ToxicPanda 2.0: el troyano de Android que usa el permiso de VPN para vaciar cuentas bancarias

Un móvil te pide activar una "VPN" para ir más rápido o para desbloquear un contenido, y sin darte cuenta acabas de abrirle la puerta a un ladrón. Así opera ToxicPanda 2.0, la última versión del troyano bancario para Android que la firma de seguridad Zimperium destripó esta semana: usa el permiso de servicio VPN, el mismo cuadro de diálogo que aceptarías en cualquier app legítima, para crear una interfaz de red local que bloquea la comunicación con Google Play y Play Protect antes de instalar su carga maliciosa de verdad. Los números que ha publicado Zimperium el 23 de agosto de 2026: 349 aplicaciones bancarias, financieras, de criptomonedas y monederos digitales en el punto de mira, repartidas en 16 países, y 167 comandos remotos a disposición de quien controle el malware. España ya estuvo entre los países más golpeados por la primera oleada de ToxicPanda, con cerca de un 4% de los más de 1.500 dispositivos comprometidos detectados entonces en Italia, Portugal, Hong Kong, España y Perú.

Así consigue que le des el permiso de "VPN"

ToxicPanda 2.0 no está en Google Play. Zimperium ha rastreado su distribución hasta buckets de Amazon AWS, donde se aloja disfrazado de apps de utilidades, limpiadores de batería o "VPN gratis" que se instalan mediante APK sueltos fuera de la tienda oficial. El truco funciona porque el permiso que pide es el mismo que solicitarías al abrir por primera vez una VPN real como Proton VPN o cualquiera de las que aparecen en comparativas como la de VPN Conejo: Android muestra el mismo aviso del sistema, "esta app quiere configurar una conexión VPN", y la mayoría de usuarios lo acepta sin pensarlo dos veces. La diferencia es que, en este caso, detrás no hay cifrado ni privacidad: hay una interfaz de red que el malware usa para controlar el tráfico del propio teléfono.

Qué hace en cuanto tiene el control de tu red

Con el permiso de VPN concedido, ToxicPanda 2.0 corta la comunicación entre el móvil y los servidores de Google Play antes de descargar e instalar su segunda fase. Eso deja fuera de juego, aunque sea temporalmente, las verificaciones de Play Protect, las actualizaciones automáticas y los avisos de aplicaciones peligrosas, justo el sistema que Google ha reforzado en las últimas actualizaciones de la Play Store en 2026. Una vez instalada la carga real, el malware pide un segundo permiso, el de Servicio de Accesibilidad, camuflado como una función de lectura de pantalla o ayuda de navegación. Con ese permiso, puede ver y manipular todo lo que ocurre en la pantalla del móvil sin que el usuario lo note.

El as bajo la manga: el ADB inalámbrico

Lo más llamativo del análisis de Zimperium es cómo ToxicPanda 2.0 abusa de la Depuración Inalámbrica (Wireless ADB), una función pensada para desarrolladores que existe desde Android 11 y que sigue presente en las versiones más recientes del sistema, incluida la que trae de serie el grueso de los móviles que repasamos al hablar de las novedades de Android. Usando el permiso de accesibilidad, el malware activa por su cuenta las Opciones de Desarrollador, enciende la Depuración Inalámbrica, extrae el código de emparejamiento de seis dígitos y el puerto, y se conecta al servicio ADB local del propio móvil. A partir de ahí ejecuta comandos de shell con privilegios altos, saltándose los cuadros de confirmación que Android muestra normalmente para conceder permisos sensibles. No es un fallo de seguridad que Google tenga que parchear en el sentido clásico: es una función legítima del sistema, pensada para programadores, que el malware convierte en una puerta trasera con permiso de accesibilidad de por medio.

Las 349 apps en el punto de mira, país por país

Zimperium documenta overlays invisibles que se colocan encima de las apps bancarias reales para capturar cada toque que da el usuario, una pantalla de bloqueo falsa que imita la de Android para robar el PIN, el patrón o la contraseña del terminal, y pantallas de "actualización del sistema" falsas que ocultan la actividad maliciosa mientras se ejecuta en segundo plano. Además, incorpora un módulo aparte dedicado solo a robar PIN, centrado en 140 apps financieras y de criptomonedas, con una lista de objetivos que se puede actualizar de forma remota sin tocar el resto del malware. Este es el reparto de la primera oleada de ToxicPanda por país, que sirve de referencia sobre dónde ha tenido más incidencia la familia de este malware hasta ahora:

Con ToxicPanda 2.0 esa lista de países pasa de 5 a 16, y el catálogo de apps objetivo se multiplica hasta las 349, así que estas cifras hay que leerlas como un punto de partida, no como el mapa final del ataque.

Señales de que tu móvil podría estar infectado

Ninguna de estas señales es una prueba definitiva por sí sola, pero si coinciden varias conviene actuar: una app que no es una VPN te ha pedido activar una conexión VPN en algún momento reciente; las Opciones de Desarrollador o la Depuración Inalámbrica aparecen activadas y no las activaste tú; la batería se agota mucho más rápido de lo normal incluso con el móvil en reposo; Google Play Store se comporta de forma rara, no deja abrir Play Protect o deja de avisar de apps peligrosas; hay aplicaciones instaladas que no recuerdas haber descargado, sobre todo si llegaron desde un APK fuera de la tienda oficial.

Cómo protegerte (y qué hacer si sospechas que ya lo tienes)

Lo primero, instalar aplicaciones solo desde Google Play, evitando APK sueltos, incluso los que prometen ser una versión "mejorada" o "gratis" de algo de pago; la verificación de desarrolladores que Google exige desde el 30 de septiembre de 2026 va precisamente en esta dirección, aunque no cubre las apps instaladas fuera de la tienda. Segundo, revisar de vez en cuando qué apps tienen activo el permiso de VPN en Ajustes > Red e Internet > VPN, y desactivar la Depuración Inalámbrica en Opciones de Desarrollador si no la usas para programar. Tercero, desconfiar de cualquier app de "optimización", "limpieza" o "VPN gratis" que no reconozcas de fuentes serias.

Si ya sospechas que tu móvil está infectado, el orden importa: activa el modo avión para cortar la conexión del terminal comprometido, entra a tus cuentas bancarias desde otro dispositivo limpio para cambiar las contraseñas, y desde el móvil afectado revoca el permiso de accesibilidad y el de VPN antes de desinstalar la app sospechosa en modo seguro. Si nada de eso soluciona el problema o no identificas qué app lo causó, un restablecimiento de fábrica sigue siendo la opción más drástica pero también la más fiable.

La lección real de ToxicPanda 2.0 no es dejar de usar VPN en el móvil, sino fijarte en quién te la está pidiendo. Una VPN de verdad la vas buscando tú; si el permiso te lo pide una app que no tiene motivo para necesitarlo, ahí está la señal de alarma.