Google Messages contra SMS blasters y phishing en Android

Por qué los SMS blasters son una amenaza real para cualquier usuario Android

Si alguna vez recibiste un mensaje de texto que parecía venir de tu banco, de un courier o de un servicio gubernamental, pero algo no cuadraba, es posible que hayas sido objetivo de un ataque por SMS blaster. Esta amenaza, lejos de ser ciencia ficción, está detrás de millones de mensajes de phishing que se envían cada año alrededor del mundo, incluyendo en Latinoamérica.

La buena noticia es que Google está tomando cartas en el asunto. En la beta más reciente de Google Messages (versión v20260306), se identificó código para un interruptor dedicado llamado SMS blaster protection, una función que promete blindar a los usuarios de Android directamente desde la aplicación de mensajería más usada del ecosistema.

Qué es un SMS blaster y cómo explota la vulnerabilidad del 2G

Un SMS blaster es un dispositivo portátil, también conocido como simulador de estación base (Fake Base Station o FBS), que los atacantes usan para hacerse pasar por una torre de telefonía legítima. El mecanismo es técnicamente sencillo pero devastadoramente efectivo:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El dispositivo emite una señal 4G o 5G falsa de alta potencia en una zona determinada, por ejemplo, un centro comercial, un aeropuerto o una estación de metro.
Los teléfonos cercanos se conectan a esta red falsa y, siguiendo un proceso de degradación de protocolo conocido como downgrade attack, la conexión cae a 2G (GSM).
Una vez en 2G, el atacante controla la comunicación y puede indicar al dispositivo que opere sin cifrado (null cipher), lo que le permite inyectar SMS fraudulentos directamente en el teléfono de la víctima.
Estos mensajes pueden llevar el alias o número de un banco, empresa de logística o entidad pública real, eludiendo por completo los filtros antispam de los operadores, porque el mensaje nunca pasa por la red oficial.

El problema de fondo es que el estándar 2G/GSM tiene décadas de antigüedad y fue diseñado en una era donde la seguridad móvil no era una prioridad. Android 14, en dispositivos con Radio HAL 2.0+, ya incorporó la capacidad de rechazar automáticamente redes con cifrado nulo, pero esto no cubre todos los teléfonos en uso actualmente.

La nueva función de protección en Google Messages: qué sabemos hasta ahora

A través de un APK teardown de la versión beta de Google Messages, el equipo de Android Authority encontró referencias a un interruptor específico que los usuarios podrán activar para habilitar la protección contra SMS blasters directamente desde la app.

Si bien Google no ha detallado el mecanismo exacto, la implementación apunta a combinar varias capas de defensa:

Detección por inteligencia artificial y machine learning en el dispositivo, similar a los filtros de spam que Messages ya utiliza para identificar mensajes sospechosos.
Identificación de patrones propios de los SMS inyectados por blasters, como metadatos inconsistentes o ausencia de ruta por operador verificado.
Complementariedad con las opciones existentes del sistema operativo, especialmente la opción de desactivar 2G disponible desde Android 12.

Esta función es especialmente relevante para usuarios que, por necesidad de cobertura o por tener dispositivos más antiguos, no pueden simplemente apagar el 2G sin afectar su conectividad, algo frecuente en zonas rurales de LATAM.

RCS: la apuesta de Google por una mensajería estructuralmente más segura

En paralelo a estas defensas reactivas, Google lleva años empujando la adopción de RCS (Rich Communication Services) como sucesor moderno del SMS tradicional. Las ventajas de seguridad son concretas:

Cifrado de extremo a extremo entre usuarios de Google Messages.
Verificación de remitentes: las empresas que envían mensajes por RCS deben estar registradas, lo que permite mostrar una marca de verificación y el nombre oficial del negocio.
Los mensajes transitan por servidores verificados del operador o de Google, no por torres falsas.

La adopción de RCS no elimina por completo el riesgo, dado que muchos usuarios aún interoperan con SMS cuando el destinatario no tiene la app actualizada o no está en un ecosistema compatible. Sin embargo, a medida que la penetración de RCS crece, la superficie de ataque de los SMS blasters se reduce significativamente.

Regulación en movimiento: operadores bloquearán SMS con alias no registrados desde junio de 2026

La respuesta al problema no viene solo de Google. En España, la CNMC (Comisión Nacional de Mercados y la Competencia) estableció que, a partir de junio de 2026, los operadores de telecomunicaciones deberán bloquear los mensajes SMS que utilicen alias alfanuméricos no registrados en un directorio oficial. Esto apunta directamente al vector de suplantación de identidad que explotan los SMS blasters y las campañas de smishing.

Esta regulación, aunque todavía acotada a un mercado específico, marca una tendencia que podría replicarse en otros países de habla hispana, especialmente en un contexto donde el fraude por mensajes de texto sigue creciendo.

Cómo usar Google Lens como primera línea de detección de estafas

Google Lens se ha posicionado como una herramienta complementaria en la detección de estafas visuales. Aunque no está directamente integrado en el flujo de protección contra SMS blasters, permite analizar capturas de pantalla de mensajes sospechosos para identificar logos falsos, URLs maliciosas o contenido engañoso en imágenes. Es especialmente útil cuando el phishing llega en formato de imagen adjunta dentro del mensaje.

Para founders y equipos que gestionan flotas de dispositivos corporativos, esta funcionalidad puede convertirse en parte de un protocolo de revisión rápida ante mensajes dudosos.

5 acciones concretas para proteger tu Android ahora mismo

Mientras la función de Google Messages llega de forma estable, hay medidas que puedes implementar hoy:

Desactiva el 2G si tu dispositivo lo permite: ve a Ajustes > Red e Internet > Red móvil > Avanzado. Esta opción está disponible desde Android 12 con Radio HAL 1.6+. Considera el impacto en cobertura antes de activarla.
Activa la protección antispam en Google Messages: ve a los ajustes de la app y habilita los filtros de spam para mensajes de desconocidos.
Verifica los mensajes verificados (SMS verificados): cuando una empresa legítima usa RCS, Messages muestra su nombre oficial y un ícono de verificación. Si el mensaje dice ser de tu banco pero no tiene ese sello, desconfía.
No hagas clic en enlaces de mensajes no solicitados, aunque el remitente parezca conocido. Accede directamente a la web o app oficial de la entidad.
Mantén Android actualizado: las actualizaciones de seguridad del sistema operativo parchan vulnerabilidades que los blasters explotan en capas más profundas del stack de radio.

Conclusión

Los SMS blasters representan uno de los vectores de ataque más sofisticados del ecosistema móvil actual, precisamente porque explotan infraestructura heredada (el 2G) que no fue diseñada con las amenazas de hoy en mente. La respuesta de Google con una protección nativa dentro de Google Messages es un paso concreto y necesario, especialmente para los cientos de millones de usuarios que no tienen acceso a dispositivos de última generación o no pueden prescindir de la cobertura 2G.

Para founders y equipos de tecnología, esto es también una señal del mercado: la seguridad móvil deja de ser solo responsabilidad del operador o del sistema operativo y empieza a vivir en la capa de aplicación. Quien construya productos sobre mensajería o comunicaciones debe tener esto en el radar.

Profundiza estos temas con nuestra comunidad de founders y expertos en tecnología.

Unirme a la comunidad