Cambiar de móvil suele implicar unos pocos pasos: encender el dispositivo nuevo, acercarlo al antiguo y seguir las instrucciones para copiar fotos, contactos, aplicaciones y ajustes. Durante ese proceso, sin embargo, se mueve una parte importante de la vida digital del usuario de un teléfono a otro.
Un grupo de investigadores de la Universidad Tecnológica de Graz y del centro austríaco A-SIT ha descubierto vulnerabilidades en las herramientas de migración de Google, Samsung, Xiaomi, Vivo, Oppo, Huawei y Honor que podían permitir a un atacante situado cerca interceptar o manipular parte de esa transferencia.
El estudio, presentado en ESORICS 2026 bajo el nombre Clone2Pwn, encontró problemas en las siete aplicaciones analizadas. Los fallos podían llegar a exponer mensajes, fotos, contactos, historiales de llamadas, datos de salud, contraseñas de redes Wi-Fi e incluso credenciales almacenadas por algunas aplicaciones.
Los investigadores avisaron a los fabricantes antes de hacer públicos los detalles y las siete compañías han publicado actualizaciones para corregir las vulnerabilidades detectadas. Por eso, antes de cambiar de móvil, conviene actualizar tanto el dispositivo antiguo como el nuevo y comprobar que la herramienta de migración está en su versión más reciente.
Siete herramientas muy populares estaban afectadas
Los investigadores analizaron Google Switch, Samsung Smart Switch, Vivo EasyShare, Xiaomi Mi Mover, Oppo Clone Phone, Huawei Phone Clone y Honor Device Clone. Todas están diseñadas para evitar que el usuario tenga que configurar desde cero su nuevo teléfono y permiten copiar aplicaciones, fotografías, contactos, mensajes, ajustes y otros datos personales.
En Android, estas migraciones se han vuelto cada vez más completas. Herramientas como Android Switch permiten transferir cada vez más información entre un dispositivo antiguo y uno nuevo, incluso mientras algunas partes de la restauración continúan en segundo plano.
El problema encontrado por los investigadores estaba en la comunicación local que utilizan estas aplicaciones. Muchas establecen una conexión Wi-Fi directa entre los dos teléfonos para enviar la información sin recurrir a un servidor externo y, según el estudio, un atacante podía aprovechar determinadas debilidades sin tener acceso físico a ninguno de los dispositivos.
Bastaba con encontrarse dentro del alcance inalámbrico. En interiores, los investigadores sitúan esa distancia aproximadamente entre 20 y 45 metros, dependiendo del entorno, y consiguieron reproducir los ataques con equipos que costaban menos de 100 euros.
Ese escenario resulta especialmente relevante en lugares donde se configuran muchos teléfonos nuevos cada día, como tiendas de electrónica, operadores o servicios técnicos. En un domicilio particular, las oportunidades para llevar a cabo un ataque de este tipo son menores, pero la investigación demuestra que una conexión directa entre dos móviles no siempre estaba tan aislada como podía parecer.
Podían acceder a mucho más que tus fotos
El alcance de las vulnerabilidades era especialmente importante porque una migración no transporta únicamente archivos multimedia. Durante sus pruebas, los investigadores consiguieron acceder a mensajes de texto, contactos, fotografías e historiales de llamadas, además de información más sensible como datos de salud, credenciales de redes Wi-Fi y contraseñas utilizadas por algunas aplicaciones.
En determinados escenarios, el ataque podía ir más allá de escuchar la transferencia. El equipo llegó a manipular paquetes de aplicaciones durante el proceso, lo que abría la posibilidad de introducir software malicioso en el teléfono nuevo.
Las herramientas de migración necesitan permisos amplios porque deben acceder a muchas partes del sistema y trasladar información que normalmente permanece protegida dentro del dispositivo. Esa combinación hace que cualquier debilidad en el proceso de transferencia pueda tener consecuencias mucho mayores que la simple exposición de unas fotografías.
La proximidad física tampoco es una barrera de seguridad absoluta. Otros ataques, como el bluesnarfing, aprovechan conexiones inalámbricas cercanas para intentar acceder a información almacenada en un teléfono, aunque en ese caso el vector sea Bluetooth y no las aplicaciones analizadas en Clone2Pwn.
La escala potencial del problema explica la importancia del estudio. Según TU Graz, las aplicaciones examinadas acumulan en conjunto más de 12.000 millones de instalaciones o descargas y muchas vienen preinstaladas en los teléfonos de los fabricantes afectados.
Lo más importante es actualizar antes de empezar
Los investigadores siguieron un proceso de divulgación responsable y comunicaron los fallos a las compañías antes de presentar públicamente el estudio. Los fabricantes confirmaron la gravedad de varios de los problemas y cinco avisos de seguridad llegaron a clasificarse con severidad alta.
Google, Samsung, Vivo, Xiaomi, Oppo, Huawei y Honor han publicado ya las correcciones correspondientes. En algunos teléfonos bastará con actualizar la aplicación de migración, mientras que en otros casos será necesario instalar también una versión más reciente del sistema operativo.
La recomendación adquiere todavía más importancia si el cambio de teléfono se realiza en una tienda, un servicio técnico o cualquier lugar donde haya muchas personas y dispositivos cerca. Antes de comenzar, conviene comprobar las actualizaciones pendientes en ambos móviles y realizar después la transferencia con las versiones más recientes disponibles.
Las herramientas de migración siguen siendo la forma más cómoda de estrenar un teléfono sin empezar desde cero. Google, de hecho, continúa ampliando sus opciones para que cambiar desde un iPhone a un móvil Android permita conservar cada vez más información.
El estudio no plantea que haya que dejar de utilizar estas aplicaciones. La advertencia es mucho más concreta: antes de mover fotos, mensajes, contraseñas y configuraciones entre dos teléfonos, actualizar ambos dispositivos debería formar parte del propio proceso de migración.