Android vs iPhone: ¿cuál es más seguro? CVE, zero-days, precios de exploits y tiempos de parcheo en cifras (2026)

Por un exploit zero-click funcional para iPhone, los brokers pagan hoy hasta 7 millones de dólares. Por uno equivalente para Android, hasta 5 millones. Caso cerrado, ¿el iPhone es más seguro? No tan rápido. En 2019 era exactamente al revés: Zerodium pagaba 2,5 millones por Android y 2 millones por iOS, y su director explicaba que el mercado estaba sencillamente inundado de exploits para iPhone. 💥

«Michał, ¿qué es más seguro: iPhone o Android?» – me hacen esta pregunta con regularidad. Amigos, clientes, directivos que están renovando la flota de móviles de la empresa. Y siempre respondo lo mismo: depende de lo que midas. Porque en este debate todo el mundo tiene opinión, pero casi nadie tiene cifras.

Así que hice lo que más me gusta: reunir datos duros en un solo sitio. Número de vulnerabilidades (CVE), zero-days usados en ataques reales, velocidad de parcheo, precios de exploits en el mercado negro, resultados de concursos de hacking, estadísticas de malware y phishing, programas de bug bounty. Y además, un repaso rápido de cómo funcionan las defensas de ambos sistemas y cómo los ataques reales se las han saltado – incluido por qué una función creada para personas con discapacidad es hoy la herramienta favorita de los ladrones en Android. Cada cifra tiene fuente y fecha (la lista está al final). Y para cerrar: el veredicto y 7 cosas que todo el mundo debería hacer, sea cual sea el logo de la carcasa.

Índice

1. Antes de comparar: una manzana contra un saco de manzanas
2. ¿Cuántas CVE tiene Android y cuántas iOS?
3. Zero-days en ataques reales: 15 contra dispositivos móviles en 2025
4. ¿Con qué rapidez se parchean las vulnerabilidades? Apple vs Google
5. Cuánto cuesta hackear un móvil – la lista de precios del mercado negro y Pwn2Own
6. ¿Cómo de grande es el equipo de seguridad? Bug bounty y la defensa de las tiendas de apps
7. Malware y phishing: dónde se pierde el dinero de verdad
8. Pegasus, Graphite y compañía: quién está en el punto de mira
9. Murallas y puertas traseras: cómo los ataques esquivan las defensas (y por qué la accesibilidad es peligrosa)
10. Veredicto: tabla de puntuación
11. 7 cosas que hacer, uses el sistema que uses
12. Preguntas frecuentes

Antes de comparar: una manzana contra un saco de manzanas

Una advertencia honesta para empezar, porque sin ella toda la comparación sería injusta. El iPhone es un fabricante, un sistema y una tienda. «Android» es el Pixel de Google, Samsung con su propia capa y su propio boletín de seguridad, Xiaomi, Motorola y, al final de la cola, un móvil de supermercado de unos 100 euros que recibió su última actualización el día del lanzamiento. Así que comparamos una manzana con un saco entero de manzanas de frescura variable.

La escala tampoco es simétrica. A nivel mundial, Android tiene el 69% del mercado e iOS el 31% (StatCounter, septiembre de 2026). En Polonia las proporciones están más igualadas: 64% Android, 36% iOS. Más cuota significa más imán para el delito masivo – el delincuente escribe su troyano bancario allí donde tiene más víctimas potenciales.

Y luego está el soporte, que decide si el parche llegará siquiera a tu móvil:

• Pixel 8 y posteriores: 7 años de actualizaciones de sistema y de seguridad (Pixel 6/7: 5 años).
• Samsung Galaxy S24/S25: 7 años.
• Androids más baratos: depende del fabricante y del modelo; normalmente bastante menos que los buques insignia. Antes de comprar, consulta el periodo de actualizaciones declarado en la web del fabricante.
• iPhone: Apple no promete ningún número de años. Pero iOS 27, lanzado el 14 de septiembre de 2026, sigue funcionando en el iPhone 11 de 2019 – es decir, en la práctica unos 7 años.

Lección #1: La pregunta «¿Android o iPhone?» está mal planteada. La correcta es: «¿qué Android?». Un Pixel con 7 años de soporte y un móvil sin marca con dos son dos mundos distintos, aunque ambos se llamen Android.

¿Cuántas CVE tiene Android y cuántas iOS?

Para los no técnicos: CVE es un catálogo público de vulnerabilidades – cada fallo revelado recibe un número para que todo el mundo hable del mismo error. Escribí más sobre ello en el post sobre las ciberamenazas de 2026 en cifras.

Zimperium, en su Global Mobile Threat Report 2025, hizo las cuentas: en 2024 Android recibió 501 CVE e iOS, 317. Aún más interesante es el número de zero-days, es decir, fallos explotados en ataques antes de que existiera un parche: Android 41 / 97 / 12 en 2022 / 2023 / 2024, iOS 5 / 20 / 5 respectivamente.

Primer reflejo: «Android tiene más agujeros». Segundo reflejo, el de pentester: el número de CVE dice más sobre cómo cuenta cada uno y cuánta gente busca que sobre lo seguro que es el sistema. ¿Por qué?

• En las CVE de Android se incluyen componentes de terceros: módems, chips de Qualcomm, de MediaTek. Google parchea en sus boletines errores ajenos. Apple diseña sus propios chips y cuenta de otra manera.
• Android es open source – cualquiera puede mirar el código y reportar un fallo. En el iOS cerrado, buscar agujeros es más difícil, así que parte de ellos simplemente nunca recibe número.
• Desde 2025 Google cambió el ritmo de sus boletines (ahora te lo cuento), así que incluso comparar año contra año dentro del propio Android deja de ser evidente. Para que te hagas una idea: en la primera mitad de 2025 el Android Security Bulletin parcheó unas 270 vulnerabilidades, y solo el boletín de diciembre de 2025, 107. Apple parcheó 27 CVE en iOS 26.0 (según SecurityWeek; la propia lista de Apple tiene más entradas, porque un mismo fallo puede afectar a varios componentes).

