SMS of Death: un mensaje invisible puede dejar tu Android sin llamadas

Un mensaje de texto que ni siquiera llega a notificarse en la pantalla puede dejar tu móvil Android sin llamadas. Así lo ha demostrado una investigación reciente que expone una vulnerabilidad en el sistema operativo capaz de bloquear el servicio de telefonía con solo recibir un SMS manipulado. El fallo, bautizado como SMS of Death, no requiere que el usuario abra el mensaje, pulse enlaces ni realice ninguna acción: el teléfono lo procesa automáticamente en segundo plano, interrumpiendo llamadas activas, incluidas las de emergencia.

Cómo funciona el ataque

El problema reside en cómo Android gestiona los mensajes WAP Push, un formato utilizado históricamente para enviar configuraciones de operadores o contenidos multimedia sin que aparezcan como SMS convencionales. Estos mensajes se procesan directamente en componentes internos del sistema, sin pasar por la aplicación de mensajería. El fallo concreto está en una función encargada de interpretar la estructura de estos mensajes: al convertir un valor de longitud de 64 a 32 bits sin las comprobaciones adecuadas, un atacante puede introducir un número negativo que provoque un error crítico. Este error bloquea el proceso responsable de la telefonía (com.android.phone), reiniciándolo y cortando cualquier llamada en curso durante uno o dos segundos.

Lo más preocupante es que el ataque no depende de la intervención del usuario. Basta con que el mensaje llegue al dispositivo para que se active, y en algunos casos, el problema persiste. Los operadores móviles pueden reenviar automáticamente los SMS que no se han confirmado como recibidos, lo que significa que un único mensaje malicioso podría causar interrupciones intermitentes durante días. En pruebas realizadas, el envío de unos veinte SMS manipulados dejó algunos terminales inutilizables durante largos periodos, e incluso provocó ciclos de reinicios que obligaron a acceder al modo de recuperación del teléfono.

La vulnerabilidad afecta a dispositivos con Android 12 y versiones posteriores, aunque no todos los modelos son vulnerables: depende de las actualizaciones de seguridad instaladas. Hasta ahora, se ha confirmado en Google Pixel 9 y varios Samsung Galaxy, incluyendo modelos de gama media como los de la serie A. Eso sí, el ataque no permite robar datos ni tomar el control del dispositivo: se trata de una denegación de servicio, es decir, su objetivo es interrumpir el funcionamiento normal del teléfono. Por el momento, no hay evidencia de que se esté explotando de forma masiva, pero el riesgo es real, especialmente para llamadas críticas como las de emergencia (112 en España o 000 en Australia).

Qué significa para tu negocio

Si gestionas una pyme en sectores como la construcción, reformas o servicios técnicos, este fallo te afecta más de lo que parece. Imagina que un empleado está en una obra, necesita llamar a emergencias por un accidente y, de repente, la llamada se corta sin motivo aparente. O que un cliente intenta contactar con tu oficina para confirmar un pedido urgente y el teléfono no responde. Pequeñas interrupciones como estas pueden traducirse en pérdidas económicas, retrasos en proyectos o, en el peor de los casos, situaciones de riesgo para la seguridad.

La solución pasa por mantener el sistema operativo actualizado: las últimas correcciones de seguridad de Android ya incluyen parches para este fallo. Si usas móviles corporativos, verifica que todos tengan instaladas las últimas actualizaciones y evita retrasar las notificaciones de seguridad. También es recomendable revisar los permisos de las aplicaciones de mensajería y desactivar funciones innecesarias, como la recepción automática de mensajes WAP Push, si tu operador no los requiere. En entornos donde la comunicación es crítica —como equipos en obra o servicios de atención al cliente—, considera implementar protocolos alternativos (como apps de mensajería cifrada o líneas fijas de respaldo) para minimizar riesgos. La ciberseguridad no es solo cosa de grandes empresas: un fallo como este demuestra que hasta el sistema más básico de un móvil puede convertirse en un punto débil si no se gestiona correctamente.