{"id":99066,"date":"2026-05-12T18:00:00","date_gmt":"2026-05-12T18:00:00","guid":{"rendered":"https:\/\/securitylab.amnesty.org\/es\/?p=99066"},"modified":"2026-05-11T16:05:30","modified_gmt":"2026-05-11T16:05:30","slug":"registro-de-intrusiones-en-android-nueva-fuente-de-datos-forense-consensuado","status":"publish","type":"post","link":"https:\/\/securitylab.amnesty.org\/es\/latest\/2026\/05\/registro-de-intrusiones-en-android-nueva-fuente-de-datos-forense-consensuado\/","title":{"rendered":"El Registro de intrusiones en Android: nueva fuente de datos para el an\u00e1lisis forense consensuado"},"content":{"rendered":"\n

Google ha anunciado hoy el lanzamiento de una nueva funci\u00f3n de Registro de intrusiones<\/a> en Android como parte del modo de Protecci\u00f3n avanzada de Android (Android Advanced Protection Mode, AAPM)<\/a>. La nueva funci\u00f3n llamada Registro de intrusiones promete ser de gran ayuda para los investigadores\/as forenses digitales que indagan sobre ataques sofisticados en dispositivos Android. Es la primera vez que un importante fabricante de dispositivos lanza una funci\u00f3n dise\u00f1ada espec\u00edficamente para mejorar la capacidad de detectar y responder a amenazas digitales avanzadas en el \u00e1mbito forense.<\/p>\n\n\n\n

El Laboratorio sobre Seguridad de Amnist\u00eda Internacional ha colaborado con Google durante el \u00faltimo a\u00f1o en todo el proceso de dise\u00f1o e implementaci\u00f3n del AAPM, prestando especial atenci\u00f3n a la funci\u00f3n de Registro de intrusiones. Las investigaciones de Amnist\u00eda Internacional y de una comunidad cada vez mayor de laboratorios que trabajan en el \u00e1mbito de las amenazas e investigadores\/as de la sociedad civil han identificado numerosos casos en los que atacantes sofisticados tienen como objetivo los tel\u00e9fonos de defensores\/as de los derechos humanos y de periodistas.<\/p>\n\n\n\n

Los intentos forenses de la sociedad civil se han basado casi exclusivamente en registros de incidentes y archivos de registro, no dise\u00f1ados ni pensados para el uso forense o de seguridad. Como resultado, las huellas forenses disponibles en los tel\u00e9fonos m\u00f3viles suelen carecer de contexto esencial, son inaccesibles para el usuario final o son de corta duraci\u00f3n y ya no est\u00e1n disponibles cuando se lleva a cabo el an\u00e1lisis forense en el dispositivo.<\/p>\n\n\n\n

Los actores del \u00e1mbito de la vigilancia tambi\u00e9n son cada vez m\u00e1s conscientes de estos esfuerzos forenses y se esmeran en ocultar sus acciones en los dispositivos objetivo. Basarse en registros forenses de incidentes en un contexto as\u00ed parece insuficiente para los esfuerzos de rendici\u00f3n de cuentas a largo plazo, destinados a combatir el uso indebido de las tecnolog\u00edas de cibervigilancia.<\/p>\n\n\n\n

\n

Nos complace enormemente el lanzamiento del Registro de intrusiones de Android, que promete respaldar a los defensores y defensoras, proporcionando a quienes en la sociedad civil se dedican a investigar las pruebas esenciales necesarias para detectar y exponer algunos de los ataques m\u00e1s avanzados a los que se enfrentan tanto periodistas como activistas.
 