Mucho más interesante que la cifra bruta es la calidad de los errores. Google lleva años publicando qué porcentaje de las vulnerabilidades de Android son errores de memoria (la clase de fallos de la que nace la mayoría de los exploits): 76% en 2019, 24% en 2024 y menos del 20% en 2025. Mérito de Rust – Android ya tiene unos 5 millones de líneas de código en este lenguaje, y Google reporta en él unas 1000 veces menos errores de memoria por millón de líneas que en C/C++. Apple respondió en septiembre de 2025 con Memory Integrity Enforcement (MIE) en el iPhone 17: etiquetado de memoria por hardware activado de forma permanente, que según Apple es «la mayor mejora de seguridad de memoria en la historia de los sistemas operativos de consumo». Google ya tenía MTE por hardware en el Pixel 8 en 2023, pero como opción; Apple lo activó para todos, por defecto. ✔️

Lección #2: No compres un móvil por el número de CVE. Cómpralo según si el fabricante invierte en eliminar clases enteras de errores – y aquí ambos gigantes han hecho en los dos últimos años más que en toda la década anterior.

Zero-days en ataques reales: 15 contra dispositivos móviles en 2025

La medida más dura no es «cuántos fallos se encontraron», sino «cuántos fallos se usaron contra personas antes de que hubiera parche». El Google Threat Intelligence Group lo cuenta cada año:

• 2025: 90 zero-days explotados en ataques (2024: 78, 2023: 100). De ellos, 15 en plataformas móviles (2024: 9, 2023: 17).
• Por empresas (todos los productos, no solo móviles): Microsoft 25, Google 11, Apple 8.
• Las cadenas de varios zero-days a la vez apuntan casi exclusivamente (alrededor del 90%) a los móviles. En 2025 las cadenas de tres o más fallos fueron más frecuentes que el año anterior – porque un solo agujero ya no basta para atravesar las defensas.
• El único desglose por plataforma que dio Google: en 2024, 7 zero-days afectaron a Android, 3 de ellos en componentes de terceros. Para iOS, Google no publicó esa cifra.
• Por primera vez en la historia de esta medición, se atribuyeron más zero-days a fabricantes comerciales de spyware que a grupos de espionaje estatales.
• Un ejemplo reciente en iOS: el 28 de septiembre de 2026 Apple lanzó iOS 26.7.1 con un parche para un fallo en CoreGraphics (CVE-2026-86950) que, según Apple, pudo haberse explotado en un «ataque extremadamente sofisticado» contra personas concretas, en versiones anteriores a iOS 27. Como contraste: el boletín de Android de octubre (25 CVE) no marca ningún fallo como explotado. Un mes no demuestra nada – pero ilustra bien que «el iPhone no tiene zero-days» es un mito.

La recomendación de ese mismo informe cabe en una frase, así que la repito: activa Advanced Protection en Android (desde Android 16) o el Modo de Aislamiento (Lockdown Mode) en el iPhone. Son modos «para personas de alto riesgo», pero para un director general, un abogado o un periodista hoy son simplemente una configuración sensata.

Lección #3: En el mundo de los zero-days ambos sistemas son objetivo, y las diferencias son menores de lo que sugiere internet. Lo que cuenta no son tanto los fallos, sino cuánto cuesta encadenarlos en un ataque que funcione – y de eso hablamos enseguida.

¿Con qué rapidez se parchean las vulnerabilidades? Apple vs Google

La mejor medición independiente la tiene Google Project Zero – un equipo que reporta fallos a todos los fabricantes (incluida la propia Google) y cuenta públicamente cuántos días tardan en parchearlos. El plazo es de 90 días.

En 2019-2021: iOS una media de 70 días, Pixel 72, Samsung 72. Es decir, empate. En la tabla de 2025 (datos a marzo de 2026) Apple no tiene ni un solo reporte, así que no se puede comparar; el Pixel 10 necesitó 73, 98 y 98 días (dos veces fuera de plazo), y Samsung parcheó los códecs de imagen en una media de 49 días. Un dato curioso de esa misma tabla: los navegadores. Chrome necesitó 30 días desde el reporte hasta entregar la corrección a los usuarios; WebKit (el motor de Safari), 73. Apple parchea rápido, pero publica a su ritmo.

Solo que «parche publicado por el fabricante» no es lo mismo que «parche en tu móvil». Y aquí empieza la verdadera diferencia:

Android cambió el ritmo. Durante diez años Google publicó cada mes un boletín con parches. En julio de 2025 apareció el primer boletín vacío de la historia, y desde septiembre de 2025 funciona un sistema «basado en el riesgo»: cada mes, solo los fallos explotados activamente o que forman parte de cadenas conocidas; el resto, en grandes versiones trimestrales. Los socios reciben el código con varios meses de antelación, y desde 2026 el código fuente de AOSP se publica dos veces al año. Para el usuario de un Samsung o un Pixel, en la práctica es neutro. Para los creadores de sistemas alternativos (como GrapheneOS) es un problema – los parches les llegan más tarde.

Apple fue en la dirección contraria. En marzo de 2026 lanzó sus primeras Background Security Improvements: pequeños parches (en este caso, para un fallo en WebKit, CVE-2026-20643) que se instalan en segundo plano, sin actualización completa del sistema y sin reiniciar. La ventana entre la publicación y la instalación se reduce al mínimo.

Y este es el resultado final, es decir, cuántos móviles tienen de verdad el sistema más reciente. Ojo con las fechas: son las últimas mediciones que publicaron los fabricantes. Desde entonces ya han salido iOS 27 (septiembre de 2026) y Android 17, pero ni Apple ni Google han dado cifras nuevas.

