Antivirus en el móvil: qué configurar en Android e iPhone

Respuesta corta: en un iPhone no hace falta antivirus, y en Android la mayoría de usuarios tampoco, siempre que tengan Google Play Protect activo, el sistema actualizado y no instalen aplicaciones fuera de Google Play. Lo que engaña a la gente en España no suele ser un "virus" clásico, sino un SMS, una llamada o una app falsa que el propio usuario acaba instalando o autorizando. Ahí un antivirus hace poco, y unos cuantos ajustes hacen mucho.

Por qué el móvil no funciona como un ordenador

En Windows, un programa puede tocar casi cualquier parte del sistema. En Android y en iOS, cada app vive en una "caja" (sandbox) con permisos limitados: no puede leer los datos de otra app ni modificar el sistema sin que tú lo autorices. Por eso un virus que se propaga solo, como los de los años 2000, es rarísimo en móviles.

Lo que sí ocurre es esto:

• Apps maliciosas que se hacen pasar por otra cosa (seguimiento de paquetes, "actualización" del banco, aplicaciones de inversión).
• Permisos peligrosos concedidos por engaño, sobre todo el de accesibilidad en Android, que permite a una app leer la pantalla y pulsar botones en tu nombre.
• Phishing y smishing: no infectan el móvil, te llevan a una web falsa donde tú mismo entregas las claves. Tienes más detalle en nuestros artículos sobre SMS falsos del banco y phishing por email.
• Stalkerware: apps de espionaje instaladas por alguien con acceso físico a tu teléfono.

Un antivirus detecta bien una parte de lo primero y de lo último, y casi nada de lo demás.

Android: qué ofrece y qué falla

Android incluye Google Play Protect, que analiza las apps de Google Play y también las que instalas desde fuera. Viene activado de serie en los móviles con servicios de Google.

El riesgo real en Android es la instalación de APK fuera de la tienda. Un SMS que dice "no hemos podido entregar tu paquete, instala esta app" lleva a un archivo que, una vez instalado, pide permiso de accesibilidad y desde ahí puede leer códigos SMS y operar tu app bancaria. Play Protect ayuda, pero la primera barrera eres tú: el sistema te avisa de que estás instalando desde una fuente desconocida y ese aviso hay que tomarlo en serio.

Ajustes que conviene revisar en Android

Las rutas exactas varían según la marca (Samsung, Xiaomi, Pixel, Motorola), pero los nombres se parecen. Comprueba en los ajustes de tu móvil:

1. Play Protect activo. Abre Google Play, pulsa tu foto de perfil y entra en Play Protect. Activa "Analizar aplicaciones con Play Protect" y lanza un análisis manual.
2. Instalar apps desconocidas, desactivado para todas las apps, especialmente navegador y mensajería. Se gestiona desde los permisos especiales de cada app.
3. Permisos de accesibilidad vacíos o casi. Entra en Ajustes > Accesibilidad > Apps instaladas. Si aparece algo que no reconoces o que no es un lector de pantalla o similar, desinstálalo.
4. Actualizaciones de seguridad al día. Ajustes > Acerca del teléfono > versión de Android > parche de seguridad. Si tu móvil lleva más de un año sin parche, es un problema mayor que la falta de antivirus.
5. Bloqueo de pantalla robusto (PIN de 6 dígitos o más, o huella) y Encontrar mi dispositivo activado.
6. Filtro de spam en Google Messages y aviso de enlaces sospechosos, si tu móvil usa esa app de mensajes.
7. Navegación segura mejorada en Chrome, si aceptas que Google analice más datos de navegación.
8. Modo de protección avanzada, en las versiones recientes de Android que lo incluyan, para quien maneje mucho dinero o datos sensibles. Comprueba en tu fabricante si tu modelo lo tiene.

Sobre las actualizaciones: los Pixel 8 y posteriores y los Samsung Galaxy S24 y posteriores prometen siete años de parches, según sus fabricantes. Muchos móviles de gama baja reciben tres o cuatro. Comprueba en la web de tu marca cuánto le queda al tuyo.

iPhone: por qué no hace falta y qué activar

Apple obliga a que las apps de la App Store se ejecuten aisladas. Las apps que se venden como "antivirus" en iOS no pueden escanear otras aplicaciones; suelen ofrecer bloqueo de llamadas, VPN o alertas de filtraciones. Puede que te sirvan para eso, pero no son un antivirus.