Con el Registro de intrusiones, Google se convierte en el primer gran proveedor en abordar el reto de detectar ataques avanzados en los dispositivos con car\u00e1cter proactivo. Al poner a disposici\u00f3n de los\/as investigadores\/as m\u00e1s datos forenses consensuados, es posible dificultar las operaciones de los atacantes y ayudar a la sociedad civil a exigir responsabilidades cuando sus dispositivos son objeto de ataques il\u00edcitos mediante software esp\u00eda y herramientas de extracci\u00f3n de datos m\u00f3viles.<\/p>\nDonncha \u00d3 Cearbhaill, director del Laboratorio sobre Seguridad, Amnist\u00eda Internacional<\/strong><\/cite><\/blockquote>\n\n\n\n

Este informe t\u00e9cnico se dirige principalmente a tecn\u00f3logos\/as e investigadores\/as forenses de la sociedad civil. En \u00e9l se describen las nuevas caracter\u00edsticas clave del modo de Protecci\u00f3n avanzada y se detalla c\u00f3mo puede la funci\u00f3n de Registro de intrusiones de Android, en concreto, mejorar el trabajo de los\/as investigadores\/as que llevan a cabo an\u00e1lisis forenses digitales consensuados.<\/p>\n\n\n\n

Para que el Registro de intrusiones est\u00e9 a disposici\u00f3n de los\/as investigadores\/as, Amnist\u00eda Internacional tambi\u00e9n ha publicado hoy actualizaciones de AndroidQF<\/a> y del Mobile Verification Toolkit (MVT)<\/a>, a fin de proporcionar soporte inicial para recopilar y analizar autom\u00e1ticamente los registros del Registro de intrusiones.<\/p>\n\n\n\n

Para usuarios de alto riesgo: pasen directamente a las Instrucciones para habilitar el modo de Protecci\u00f3n avanzada<\/a>.<\/strong><\/h3>\n\n\n\n
<\/div>\n\n\n
\n\n

Introducci\u00f3n<\/h2>\n\n<\/div><\/section>\n\n\n
<\/div>\n\n\n\n

En los \u00faltimos a\u00f1os se han logrado avances significativos en la integraci\u00f3n de mecanismos de seguridad m\u00e1s s\u00f3lidos directamente en los sistemas operativos m\u00f3viles, con el objetivo de hacer frente a ataques selectivos y sofisticados. Son ejemplos de ello el modo herm\u00e9tico<\/a> de Apple, las mitigaciones de exploits<\/em><\/a> de GrapheneOS y el modo de Protecci\u00f3n avanzada<\/a> (AAPM) de Android. El AAPM re\u00fane un conjunto de configuraciones predeterminadas<\/a> y, como anunci\u00f3 recientemente Google, ahora incluye una funci\u00f3n adicional llamada Registro de intrusiones.<\/p>\n\n\n\n

Hist\u00f3ricamente, la arquitectura de Android ha impuesto limitaciones t\u00e9cnicas a la disponibilidad de registros con fines forenses consensuados. Los registros suelen tener una vida corta y se almacenan en b\u00faferes circulares fijos que se sobrescriben repetidamente durante el uso normal del tel\u00e9fono. Por ejemplo, los mensajes del sistema recopilados a trav\u00e9s de Logcat<\/a> dependen de un conjunto fijo de b\u00faferes que se llenan r\u00e1pidamente, lo que reduce su utilidad para fines forenses, pese a ser la fuente de registro m\u00e1s detallada del sistema operativo Android. Del mismo modo, los volcados de memoria generados por debuggerd<\/em><\/a> se almacenan en un n\u00famero limitado de archivos tombstone<\/em> y se rotan a lo largo del tiempo, de forma que los m\u00e1s antiguos se sobrescriben a medida que se producen nuevos errores en el dispositivo.<\/p>\n\n\n\n

En el an\u00e1lisis forense consensuado, solemos trabajar en escenarios posteriores a un ataque. Normalmente, los defensores y defensoras de los derechos humanos se ponen en contacto con nosotros debido a la sospecha de infecciones previas, que pueden haber ocurrido meses o incluso a\u00f1os antes. Si bien las notificaciones de proveedores como Apple, Meta y Google han ayudado a las personas a reconocer posibles vulneraciones y a pedir ayuda m\u00e1s r\u00e1pidamente, es posible que, cuando comienza la investigaci\u00f3n, las pruebas hist\u00f3ricas ya hayan desaparecido.<\/p>\n\n\n\n