• iOS 26: el 79% de todos los iPhone y el 86% de los modelos de los últimos 4 años (Apple, junio de 2026, 9 meses después del lanzamiento).
• Android 16: el 7,5% de los dispositivos en la muestra de Google de diciembre de 2025 (6 meses después del lanzamiento); en el tráfico web medido por StatCounter en septiembre de 2026, el 38%. Métodos distintos, pero ninguno se acerca a Apple.
• Zimperium: a lo largo de un año, el 61% de los dispositivos Android y el 49% de los iOS estuvieron en algún momento con una versión obsoleta del sistema, y alrededor del 25% de los dispositivos de empresa no se pueden actualizar a la última versión en absoluto.

Lección #4: En origen, Apple y Google parchean a un ritmo parecido. La diferencia está en el camino hasta tu bolsillo: el parche de Apple llega a 4 de cada 5 iPhone; el de Google tiene que pasar por el fabricante, la operadora y la versión de la capa de personalización. Por eso, si en tu empresa hay Android, la política de «actualizamos en 14 días» tiene que imponerla un MDM (el software de gestión de móviles corporativos), no dejarse en manos de los usuarios.

Cuánto cuesta hackear un móvil – la lista de precios del mercado negro y Pwn2Own

El indicador de seguridad más honesto es el precio. No mi opinión, no el marketing – sino cuánto está alguien dispuesto a pagar por un ataque que funcione. Los brokers de exploits (empresas que compran zero-days para gobiernos) publican listas de precios:

• Zerodium, 2019: zero-click para Android 2,5 millones de $, para iOS 2 millones de $. Por primera vez en la historia, Android era más caro. La explicación del director de la empresa: el mercado estaba inundado de exploits para iOS, sobre todo para Safari e iMessage, mientras que Google había blindado Android «con calma» hasta el punto de que montar una cadena zero-click completa se había vuelto más difícil.
• Operation Zero (Rusia), lista de precios actual: Android 2,5 millones de $, iOS 2 millones de $. En septiembre de 2023 la empresa anunciaba ocasionalmente hasta 20 millones de $ por cadenas completas para ambos sistemas. En 2025, un estadounidense, exdirector de una división de L3Harris Trenchant, admitió haberles vendido exploits – le cayeron unos 7 años.
• Crowdfense (EAU), 2024: zero-click para iOS 5-7 millones de $, Android hasta 5 millones de $, Chrome hasta 3 millones, Safari hasta 3,5 millones. La lista de precios no ha cambiado desde entonces. Comentario de la empresa: «las defensas que implementan los fabricantes funcionan» – un exploit que antes escribía una sola persona hoy requiere un equipo.

Es decir, en 2019 Android era más caro y en 2024 lo es iOS. ¿Conclusión? Ambos sistemas son hoy un objetivo tan difícil que una cadena funcional cuesta lo que diez casas en Varsovia. Nadie se gastará esa cantidad para robarte las fotos de las vacaciones – es dinero para fines políticos y de inteligencia.

La segunda medición imparcial es Pwn2Own – un concurso en el que los mejores equipos del mundo rompen dispositivos en directo a cambio del dinero del organizador (Zero Day Initiative):

• Irlanda 2024: Galaxy S24 roto (cadena de 5 fallos, premio de 50.000 $). Por el Pixel 8 y el iPhone 15 había 250.000 $ en juego por cada uno. Nadie se inscribió siquiera para intentarlo.
• Irlanda 2025: Galaxy S25 roto dos veces (50.000 $ cada vez). Por el Pixel 9 y el iPhone 16 se ofrecían 300.000 $ por cada uno – cero inscripciones.
• Irlanda 2026: aquí llega el giro. El Pixel 10 cayó tres veces el último día, y por una de esas cadenas Ikotas Labs se llevó 300.000 $ – el mayor premio de todo el concurso. El Galaxy S26 fue roto 7 veces, la mayoría con «colisiones» (fallos que el fabricante ya conocía, así que premios menores). Por el iPhone 17 (también 300.000 $) nadie se inscribió por tercer año consecutivo. Todo el concurso: 98 zero-days y 1,26 millones de $ en premios.

¿Por qué nadie intenta romper el iPhone desde hace tres años por 300.000 dólares? Porque una cadena funcional vale en manos de los brokers unas 20 veces más – presentarla en un concurso es un mal negocio. Por eso es aún más interesante el Pixel de este año: tres equipos decidieron que les compensaba mostrarlo. Qué falló exactamente aún no se sabe – ZDI revela los detalles de los fallos solo pasados 90 días, cuando el fabricante ya los ha parcheado. Samsung, con su propia capa y sus propias apps, simplemente tiene más código en el que buscar – y por eso cae todos los años. 😈

Lección #5: El iPhone y el Pixel siguen siendo «hard targets» – objetivos que, en un ataque real, básicamente solo pueden permitirse los Estados. Pero el Pixel de este año recuerda que un objetivo difícil no es un objetivo intocable: la dificultad de un ataque no es una constante, sino una carrera que el fabricante tiene que ganar de nuevo cada año. El resto de Androids se sitúa más abajo, en proporción a la cantidad de código propio del fabricante y a su ritmo de parcheo. Si eliges una flota para personas expuestas (dirección, finanzas, abogados), este criterio debería pesar más que el precio de la tarifa.

¿Cómo de grande es el equipo de seguridad? Bug bounty y la defensa de las tiendas de apps

Quería poner aquí dos cifras: cuántos ingenieros de seguridad tiene Apple y cuántos Google. Imposible – ninguna de las dos empresas publica el tamaño de sus equipos (Apple SEAR, Android Security, Project Zero). Cualquier cifra que encuentres en internet es una suposición. Pero hay buenos indicadores indirectos: cuánto pagan ambas empresas a externos por encontrar fallos y cuánta basura frenan en la puerta de la tienda.

