Seguridad móvil: cómo proteger el móvil de tu empresa

En resumen: un móvil de empresa se protege con una decena de ajustes sencillos: bloqueo, actualizaciones, acceso resistente al phishing, protección de la línea frente a duplicados de SIM, apps controladas, separación entre lo personal y lo profesional y un plan de pérdida escrito de antemano. El riesgo es real: INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior, y el fraude online ya supone 4 de cada 10, con el phishing a la cabeza (25.133 casos).

Un móvil reúne hoy el correo, los códigos de doble verificación, la banca, los archivos de clientes y a menudo el CRM. Perderlo, o dejar que lo comprometan, abre todas esas puertas a la vez.

¿Por qué el móvil del trabajo es un objetivo tan atractivo?

Porque es la llave de tus cuentas. El balance de INCIBE de 2025 muestra la cadena:

• El fraude online suma 45.445 casos, un 19 % más que en 2024, y el phishing es su forma más frecuente. Suele ser el primer paso para robar una cuenta.
• El malware encabeza la lista con 55.411 casos, de los que 392 son ataques de ransomware.
• El smishing, es decir, el SMS o el mensaje instantáneo con un enlace trampa, forma parte de los intentos de fraude que declaró recibir el 28 % de quienes llamaron al 017, la línea de ayuda de INCIBE, que atendió 142.767 consultas en 2025.

A eso se suma el duplicado de SIM: un delincuente convence al operador de que traslade tu número a su tarjeta y recibe tus códigos por SMS. El móvil acumula riesgos: se pierde, se roba, recibe mensajes trampa y se conecta a redes y cargadores desconocidos cuando viajas.

¿Qué ajustes de seguridad móvil hay que hacer el primer día?

Esta lista se apoya en la guía de buenas prácticas para comunicaciones móviles que la agencia estadounidense de ciberseguridad, CISA, publicó en diciembre de 2024. Está escrita para personas «muy expuestas», como altos cargos, pero la propia CISA dice que sirve para cualquier público, y casi todo es gratis. Se hace en una sola sesión, con el móvil en la mano.

1. Código y bloqueo automático. Un código de al menos seis dígitos, más huella o reconocimiento facial si el móvil lo permite. Nunca 000000 ni 123456.
2. Actualizaciones automáticas del sistema y de las apps. CISA añade: comprueba cada semana que el dispositivo está al día.
3. Copias de seguridad de contactos, mensajes y archivos en el servicio en la nube que facilite tu empresa.
4. Localizar el dispositivo activado (Buscar en iPhone, Encontrar mi dispositivo en Android), para poder situar, bloquear o borrar un móvil perdido.
5. Una clave adicional en la cuenta del operador. CISA recomienda añadir un PIN y la verificación en dos pasos a la cuenta de la línea, exigidos para operaciones sensibles como un duplicado o una portabilidad. Pregunta a tu operador qué opciones ofrece: es la principal defensa contra el duplicado de SIM.
6. Acceso resistente al phishing. El orden de preferencia de CISA: primero llaves de seguridad FIDO o llaves de acceso (passkeys), después los códigos de una app de autenticación, y abandonar los códigos por SMS, que no van cifrados ni resisten el phishing.
7. Un gestor de contraseñas para todas las cuentas, con una frase larga protegiendo la bóveda.
8. El IMEI apuntado en un sitio distinto del móvil: marca *#06# para verlo. Tu operador lo usará para bloquear el terminal si te lo roban.

¿Qué apps y qué redes conviene permitir?

Apps. Instala solo desde las tiendas oficiales, borra lo que no uses y revisa los permisos al instalar y tras cada actualización. Las listas de CISA para iPhone y para Android dicen lo mismo: quita el acceso a la ubicación, la cámara y el micrófono a las apps que no los necesitan para funcionar. En Android, CISA pide además comprobar que Google Play Protect está activado y tener cuidado con las tiendas de terceros.

Navegación. En Android, CISA recomienda verificar que la protección mejorada de Navegación segura de Chrome está activada.

Redes y equipos. CISA desaconseja las VPN personales, que sobre todo trasladan el riesgo de tu proveedor de internet a una empresa de VPN con prácticas dudosas; la VPN que exige tu empresa para acceder a sus sistemas es otro caso. También recomienda priorizar equipos recientes de fabricantes que se comprometan a dar actualizaciones de seguridad durante al menos cinco años.

Personas muy expuestas. Para gerentes, directivos o cualquiera que pueda ser objetivo, CISA recomienda activar el Modo de aislamiento del iPhone, que restringe algunas apps y funciones para reducir la superficie de ataque.

¿Cómo gestionar mensajes, SMS y phishing?

