Un sysadmin detectó que su celular OPPO enviaba datos de madrugada a un dominio desconocido
Antonio Domenech Picó identificó tráfico nocturno cifrado desde su móvil a una app preinstalada de ColorOS. Tras desactivarla, las conexiones cesaron. Explicamos qué hizo y qué podés probar vos.
Un administrador de sistemas llamado Antonio Domenech Picó descubrió que su teléfono OPPO se conectaba de forma periódica durante la madrugada a un dominio que no reconocía. El caso, que compartió primero en LinkedIn y luego en un artículo más detallado, generó interés porque ilustra cómo es posible detectar comportamientos extraños en dispositivos Android sin ser un experto en ciberseguridad.
El 20 de septiembre de 2026 publicó su primera nota en LinkedIn y el 24 amplió la información con capturas y detalles técnicos. Usó dos celulares OPPO CPH2173 con Android 14 y ColorOS 14, más una tablet con Android 13. Instaló PCAPdroid en los móviles y corrió Suricata y ntopng en su red para monitorear el tráfico durante varias noches.
Detectó que cada 30 minutos se generaba tráfico cifrado que atribuía a la aplicación Música, incluida por defecto en ColorOS. Ni él ni su pareja la habían abierto. Cuando desactivó esa app en ambos teléfonos, el dominio sospechoso dejó de aparecer durante más de nueve horas de pruebas simultáneas.
"No sabemos qué tráfico es porque va cifrado, pero sabemos que hay una conexión desde los móviles, periódica, y sabemos hacia dónde va", explicó. Las capturas no permiten ver el contenido sin descifrarlo, y una consulta DNS no equivale necesariamente a una conexión TLS posterior.
El caso sirve como recordatorio de que muchas apps del sistema en Android tienen permiso de internet concedido automáticamente al instalarse, sin pedir confirmación al usuario. Eso explica por qué bloquear micrófono o cámara no impide que una aplicación se comunique con servidores externos.
Desde Android 12 existe un panel de privacidad que muestra cuándo se usaron permisos sensibles, pero no revela los servidores contactados. Para un análisis más profundo hace falta capturar el tráfico de red.
PCAPdroid es una herramienta open source que no requiere root. Funciona creando una VPN local (el tráfico no sale a servidores remotos) y permite ver qué apps generan conexiones y cuánto tráfico envían. El cortafuegos es una función paga. Para usarla basta instalarla, iniciar una captura, aceptar el permiso VPN, dejar el dispositivo en reposo y luego revisar los logs.
Android tiene un modo llamado Doze que restringe el acceso a red cuando el teléfono está inactivo, con pantalla apagada y sin cargar. Eso puede alterar los resultados según si el móvil está enchufado o no durante las pruebas.
Domenech recomendó revisar permisos de apps, segmentar la red con VLAN, apagar manualmente dispositivos como Alexa o Google Home y revisar firmware y cifrado en cámaras de seguridad. También sugirió evitar instalar cámaras dentro del hogar y expresó preocupación por el control futuro de la inteligencia artificial y la necesidad de soberanía digital.
En Argentina y el resto de Latinoamérica, donde el uso de celulares OPPO y Xiaomi es muy extendido, estos comportamientos de apps preinstaladas generan cada vez más desconfianza. Aunque no hay evidencia de que se trate de un caso malicioso, sí muestra la opacidad de parte del software que viene de fábrica.
Si querés replicar algo similar, la documentación oficial de Android explica cómo gestionar permisos. Para capturas de tráfico, seguí las guías de PCAPdroid disponibles en su repositorio. Recordá que desactivar apps del sistema no siempre es posible en todos los modelos.
El episodio deja claro que, aunque el tráfico esté cifrado, es posible detectar patrones y orígenes con herramientas accesibles. No reemplaza una auditoría profesional, pero es un buen punto de partida para usuarios curiosos.