Bug bounty, o cuánto pagan por los fallos

• Apple: desde noviembre de 2025 la recompensa máxima es de 2 millones de $ por una cadena zero-click (antes, 1 millón), y con bonificaciones (saltarse el Modo de Aislamiento, fallos en versiones beta) «más de 5 millones de $». Desde el arranque del programa en 2020, Apple ha pagado más de 35 millones de $ a más de 800 investigadores. En el programa Security Research Device (iPhone especiales para investigadores), la mediana de pago en 2024 fue de unos 18.000 $, y en varias ocasiones se pagaron 500.000 $. En 2026 Apple también reparte 1000 iPhone 17 a organizaciones sociales expuestas al spyware.
• Google: en 2025 todos los programas VRP pagaron 17,1 millones de $ a 747 investigadores (más de 81 millones de $ desde 2010). De eso, Android y los dispositivos de Google se llevaron 2,9 millones de $ (el año anterior, 3,3 millones; Chrome recibió 3,7 millones). Desde mayo de 2026, una cadena zero-click completa para Pixel que rompa el chip Titan M2 y consiga persistencia vale 1-1,5 millones de $. Google lo explica sin rodeos: la IA ha inundado el programa de informes larguísimos, así que las recompensas van allí donde los fallos son más difíciles de encontrar para una IA.
• Samsung: hasta 1 millón de $ por ejecución remota de código en Knox Vault; más de 4 millones de $ pagados desde 2017.
• Además, Google mantiene Project Zero – un equipo que busca fallos también en Apple y Samsung y que rinde cuentas públicamente a todos con el plazo de 90 días. Apple no tiene un equivalente público.

La puerta de la tienda, o cuánta basura no llega al móvil

• App Store, 2025: 9,1 millones de envíos de apps revisados, más de 2 millones rechazados, 193.000 cuentas de desarrollador cerradas, 2.200 millones de $ en transacciones fraudulentas bloqueadas y 28.000 apps bloqueadas en tiendas piratas.
• Google Play, 2025: 1,75 millones de apps que incumplían las normas frenadas antes de publicarse, 80.000 cuentas baneadas, Play Protect escaneando 350.000 millones de apps al día y 27 millones de apps maliciosas nuevas detectadas fuera de la tienda.

Estas cifras miden cosas distintas (Apple cuenta dólares, Google apps), pero muestran la escala: ambos gigantes dirigen auténticas fábricas de filtrado a un nivel con el que ningún banco ni e-commerce polaco se atreve siquiera a soñar. 😈

Lección #6: El tamaño de los equipos no es público, pero el dinero sí. Apple paga más por un solo exploit; Google, más en total y de forma más amplia. Ambos dicen lo mismo: la seguridad de un móvil cuesta hoy cientos de millones de dólares al año. Tu app móvil, desarrollada por una subcontrata en medio año, no tiene esa escala – y por eso es en ella, y no en el sistema, donde más a menudo encuentro fallos en mis encargos.

Malware y phishing: dónde se pierde el dinero de verdad

Los zero-days y los exploits millonarios son cosa de los servicios de inteligencia. El dinero de la gente normal y de las empresas se pierde en otro sitio: por apps maliciosas y phishing. Y aquí la imagen es clara, solo que al revés en cada categoría.

Malware: Android

• Kaspersky, 2025: 14 millones de ataques de malware, adware y software no deseado bloqueados en móviles (unos 1,2 millones al mes), 815.000 nuevos paquetes de instalación maliciosos y 255.000 nuevos troyanos bancarios – un aumento de varias veces respecto al año anterior. Casi todo, en Android.
• Lookout, T3 2025: las detecciones de malware en dispositivos de empresa afectan «en su inmensa mayoría» a Android; en un solo trimestre, 71.000 apps maliciosas en móviles corporativos.
• ESET, segundo semestre de 2025: los ataques por NFC (el móvil de la víctima «cede» su tarjeta de pago a un delincuente que está junto a un cajero) crecieron un 87%.
• Polonia: CERT Polska describió en 2025-2026 sucesivas campañas contra clientes de bancos polacos: NGate (se hace pasar por SGB, Santander, PKO, ING y roba por NFC), FvncBot (SGB, Alior, Paribas; se disfraza de «componente de Play»), Cifrat (infraestructura que imita a Booking). Denominador común: todos son archivos APK instalados a mano en Android después de que la víctima haya pasado por la pantalla de «permitir instalar desde fuentes desconocidas».
• Google calcula que las apps instaladas fuera de la tienda llevan más de 50 veces más malware que las de Play. Por eso, desde el 30 de septiembre de 2026 (Brasil, Indonesia, Singapur, Tailandia) y desde 2027 a nivel global, Android exige que todo desarrollador esté verificado – incluso fuera de la tienda. Zimperium: en las empresas, uno de cada cuatro móviles Android tiene instalada una app de fuera de la tienda.

Para ser justos: iOS no está limpio. En febrero de 2025 Kaspersky describió SparkCat – el primer malware conocido en la App Store, que lee capturas de pantalla en busca de frases de recuperación de monederos de criptomonedas. Y en la Unión Europea, desde 2024, el iPhone también admite tiendas alternativas (seis en funcionamiento según TechCrunch), aunque cada app sigue pasando por la «notarización» automática y humana de Apple. Por ahora no he visto ningún incidente sonado procedente de esas tiendas.

