Un solo mensaje puede bloquear un teléfono Android, y Android 12 y 13 no recibirán una solución

Un investigador publicó código de ataque funcional para una falla de Android que permite que cualquier persona que conozca tu número bloquee tu teléfono con un solo mensaje de texto. Apodado el «SMS de la muerte», el mensaje nunca aparece en la bandeja de entrada y no hace falta tocar nada. Desactiva el componente de Android que gestiona las llamadas y la señal móvil, y pone fin a cualquier llamada en curso, incluso a una llamada a los servicios de emergencia. Google ya corrigió el problema en las versiones actuales de Android, pero los teléfonos más antiguos que dejaron de recibir actualizaciones de seguridad seguirán expuestos.

Para la mayoría, la pregunta es sencilla: ¿tu teléfono tiene instalada la última actualización de seguridad? La falla está en el código de telefonía central de Android, que usan todos los fabricantes, así que no afecta a una sola marca. El investigador, que publica con el nombre de Mark B, dice que el bloqueo se reprodujo todas las veces en un Google Pixel y en varios teléfonos Samsung Galaxy, incluidos los modelos más económicos de la serie A, que todavía no habían recibido la solución.

El ataque aprovecha WAP Push, un antiguo formato de mensajes que las operadoras usan para enviar configuraciones a los teléfonos en segundo plano. Un mensaje malformado hace que Android intente reservar una cantidad negativa de memoria y provoca que se bloquee el proceso que gestiona las llamadas y la señal. Cada mensaje deja a la víctima sin servicio durante uno o dos segundos. El daño real viene con la repetición. Las operadoras vuelven a enviar los mensajes que el teléfono no confirmó haber recibido y, en las pruebas del investigador, un solo mensaje provocó interrupciones intermitentes durante hasta una semana. Unos 20 mensajes bastaron para dejar un teléfono inutilizable.

Los mensajes adulterados también quedan en cola y se procesan otra vez cada vez que el teléfono se inicia. Durante las pruebas, un teléfono con Android 12 se reinició en modo de recuperación aproximadamente cada 90 segundos; el usuario común solo podría salir de ese ciclo restableciendo el teléfono a la configuración de fábrica, lo que borra el dispositivo. Un colaborador del proyecto que usa el nombre de Sakis encontró una forma de eliminar únicamente los mensajes problemáticos, pero se necesita una computadora, las herramientas de desarrollo de Android y actuar con rapidez durante el breve intervalo después de cada reinicio.

El investigador plantea la falla en relación con el número de emergencias Triple Zero de Australia y señala una consecuencia inusual en ese país. Las normas australianas exigen que las operadoras identifiquen los teléfonos que no pueden comunicarse con los servicios de emergencia y, con el tiempo, les corten el servicio. Telstra afirma que bloquea esos teléfonos si la situación no cambia en un plazo de 28 días. Según la interpretación del investigador, un atacante que pueda hacer que un teléfono falle a voluntad al llamar a emergencias podría lograr que la propia operadora de la víctima bloquee su dispositivo en la red.

Pero hay motivos para no alarmarse de más. Se trata de un ataque de denegación de servicio, no de una intrusión: el mensaje no puede leer tus datos, instalar nada ni tomar el control del teléfono. El atacante necesita tu número y una forma de enviar mensajes de datos sin procesar. La herramienta publicada los envía desde otro teléfono Android con una tarjeta SIM, lo que deja un registro en la operadora. Hasta ahora, ningún informe público describe el uso de esta falla contra personas reales. Como señaló BleepingComputer, el boletín de seguridad de octubre de Google tampoco menciona la solución, por lo que los dueños de teléfonos más antiguos no han recibido una advertencia oficial de que están expuestos.

Para comprobarlo, abre Configuración, entra en Acerca del teléfono o Seguridad y revisa la fecha de la actualización de seguridad de Android. Cualquier actualización de octubre de 2026 o posterior incluye la solución. Samsung, Motorola, Xiaomi y otros fabricantes distribuyen los parches según sus propios calendarios, y las operadoras pueden retrasarlos, así que un teléfono con una versión más reciente de Android todavía podría estar esperando. Si tu teléfono se quedó en Android 12 o 13, la única protección completa es cambiar a un dispositivo que todavía reciba actualizaciones.

El investigador reportó la falla al programa de recompensas por vulnerabilidades de Android de Google el 5 de mayo. Un ingeniero de Google escribió la solución a mediados de junio y esta llegó con la actualización de seguridad de octubre de 2026 para Android 14 a 17. El informe público y la prueba de concepto se publicaron después, el 29 de octubre. Google no añadió la comprobación de longitud que había propuesto el investigador: su parche detecta el bloqueo y elimina el mensaje problemático para impedir que vuelva a activarse.

Así quedan los teléfonos Android más antiguos, en una situación extraña. Siguen haciendo llamadas con normalidad. Simplemente, ya no pueden contar con terminarlas.

Etiquetas: Google, ciberseguridad, Android, Google Pixel, Samsung Galaxy, BleepingComputer