En este contexto, una funci\u00f3n opcional como el Registro de intrusiones representa un cambio fundamental en la cantidad y la calidad de los datos forenses disponibles en dispositivos Android. Hasta ahora, el an\u00e1lisis forense se basaba en registros no dise\u00f1ados para la detecci\u00f3n de intrusiones. En el pasado, los artefactos de resoluci\u00f3n de problemas de desarrolladores y fabricantes de equipos originales (Original Equipment Manufacturers, OEM), como los informes de errores<\/a> o los datos obtenidos mediante comandos del shell<\/em> ADB<\/a>, eran las \u00fanicas fuentes de datos disponibles. Adem\u00e1s, Google Takeout proporcionaba datos de copia de seguridad limitados destinados a los usuarios finales, no a investigaciones forenses. En cambio, el Registro de intrusiones est\u00e1 dise\u00f1ado espec\u00edficamente para capturar eventos significativos para la seguridad y relacionados con posibles intrusiones, con el objetivo expl\u00edcito de permitir un an\u00e1lisis forense consensuado y, por lo tanto, mejora significativamente la capacidad de identificar e investigar ataques sofisticados en Android.<\/p>\n\n\n\n

Mantuvimos un di\u00e1logo continuado con Google durante el desarrollo de esta funci\u00f3n y compartimos informaci\u00f3n sobre las constantes observadas en exploits<\/em> en la pr\u00e1ctica, as\u00ed como los requisitos espec\u00edficos de nuestras metodolog\u00edas forenses consensuadas. La colaboraci\u00f3n entre la industria y la sociedad civil ha demostrado repetidamente su eficacia a la hora de crear funciones de seguridad que protejan mejor a los defensores y defensoras de los derechos humanos; el Registro de intrusiones es un claro ejemplo de lo que se puede lograr con dicha cooperaci\u00f3n. Cuando las funciones de seguridad se desarrollan e implementan teniendo en cuenta a las poblaciones m\u00e1s vulnerables, estos avances benefician a todas las personas y hacen que las opciones de seguridad avanzadas sean m\u00e1s accesibles y f\u00e1ciles de usar.<\/p>\n\n\n\n

<\/div>\n\n\n
\n\n

Descripci\u00f3n general del AAPM<\/h2>\n\n<\/div><\/section>\n\n\n
<\/div>\n\n\n\n

Las funciones introducidas en el marco del AAPM pueden dividirse en dos categor\u00edas. La primera se centra en reducir la superficie de ataque de un dispositivo, reforzando su resistencia frente a los ataques, mientras que la funci\u00f3n de Registro de intrusiones, recientemente a\u00f1adida, tiene como objetivo supervisar y proporcionar visibilidad sobre ataques intentados o consumados.<\/p>\n\n\n\n

a. Funciones de seguridad del AAPM<\/h3>\n\n\n\n

Al activarse por primera vez, el AAPM pone en marcha un conjunto de protecciones por capas en todo el dispositivo, que pueden variar en funci\u00f3n de la versi\u00f3n de Android.<\/p>\n\n\n\n