Phishing: iPhone

• Lookout, T3 2025: se registraron intentos de phishing en el 16% de los dispositivos iOS y el 7,8% de los Android. En todo 2024: 26% frente a 12%. Lookout añade, con honestidad, que en las empresas los iPhone se los dan a directivos y a finanzas, así que son simplemente un objetivo más valioso.
• Zimperium, 2026: el phishing en móviles corporativos ha crecido un 380% desde enero de 2025, y se ha detectado spyware en casi 1 de cada 10 dispositivos (4 veces más que el año anterior).
• Google presume de un estudio (YouGov, 5000 personas en EE. UU., India y Brasil) según el cual los usuarios de Android tienen un 58% más de probabilidades que los de iPhone de no recibir ni un solo SMS fraudulento en una semana. El estudio lo encargó Google, así que lo trato como publicidad – pero el filtrado de SMS y llamadas con IA es hoy, efectivamente, más potente en Android. ⚠️

Lección #7: Android pierde en malware; el iPhone, en phishing. Lo primero se puede resolver con una política («cero apps de fuera de la tienda», impuesto por el MDM); lo segundo no se resuelve con el móvil – porque el phishing ataca a la persona, no al sistema. En el iPhone de tu director financiero, un enlace a una «factura» resulta igual de convincente que en cualquier otro sitio.

Pegasus, Graphite y compañía: quién está en el punto de mira

El spyware comercial juega en otra liga: Pegasus (NSO), Predator (Intellexa), Graphite (Paragon). Un dato que conviene recordar: todos tienen versión para ambos sistemas. En 2025 Citizen Lab confirmó Graphite en los iPhone de dos periodistas (zero-click a través de iMessage, CVE-2025-43200, iOS 18.2.1) y, al mismo tiempo, en los Android de dos activistas italianos (zero-click a través de WhatsApp). El mismo cliente, ambas plataformas.

• Apple envía notificaciones de ataques de spyware en más de 150 países; solo la oleada de agosto de 2026 llegó a usuarios de 110 países. Apple no revela el número de destinatarios.
• Modo de Aislamiento (Lockdown Mode): en marzo de 2026 Apple declaró que no conoce ningún ataque exitoso de spyware comercial contra un iPhone con el Modo de Aislamiento activado. No se ha verificado de forma independiente, pero los investigadores de Google han visto spyware que, al detectar el Modo de Aislamiento, simplemente se desactiva.
• Android: el modo equivalente, Advanced Protection, llegó con Android 16 (2025). Un ejemplo del otro lado: el spyware LANDFALL explotó un fallo en el procesamiento de imágenes de Samsung (CVE-2025-21042) durante unos 9 meses antes de que llegara el parche.
• Herramientas forenses: según filtraciones de Cellebrite de 2024, los iPhone con iOS 17.4+ estaban «en investigación» (imposibles de desbloquear), y según una filtración de octubre de 2025, un Pixel 9 con GrapheneOS no se puede extraer en absoluto – un Pixel normal, sí. Es decir, lo que se puede sacar de un móvil incautado depende más de la versión del sistema y de la configuración que del logo.

Lección #8: Si alguien se gasta millones para entrar precisamente en tu móvil, el sistema operativo no te salvará. Te salvará la configuración – Modo de Aislamiento / Advanced Protection, actualizaciones el mismo día en que salen, un reinicio diario (la mayoría del spyware móvil no sobrevive a un reinicio) y ser consciente de que «no hacer clic en enlaces» ya no basta, porque el zero-click no necesita ningún clic.

Murallas y puertas traseras: cómo funcionan las defensas y cómo los ataques las esquivan

Sobre el papel, ambos sistemas se defienden de forma parecida. Cada app vive en su propia «habitación» (sandbox) y no ve lo que hacen las demás. El código tiene que estar firmado. Al arrancar, el móvil comprueba que nadie ha sustituido el sistema. La memoria la protegen mecanismos de hardware en el procesador. La buena noticia: prácticamente nadie atraviesa estas murallas de frente. La mala: nadie lo necesita. Los atacantes buscan puertas traseras – y cada sistema tiene las suyas.

iPhone: puertas traseras técnicas que valen millones

• BlastDoor contra el «GIF» que era un PDF. En iOS 14 Apple encerró el procesamiento de los mensajes de iMessage en un sandbox especial llamado BlastDoor. En 2021, NSO (los creadores de Pegasus) envió a sus víctimas un archivo con extensión .gif que por dentro era un PDF. iMessage pasaba los GIF a un proceso que funcionaba fuera de BlastDoor, y la librería gráfica reconocía el formato real y lanzaba un decodificador con un fallo (CVE-2021-30860). Dentro de ese decodificador, el exploit construyó a partir de más de 70.000 operaciones simples su propio ordenador virtual. Google Project Zero lo calificó como uno de los exploits técnicamente más sofisticados que había visto. Y la posterior fuga del sandbox se basaba exclusivamente en errores de lógica, así que las protecciones de memoria por hardware, como reconoció Project Zero, no tuvieron ningún efecto sobre ella. La muralla era buena. Solo que no todo pasaba por ella. Apple lo parcheó en iOS 14.8, y desde iOS 15 los GIF ya se procesan dentro de BlastDoor.
• Operation Triangulation, o hardware sin documentar. En 2023 Kaspersky descubrió que los iPhone de sus propios empleados habían sido infectados mediante un mensaje invisible de iMessage. La cadena tenía 4 zero-days, se saltó la autenticación de punteros (PAC – un mecanismo que debe impedir que alguien tome el control del flujo de un programa) y – lo más interesante – la protección de memoria del kernel por hardware. Para ello, los atacantes usaron registros del procesador que no aparecen en ninguna documentación y que ni siquiera usa el software de Apple (CVE-2023-38606). Kaspersky lo calificó como el ataque más sofisticado que sus expertos habían visto jamás.
• Cuando la muralla aguantó: BLASTPASS. En septiembre de 2023 Citizen Lab cazó otro zero-click de NSO, esta vez a través de archivos adjuntos de Apple Wallet en iMessage. Y aquí va la buena noticia: Citizen Lab y Apple confirmaron de forma unánime que el Modo de Aislamiento bloqueaba este ataque. El modo desactiva, entre otras cosas, la mayoría de los adjuntos en Mensajes, la compilación JIT en el navegador (la puerta de entrada favorita de los exploits), las llamadas de desconocidos, la transferencia de datos por cable con la pantalla bloqueada y la instalación de perfiles de configuración y MDM.
• Una puerta sin exploit: el perfil MDM. Si no te puedes permitir un zero-day, siempre puedes pedirlo por favor. GoldPickaxe (Group-IB, febrero de 2024) se distribuyó primero a través de TestFlight (la plataforma oficial de Apple para probar apps), y cuando Apple lo retiró, los delincuentes convencían a sus víctimas en Vietnam y Tailandia para que instalaran un perfil MDM – es decir, para que cedieran la gestión de su móvil a una «empresa» desconocida. El malware también pedía grabar la cara de la víctima, y con eso se hacían deepfakes para engañar la verificación biométrica de los bancos. Fíjate: el Modo de Aislamiento bloquea precisamente la instalación de perfiles MDM.

