus permisos, mantener Android actualizado y no ignorar los avisos de seguridad de Play Protect.

Lo que protege frente a malware como NoVoice es el nivel de parche de seguridad, no las actualizaciones de funciones. Ojo: la actualización de funciones de Android de junio de 2026 trae novedades, pero no es un parche de seguridad. Si tu móvil ya no recibe parches, es una buena razón para plantearte cambiarlo.

Por qué este ataque es diferente al malware habitual

La mayoría del malware para móviles es relativamente obvio: muestra publicidad agresiva, drena la batería de forma visible o intenta suscribirte a servicios premium. Se detecta rápido.

NoVoice estaba diseñado para el largo plazo: en los móviles vulnerables se instala de forma persistente y roba datos de forma silenciosa. McAfee no ha podido atribuirlo a un grupo concreto, aunque señala similitudes con el troyano Triada.

Hay mucho en juego. La buena noticia es que la mayoría de los ataques pueden evitarse con medidas que no requieren conocimientos técnicos: instalar actualizaciones, revisar permisos y desconfiar de apps con historial de reviews dudoso. Suena básico, pero sigue siendo lo más efectivo.