• Usa mensajería cifrada de extremo a extremo para las conversaciones sensibles. CISA cita Signal como ejemplo y recomienda desactivar en el iPhone la opción «Enviar como SMS», para que una conversación de iMessage no pase sin avisar a SMS sin cifrar.
• No pulses nunca un enlace de un SMS sobre un paquete, una multa, un peaje o un problema con el banco. Abre tú mismo la web o la app.
• Cuelga y vuelve a llamar al número oficial si un supuesto empleado te pide un código o una validación, aunque el número que aparece parezca el bueno.
• No guardes secretos a la vista: nada de contraseñas en las notas ni de PIN en los contactos.
• Confirma por voz cualquier cambio de cuenta bancaria, con un número que ya tenías, antes de pagar a partir de un correo que pide cambiar el IBAN.

La misma prudencia vale para los archivos que abres en el móvil: nuestra guía para enviar archivos grandes explica cómo reconocer un enlace de descarga falso. Y para reducir el spam que llega al dispositivo, un correo temporal o un alias protege tu dirección principal cuando te registras en un servicio.

¿Móvil de empresa o móvil personal: qué puede hacer la empresa?

La fórmula más sencilla sigue siendo un móvil propiedad de la empresa y usado solo para trabajar. Si dejas que la plantilla use sus propios dispositivos (lo que se conoce como BYOD, bring your own device), las reglas dependen de cómo se inscriba el móvil.

• Con gestión completa del dispositivo, la empresa controla todo el terminal, incluida la posibilidad de borrarlo entero. Encaja con los móviles de empresa.
• Con la inscripción de usuario de Apple, pensada para dispositivos personales, Apple explica que el departamento de informática solo gestiona las cuentas, ajustes e información de la organización, nunca la cuenta personal del usuario. Android ofrece una separación parecida con un perfil de trabajo independiente.

En España hay además una obligación legal. El artículo 87 de la LOPDGDD reconoce a los trabajadores el derecho a la intimidad en el uso de los dispositivos digitales que pone a su disposición el empleador, que solo puede acceder a sus contenidos para controlar el cumplimiento de las obligaciones laborales y garantizar la integridad de los equipos. El empleador debe fijar por escrito unos criterios de uso, con participación de los representantes de los trabajadores, e informar de ellos a la plantilla. Si admite el uso privado, tiene que precisar los usos autorizados y las garantías para la intimidad. Una política de una página que diga qué puede ver la empresa, qué puede borrar, qué ajustes son obligatorios y qué ocurre cuando alguien se va cubre ese punto.

¿Necesitas una herramienta de gestión de móviles (MDM)?

A partir de unos pocos móviles, configurar los ajustes uno por uno deja de ser realista. Una herramienta de gestión de dispositivos móviles permite:

• imponer un código y el cifrado en todos los terminales;
• instalar y retirar las apps de trabajo;
• crear un espacio de trabajo separado en los dispositivos personales;
• bloquear o borrar a distancia un móvil perdido.

Apple y Google ofrecen programas de inscripción para empresas, y la mayoría de las suites ofimáticas profesionales incluyen una gestión básica de dispositivos. Para un equipo muy pequeño bastan unos ajustes manuales bien documentados. Más allá, la herramienta se paga sola con el tiempo ahorrado y con la rapidez de reacción cuando desaparece un móvil.

Perdido, robado o hackeado: ¿qué plan preparar?

Escribe este procedimiento antes de necesitarlo, en una página, y entrégalo a cada usuario:

1. Localiza, bloquea y borra a distancia si el móvil no aparece pronto.
2. Llama al operador para suspender la línea y, tras la denuncia, pedir el bloqueo del terminal por su IMEI.
3. Cambia las contraseñas del correo y de todas las cuentas abiertas en el móvil, desde otro dispositivo, y cierra todas las sesiones activas.
4. Avisa a los contactos clave si hay riesgo de compromiso, para que desconfíen de peticiones raras en tu nombre (pagos, cambios de cuenta bancaria).
5. Denuncia y notifica. Presenta la denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica que corresponda, llama al 017 de INCIBE si necesitas orientación y comprueba si había datos personales de clientes: si la brecha supone un riesgo para sus derechos, el RGPD obliga a notificarla a la AEPD en un plazo de 72 horas.

Piensa también en los datos de negocio: si el móvil tenía acceso a tu CRM, cierra la sesión de ese dispositivo desde la consola de administración. Y si había una cuenta de redes sociales de la empresa abierta, protégela enseguida: nuestra guía para contactar con el soporte de Facebook recoge las vías cuando una cuenta ha sido pirateada.

Proteger el móvil de la empresa no exige presupuesto ni conocimientos especiales. Exige hacer los ajustes una vez, bien hechos, y saber qué hacer el día que el dispositivo desaparece.