Android: la accesibilidad, una puerta trasera de saldo

Android tiene las mismas murallas: sandbox, SELinux, arranque verificado, Play Protect con IA que analiza el comportamiento de las apps en el propio dispositivo (desde 2024). Pero también tiene algo que el iPhone no da a las apps de terceros: los servicios de accesibilidad (Accessibility Services).

Esta API nació con un fin noble: para personas ciegas, con baja visión o con discapacidad motora. Para que un lector de pantalla pueda leerle a una persona ciega lo que aparece en pantalla, y para que el control por conmutador pueda pulsar por una persona paralizada, la app tiene que ver todo lo que hay en la pantalla y poder pulsar en nombre del usuario. En cualquier app. También en la del banco.

Para un troyano bancario, esto son las llaves del reino. Un solo «Permitir» y la app puede:

• leer todo lo que muestra el móvil – usuarios, saldos, códigos SMS – y registrar cada pulsación de tecla,
• pulsar ella misma «Permitir» en las siguientes ventanas y concederse más permisos,
• tapar la app real con una pantalla de inicio de sesión falsa o con una pantalla negra bajo la que pasan cosas,
• y, al final, hacer ella misma una transferencia en tu app bancaria real, en tu propio móvil. Para el banco, parece una operación normal desde el dispositivo de confianza del cliente. 😈

No es teoría. Algunos ejemplos de los últimos años:

• Anatsa: unas 150.000-200.000 infecciones a través de falsos lectores de PDF y «limpiadores» en el Google Play oficial (ThreatFabric, febrero de 2024). Pedían acceso a la accesibilidad con la excusa de «dormir las apps que se comen la batería». En 2025, otro dropper que se hacía pasar por lector de PDF superó las 50.000 descargas en EE. UU.
• Crocodilus (ThreatFabric, marzo de 2025): toma el control del móvil y, para que la víctima no vea cómo el dispositivo se maneja solo, muestra una pantalla negra y silencia el sonido.
• Herodotus (ThreatFabric, octubre de 2025): escribe el texto letra a letra con pausas aleatorias de entre 0,3 y 3 segundos, para que los sistemas antifraude de los bancos crean que escribe una persona. En su lista de pantallas falsas aparece, entre otros, Polonia.
• FvncBot – en nuestro patio: se hacía pasar por la «Llave de seguridad de mBank» (Intel 471, diciembre de 2025). CERT Polska (marzo de 2026) describió cómo, tras la instalación, registra un servicio de accesibilidad con el inocente nombre de «System Update», con permiso para leer el contenido de las ventanas y ejecutar gestos. Y a partir de ahí: registro de pulsaciones, pantallas falsas, transmisión de la imagen y control remoto del móvil. Para ser precisos: no todos los troyanos polacos funcionan igual – NGate, el que describí más arriba, roba por NFC y no necesita la accesibilidad.

Google lo sabe y lleva años jugando al gato y al ratón con los delincuentes:

• Android 13 (2022): una app instalada desde un archivo APK descargado no puede pedir acceso a la accesibilidad – la opción aparece en gris.
• La respuesta de los delincuentes (2023): ThreatFabric describió SecuriDropper – una app intermediaria que instala el malware real con el mismo método que una tienda de apps. El sistema no distingue uno de otro, así que el bloqueo no funciona. FvncBot hacía exactamente lo mismo en 2025.
• Android 15 y 16: las restricciones se ampliaron a otros permisos sensibles, y desde diciembre de 2025 Google Play rechaza las apps que fingen ser herramientas para personas con discapacidad sin serlo. Play Protect también las bloquea en los móviles.
• Android 17: activar el modo Advanced Protection retira automáticamente el acceso a la accesibilidad a todas las apps que no sean verdaderas herramientas de accesibilidad (lectores de pantalla, control por conmutador, por voz, Braille). La trampa: solo si activas ese modo. También lo perderán, por ejemplo, los gestores de contraseñas y las apps de automatización.

El iPhone no tiene este problema por una razón sencilla: las apps de terceros no reciben una API que les permita leer otras apps y pulsar en nombre del usuario. VoiceOver forma parte del sistema. Es uno de los principales motivos por los que los troyanos bancarios móviles son casi exclusivamente cosa de Android.