A nivel de dispositivo, activa el bloqueo por detecci\u00f3n de robo y el bloqueo de dispositivo sin conexi\u00f3n, que bloquean autom\u00e1ticamente el tel\u00e9fono si se desconecta o si los movimientos r\u00e1pidos sugieren que el dispositivo puede haber sido robado1<\/sup>. Adem\u00e1s, si el tel\u00e9fono permanece bloqueado durante tres d\u00edas, se reiniciar\u00e1 autom\u00e1ticamente. El modo de protecci\u00f3n avanzada tambi\u00e9n incluye la protecci\u00f3n USB<\/a>, que bloquea nuevas conexiones por USB mientras la pantalla est\u00e1 bloqueada, impidiendo el acceso no autorizado o la comunicaci\u00f3n de datos a trav\u00e9s de una conexi\u00f3n USB. Esto es importante en contextos de incautaci\u00f3n de dispositivos, ya que forzar el tel\u00e9fono a volver a un estado \u201cantes del primer desbloqueo\u201d y bloquear el acceso no autorizado mediante USB dificulta significativamente que las herramientas de extracci\u00f3n forense no consentidas accedan a los datos almacenados en el dispositivo. Estas protecciones est\u00e1n claramente dise\u00f1adas para mitigar ataques con un componente f\u00edsico, como el robo, la p\u00e9rdida o la incautaci\u00f3n del dispositivo.<\/p>\n\n\n\n

En lo que respecta a las aplicaciones, el AAPM se activa e impide desactivar Google Play Protect, adem\u00e1s de bloquear la instalaci\u00f3n de aplicaciones de fuentes desconocidas, lo que tambi\u00e9n se conoce como sideloading<\/em>. Estos ajustes tienen por objeto limitar la exposici\u00f3n a software malicioso, incluidos \u201cstalkerware\u201d y aplicaciones de vigilancia que se utilizan con frecuencia en contextos de violencia de g\u00e9nero o de vigilancia encubierta, y que a menudo se distribuyen al margen de las tiendas de aplicaciones oficiales. Esta configuraci\u00f3n tambi\u00e9n proteger\u00eda contra la instalaci\u00f3n paralela de aplicaciones maliciosas mediante el acceso f\u00edsico a un dispositivo, t\u00e1ctica<\/a> cada vez m\u00e1s<\/a> observada<\/a>. En esta misma l\u00ednea, el AAPM habilita la extensi\u00f3n de etiquetado de memoria (Memory Tagging Extension, MTE), protecci\u00f3n dise\u00f1ada para detectar y proteger contra ataques de corrupci\u00f3n de memoria.<\/p>\n\n\n\n

En cuanto a redes y navegaci\u00f3n, el AAPM desactiva las conexiones 2G y habilita protecciones adicionales para la navegaci\u00f3n web, incluidas la desactivaci\u00f3n de la compilaci\u00f3n en tiempo de ejecuci\u00f3n (just-in-time, JIT) y la advertencia a los usuarios cuando visitan sitios que no son HTTPS. Por \u00faltimo, el AAPM incluye una serie de protecciones contra el correo no deseado y el phishing<\/em>, que marca el contenido sospechoso tanto en la aplicaci\u00f3n Tel\u00e9fono como en Mensajes.<\/p>\n\n\n\n

b. Registro de intrusiones<\/h3>\n\n\n\n

La funci\u00f3n m\u00e1s reciente a\u00f1adida al AAPM es el Registro de intrusiones<\/strong>, tambi\u00e9n conocido como \u201cregistro forense\u201d. El Registro de intrusiones es un mecanismo que preserva la privacidad, ya que todos los registros forenses se cifran con una clave generada por el usuario antes de que los registros se archiven de forma segura en la cuenta de Google del usuario. Posteriormente, el usuario puede acceder a los registros y desencriptarlos, no as\u00ed Google ni ning\u00fan tercero no autorizado. De forma predeterminada, los registros se recopilan peri\u00f3dicamente una vez al d\u00eda y se almacenan cifrados en la nube. Cuando se requiere un an\u00e1lisis forense, el propietario del dispositivo debe compartir expl\u00edcitamente estos registros desde el propio dispositivo de forma segura con el analista forense.<\/p>\n\n\n\n

Uso del Registro de intrusiones en una situaci\u00f3n forense real<\/h4>\n\n\n\n

Para ilustrar el valor del Registro de intrusiones, considere una situaci\u00f3n realista en la que se incauta un dispositivo m\u00f3vil sin orden judicial y posteriormente se devuelve a su propietario. Desde una perspectiva forense, se plantean varias preguntas:<\/p>\n\n\n\n