En la Unión Europea, incluida España, iOS admite desde 2024 tiendas de aplicaciones alternativas por la normativa europea de mercados digitales. Nuestra recomendación: no las uses salvo que sepas exactamente lo que haces. Quedarte solo con la App Store retira el mayor vector de riesgo que tiene un iPhone.

Ajustes que conviene revisar en iPhone

Los nombres de los menús cambian un poco según la versión de iOS:

1. Actualizaciones automáticas activadas (Ajustes > General > Actualización de software), incluidas las respuestas de seguridad en segundo plano.
2. Protección de dispositivo robado (Ajustes > Face ID y código), disponible desde iOS 17.3. Si alguien te ve teclear el código y te roba el móvil, no podrá cambiar el ID de Apple ni desactivar Buscar sin biometría.
3. Filtrar remitentes desconocidos en Ajustes > Mensajes. Los SMS de números que no tienes en la agenda pasan a otra bandeja y ves menos smishing.
4. Aviso de sitio web fraudulento activado en Safari.
5. Doble factor en el ID de Apple con contraseña única y, si puedes, llaves de acceso (passkeys).
6. Buscar mi iPhone activado.
7. Modo aislamiento (Ajustes > Privacidad y seguridad): es una protección extrema pensada para periodistas o personas objetivo de espionaje. Para un usuario normal, es excesivo.

Qué cambia con un antivirus de pago

Los precios son orientativos, varían por oferta y por número de dispositivos; comprueba en la web de cada fabricante.

Si te ofrecen un antivirus para iPhone por 30 € al año prometiendo "escaneo de virus", desconfía.

Un caso real: Javier y el paquete que no existía

Javier, 58 años, tiene un Android de tres años. Recibe un SMS: "Su paquete está retenido, complete la entrega aquí". Pulsa, descarga un APK, ignora el aviso de instalación desde fuentes desconocidas y concede el permiso de accesibilidad que le pide la app. Esa misma tarde le salen tres transferencias desde su cuenta: 1.850 € en total.

¿Lo habría evitado un antivirus? Quizá lo hubiera detectado, quizá no. Lo que lo habría evitado seguro son tres ajustes gratuitos: no permitir instalar apps desconocidas, no conceder accesibilidad a una app de origen dudoso y no pulsar enlaces de un SMS de mensajería. Si te ocurre algo parecido, sigue los pasos de nuestro artículo sobre qué hacer en las primeras 24 horas tras un vaciado de cuenta, y reclama a tu banco: la normativa de servicios de pago (Real Decreto-ley 19/2018) obliga a la entidad a devolver los cargos no autorizados salvo que demuestre fraude o negligencia grave por tu parte.

Errores habituales

• Instalar tres antivirus a la vez. Se estorban entre sí y consumen batería.
• Creer que un antivirus sustituye a las actualizaciones. Un móvil sin parches de seguridad tiene agujeros que ninguna app puede tapar.
• Descargar "antivirus gratis" desde una web. Muchos de esos APK son el malware.
• Conceder permisos por prisa. Una linterna que pide acceso a tus contactos y SMS no lo necesita.
• No revisar las apps instaladas. Una vez al trimestre, borra lo que no uses.

Nuestra recomendación

Para el 90 % de los usuarios, no pagues un antivirus. Activa Play Protect o los ajustes de iOS que hemos citado, actualiza el sistema y no instales nada desde fuera de las tiendas oficiales. Ese dinero rinde más en un gestor de contraseñas y en activar avisos de cada movimiento en la app de tu banco. Un antivirus de pago tiene sentido en dos casos: móviles compartidos con menores o personas mayores (por el filtro de webs y llamadas) y usuarios de Android que, por trabajo, necesitan instalar apps fuera de Google Play.

Cuándo pedir ayuda

• Sospechas de stalkerware (alguien sabe cosas que solo dices por mensaje o llamada): haz copia de lo importante, restablece el móvil de fábrica y cambia todas las contraseñas desde otro dispositivo.
• Has concedido permisos de accesibilidad a una app dudosa y ya hay movimientos raros: llama a tu banco y bloquea accesos antes de nada.
• Necesitas orientación: INCIBE atiende en el teléfono gratuito 017 y en su sede oficial, https://www.incibe.es. Si has sufrido un fraude, denuncia en Policía Nacional o Guardia Civil; el proceso lo explicamos en nuestro artículo sobre cómo denunciar una estafa online.

Un móvil bien configurado y un usuario que duda antes de pulsar protegen más que cualquier aplicación que lleve la palabra "antivirus" en el nombre.