Prueba práctica de 30 segundos: entra en Ajustes → Accesibilidad y revisa la lista de apps descargadas/instaladas con el acceso activado. Si ves ahí cualquier cosa que no sea una herramienta que usas a sabiendas (lector de pantalla, control por voz), y sobre todo una «actualización del sistema», un «lector de PDF» o una «llave de seguridad del banco» – desconecta el móvil de internet y llama a tu banco. La app del banco no necesita este permiso. ⚠️

Lección #9: Las murallas hoy son altas en ambos sistemas. En el iPhone se entra por puertas técnicas que valen millones – formatos de archivo exóticos y registros del procesador sin documentar. En Android, el delincuente entra más a menudo por una puerta humana de saldo: un solo clic en «Permitir» en la accesibilidad le da más que un exploit de un millón de dólares. Por eso, en Android, la formación y bloquear la instalación desde fuera de la tienda importan más que el modelo de móvil.

Veredicto: tabla de puntuación

Es mi valoración subjetiva – pero cada fila se apoya en las cifras de arriba. «Android» aquí significa un Pixel o un Samsung con soporte completo; el móvil sin marca del supermercado pierde en todas las filas contra ambos.

Si tengo que resumirlo en una frase: el iPhone es más seguro «de serie» para quien no configura nada; un Pixel o un Samsung bien gestionado con MDM es al menos igual de seguro para una empresa que sí configura. Y la peor elección es un Android sin soporte de actualizaciones – cueste lo que cueste.

7 cosas que hacer, uses el sistema que uses

1. Actualizaciones automáticas, activadas y comprobadas. Es el único parámetro de este post en el que las plataformas se diferencian por diez. En Android en la empresa: impuestas por el MDM con fecha límite.
2. Cero apps de fuera de la tienda. 50 veces más malware. Si no tienes MDM, desactiva las «fuentes desconocidas» y activa Auto Blocker (Samsung) o Play Protect. De vez en cuando, revisa qué apps tienen acceso a la accesibilidad. En el iPhone: no instales perfiles de configuración ni MDM desde enlaces.
3. Modo de Aislamiento / Advanced Protection para dirección, finanzas, abogados y RR. HH. Sí, algunas cosas dejarán de funcionar. Ese es el precio.
4. Reinicia una vez al día. Suena tonto, pero funciona contra la mayoría del spyware móvil, que no tiene persistencia.
5. Compra por la duración del soporte, no por la cámara. 7 años (Pixel, Galaxy S) o un iPhone. Un móvil sin actualizaciones es, a los 2 años, un móvil con una lista pública de exploits gratis.
6. Procedimientos resistentes al phishing. El iPhone del director general recibirá el enlace igual que el Android del mozo de almacén. Cambio de cuenta bancaria de un proveedor, transferencia inusual, algo «urgente» del jefe – siempre un segundo canal y una segunda persona.
7. Prueba tu propia app móvil. Si tu empresa publica una app para iOS o Android, es ella – y no el sistema – el eslabón más débil. Apple y Google gastan cientos de millones al año en su parte; la tuya cuesta unos pocos días de pruebas. Si quieres saber cuánto exactamente, calcúlalo en la calculadora, y si prefieres hablarlo – escríbeme.

Preguntas frecuentes

¿Es el iPhone más seguro que Android?

«De serie», sí: los parches llegan antes a los dispositivos (el 79% de los iPhone con iOS 26 frente al 7,5-38% de los Android con Android 16), no hay malware masivo y existe una sola tienda cerrada. Pero un Pixel o un Samsung bien gestionado, con 7 años de soporte y MDM, es igual de seguro para una empresa, y los Android más baratos sin soporte pierden contra ambos.

¿Cuántas vulnerabilidades (CVE) tiene Android y cuántas iOS?

Según Zimperium, en 2024 Android tuvo 501 CVE e iOS, 317. Las cifras no son del todo comparables: en Android se incluyen componentes de Qualcomm, MediaTek y otras empresas, y Android, al ser open source, lo analizan más investigadores.

¿Cuánto cuesta un exploit para iPhone y para Android?

Crowdfense (lista de precios de 2024, vigente) paga hasta 5-7 millones de $ por una cadena zero-click para iOS y hasta 5 millones de $ para Android. La rusa Operation Zero paga 2 millones de $ por iOS y 2,5 millones de $ por Android. En 2019, Zerodium valoraba más Android (2,5 frente a 2 millones de $).

¿Con qué rapidez parchean Apple y Google las vulnerabilidades?

Según Google Project Zero (2019-2021), iOS necesitó una media de 70 días desde el reporte hasta el parche, y Pixel y Samsung, 72 cada uno. La diferencia está en que el parche llegue a los usuarios: Apple actualiza casi toda su base en unos meses, mientras que las actualizaciones de Android dependen del fabricante del móvil.

¿Se puede hackear un iPhone sin hacer clic?

Sí. Los ataques zero-click (por ejemplo, Graphite de la empresa Paragon a través de iMessage en 2025, CVE-2025-43200) existen para ambos sistemas. Protegen contra ellos el Modo de Aislamiento (iOS) y Advanced Protection (Android 16), además de instalar las actualizaciones de inmediato. Apple afirma que no conoce ningún ataque de spyware exitoso contra un móvil con el Modo de Aislamiento activado.

¿Por qué es peligrosa la accesibilidad en Android?

Los servicios de accesibilidad (Accessibility Services) se crearon para personas con discapacidad, así que permiten a una app leer todo lo que hay en la pantalla y pulsar en nombre del usuario. Troyanos bancarios como Anatsa, Herodotus o FvncBot, dirigido contra usuarios polacos, convencen a la víctima de que active este acceso y después roban contraseñas y hacen ellos mismos transferencias en la app bancaria real. Android 13 y posteriores se lo ponen más difícil a las apps de fuera de la tienda, y Android 17 con el modo Advanced Protection retira este acceso a las apps que no son herramientas de accesibilidad. iOS no ofrece una API así a las apps de terceros.

¿Qué móvil elegir para la empresa?

