Apagar el móvil cinco minutos al día: qué hay de cierto en el consejo de Sánchez contra el espionaje

Apagar el móvil cinco minutos al día no garantiza que nadie pueda espiarlo. Sí puede interrumpir el funcionamiento de determinados programas maliciosos y dificultar su continuidad. Esa es la diferencia entre una precaución útil y una protección completa, y también el matiz que necesita el consejo que Pedro Sánchez compartió durante su entrevista en La Revuelta. La Agencia de Seguridad Nacional estadounidense (NSA) incluye el apagado y encendido periódico entre sus recomendaciones, pero advierte de que solo sirve frente a algunas amenazas.

El presidente del Gobierno explicó a David Broncano que había recibido esa indicación del departamento de Sistemas de la Moncloa después del espionaje con Pegasus. «Si apagas el móvil cinco minutos al día, hace que se proteja frente a los virus», aseguró. La recomendación tiene fundamento, aunque expresada así transmite una sensación de seguridad mayor de la que ofrece realmente.

El precedente de Pegasus

El episodio que explica esa preocupación se hizo público el 2 de mayo de 2022, cuando el Gobierno anunció que los teléfonos de Sánchez y de la ministra de Defensa, Margarita Robles, habían sido infectados con Pegasus. Las intrusiones se produjeron en 2021, aunque se comunicaron al año siguiente. Del dispositivo del presidente se extrajeron 2,6 gigabytes de información en una intervención y 130 megabytes en otra, según los datos divulgados entonces.

El alcance conocido se amplió después. El Ejecutivo confirmó que también había sido infectado el teléfono del ministro del Interior, Fernando Grande-Marlaska. En el caso del titular de Agricultura, Luis Planas, se detectó un intento fallido.

Qué ocurre cuando se apaga el teléfono

La explicación está en cómo consiguen mantenerse activos algunos programas espía. Determinadas infecciones dependen de procesos que se ejecutan en la memoria temporal del dispositivo, la RAM. Un apagado completo interrumpe esos procesos y puede acabar con una infección que no tenga mecanismos para sobrevivir al siguiente arranque. El atacante necesitaría entonces volver a comprometer el teléfono para recuperar el acceso.

Un análisis forense de Pegasus publicado en 2021 señaló que sus investigaciones apuntaban a que el programa ya no mantenía persistencia en los dispositivos iOS examinados. Es decir, aquellas infecciones no estaban preparadas para permanecer activas después de un reinicio. Ese hallazgo no permite afirmar que cualquier versión de Pegasus, en cualquier teléfono, desaparezca siempre al apagarlo.

Tampoco conviene confundir estos ataques con el clásico engaño que exige pulsar un enlace. Otros informes documentaron ataques de Pegasus mediante vulnerabilidades de cero clic, fallos que permiten comprometer el dispositivo sin que la víctima tenga que abrir un archivo o tocar un mensaje. Ser prudente sigue siendo necesario, pero no basta frente a todas las técnicas de espionaje.

Los cinco minutos no son la clave

La guía de buenas prácticas de la NSA recomienda apagar y volver a encender el teléfono una vez por semana. No establece una espera de cinco minutos ni exige hacerlo diariamente. Además, su tabla de protección presenta esta medida como una barrera que puede funcionar algunas veces frente a determinados ataques, no como una garantía.

Lo relevante no es cumplir un tiempo concreto, sino interrumpir realmente el funcionamiento del sistema

Por tanto, lo relevante no es cumplir un tiempo concreto, sino interrumpir realmente el funcionamiento del sistema. La persistencia marca la diferencia: si el programa malicioso puede sobrevivir al apagado y ejecutarse de nuevo al encender el aparato, la maniobra no lo elimina. Y, aunque se consiga interrumpir una infección, el teléfono puede volver a ser atacado si continúa expuesto al mismo fallo de seguridad.

Apagar el dispositivo tampoco corrige la vulnerabilidad aprovechada por el atacante ni recupera los datos que ya haya robado

Apagar el dispositivo tampoco corrige la vulnerabilidad aprovechada por el atacante ni recupera los datos que ya haya robado. Por eso, la propia NSA acompaña esta pauta con otras: actualizar el sistema operativo y las aplicaciones, utilizar fuentes oficiales para instalar programas y evitar enlaces o archivos sospechosos. Son medidas complementarias, no intercambiables.

El consejo de Sánchez puede puede ser una precaución más, lo que no permite es asegurar que cinco minutos diarios bastan para impedir otro Pegasus. La seguridad depende del tipo de ataque, del estado del dispositivo y de las protecciones que lo acompañan; no de mantenerlo apagado durante un plazo determinado.