Un iPhone o un Android con 7 años de soporte garantizado (Pixel 8+, Galaxy S24+), siempre bajo MDM, con actualizaciones obligatorias y prohibición de instalar apps de fuera de la tienda. Para dirección y finanzas: Modo de Aislamiento / Advanced Protection.

Resumen

Durante años este debate parecía cosa de hinchas. Las cifras muestran algo más aburrido y, a la vez, más interesante: en origen, Apple y Google juegan hoy en la misma liga – parchean a un ritmo parecido, pagan millones por los fallos y sus buques insignia se han convertido en objetivos que solo pueden permitirse los Estados. Las diferencias están más allá: en cuántos móviles reciben de verdad el parche, de dónde instala apps el usuario y quién tiene el móvil en la mano. El iPhone gana entre la gente que no configura. Android gana en las empresas que configuran – siempre que hayan comprado un móvil con soporte. Y siempre pierde quien no actualiza. 🔓

Si quieres ver cómo se ve tu app móvil o tu flota de móviles desde la perspectiva de un atacante – ya sabes dónde encontrarme.

Fuentes de los datos usados en el post

• StatCounter – cuota de los sistemas móviles en el mundo y en Polonia (09.2026)
• Google – política de actualizaciones de Pixel (support.google.com); Samsung / 9to5Google – 7 años de soporte para el Galaxy S25 (01.2025); Apple – iOS 26 security content (09.2025)
• Zimperium – Global Mobile Threat Report 2025 (04.2025) y comunicado sobre el informe de 2026 (07.2026)
• Google Security Blog – «Eliminating memory safety vulnerabilities at the source» (09.2024); Google – «Rust in Android: move fast and fix things» (11.2025)
• Apple Security Research – «Memory Integrity Enforcement» (09.2025); «A major evolution of Apple Security Bounty» (10.2025)
• Google Threat Intelligence Group – «2024 Zero-Day Trends» (04.2025) y «2025 Zero-Day Review» (03.2026); SecurityWeek – resumen (03.2026)
• Google Project Zero – «A walk through Project Zero metrics» (02.2022); Reporting Transparency 2025 (datos a 17.03.2026)
• Android Security Bulletin – julio de 2025 y diciembre de 2025; Android Authority – sistema de actualizaciones basado en el riesgo (09.2025); SecurityWeek (07.2025); BleepingComputer (12.2025)
• Help Net Security – primeras Background Security Improvements de Apple (03.2026); Apple / 9to5Mac – iOS 26.7.1, CVE-2026-86950 (28.09.2026); Android Security Bulletin – octubre de 2026; MacRumors – lanzamiento de iOS 27 (09.2026)
• Apple / MacRumors – adopción de iOS 26 (06.2026); Google / 9to5Google – distribución de versiones de Android (01.2026); StatCounter – versiones de Android (09.2026)
• Crowdfense – Exploit Acquisition Program; TechCrunch (04.2024); Operation Zero – lista de precios (opzero.ru); TechCrunch (09.2023); Threatpost – Zerodium (09.2019); CyberScoop / The Hacker News – caso de Peter Williams (2025-2026)
• Zero Day Initiative – resultados de Pwn2Own Ireland 2024, 2025 y 2026; BleepingComputer (09.10.2026); Privacy Guides (13.10.2026); SecurityWeek (10.2024)
• Google – VRP 2024 (03.2025) y VRP 2025 (03.2026); SecurityWeek – desglose por programas (03.2026) y cambios en el Android VRP (05.2026); Samsung Newsroom (11.2024)
• Apple Newsroom – App Store fraud prevention 2025 (05.2026); Google – «How we kept Google Play safe in 2025» (02.2026)
• Kaspersky Securelist – «Mobile malware evolution in 2025» (03.2026) y 2024 (03.2025); Lookout – Q3 2025 Mobile Threat Landscape; Lookout / Business Wire (04.2025, 01.2026); ESET Threat Report H2 2025 (12.2025)
• CERT Polska – análisis de NGate (11.2025), FvncBot (03.2026) y Cifrat (04.2026)
• Android Developers Blog – verificación de desarrolladores (08.2025, 06.2026); TechCrunch – tiendas alternativas en la UE (03.2025); Apple – distribución de apps en la UE
• Google – «How Android provides the most effective protection…» (10.2025, estudio encargado por Google)
• Citizen Lab – Report 186, Paragon Graphite (06.2025); Apple Support – notificaciones de amenazas; The Hacker News (08.2026); TechCrunch – Lockdown Mode (03.2026); The Record / Unit 42 – LANDFALL (11.2025)
• 404 Media / TechSpot – filtraciones de Cellebrite (07.2024, 10.2025); Android Authority (10.2025)
• Google Project Zero – «A deep dive into an NSO zero-click iMessage exploit» (12.2021) y «FORCEDENTRY: Sandbox Escape» (03.2022); SecurityWeek (12.2021)
• Kaspersky – Operation Triangulation (06.2023); Securelist – «The last (hardware) mystery» (12.2023)
• Citizen Lab – BLASTPASS (09.2023); Apple – Lockdown Mode (Newsroom 07.2022, Personal Safety User Guide)
• Group-IB – GoldPickaxe / GoldFactory (02.2024)
• ThreatFabric – SecuriDropper (11.2023), Octo (04.2022), Crocodilus (03.2025), Anatsa (07.2025), Herodotus (10.2025); BleepingComputer – Anatsa (02.2024); The Hacker News – Hook v3 (08.2025)
• Google Security Blog – Android 15 y Play Protect live threat detection (05.2024); Android Developers Blog – protección de la API de accesibilidad (12.2025); The Hacker News – Android 17 Advanced Protection y la accesibilidad (03.2026, 10.2026)
• Intel 471 – FvncBot (12.2025); CERT Polska – análisis de FvncBot (03.2026)