Anatsa vuelve a estar en el punto de mira de los expertos en ciberseguridad, y esta vez el disfraz es más cotidiano que nunca: un editor de fotos. El INCIBE-CERT ha analizado en profundidad este troyano bancario y sus conclusiones son inquietantes, porque más de 150.000 dispositivos Android en todo el mundo se han infectado a través de aplicaciones descargadas desde la propia Google Play Store, sin que nadie sospechara nada hasta que ya era tarde.
La paradoja es que la app que abre la puerta al robo ni siquiera levanta sospechas. Parece un editor de fotos, un lector de PDF o una utilidad de archivos, de esas que instalamos sin pensarlo dos veces porque las necesitamos para el día a día. Y ahí precisamente está el peligro: cuanto más genérica y útil parece una aplicación, menos la cuestionamos.
Anatsa: el troyano que se disfraza de app inofensiva
El patrón de distribución de Anatsa se repite con una eficacia que ya empieza a resultar familiar para los investigadores. Los expertos de Zscaler han detectado que este troyano se oculta específicamente en aplicaciones de gestión de archivos y edición de imágenes que logran acumular decenas de miles de descargas antes de que alguien dé la voz de alarma. En agosto de 2025, Google llegó a retirar 77 aplicaciones maliciosas con más de 19 millones de instalaciones, y buena parte de ellas distribuían precisamente este malware bancario.
Lo que hace especialmente peligroso a Anatsa no es solo lo que roba, sino cómo consigue pasar inadvertido. La app se publica limpia, acumula reseñas positivas durante semanas y solo entonces recibe una actualización que activa el código malicioso, descargado desde un servidor externo para esquivar los controles automáticos de Google Play Protect.
Cómo actúa este malware una vez dentro de tu móvil
Anatsa es también conocido como TeaBot, y ha ido perfeccionando sus técnicas de evasión desde que se detectó por primera vez en 2021. Una vez que la aplicación infectada obtiene permisos de accesibilidad, el troyano comienza a rastrear qué otras aplicaciones abres en tu teléfono, esperando pacientemente el momento en que accedes a tu banco.
Cuando detecta ese instante, despliega una pantalla superpuesta idéntica a la de tu aplicación bancaria real, diseñada para capturar tus credenciales antes de que puedas darte cuenta de que algo va mal. La clave técnica está en su capacidad para detectar si está siendo analizado en un emulador, lo que le permite permanecer inactivo durante las revisiones de seguridad y activarse únicamente en un entorno real.
El troyano que también intercepta tus códigos de verificación
Las variantes más recientes de Anatsa han incorporado una capacidad que complica todavía más la reacción a tiempo: son capaces de interceptar los SMS con los códigos de verificación que envía el banco para confirmar operaciones. De este modo, el malware no solo roba las credenciales de acceso, sino que también puede completar la autenticación en dos pasos sin que el usuario llegue a enterarse.
El riesgo es especialmente elevado porque Anatsa apunta a más de 200 aplicaciones financieras y de criptomonedas, con un listado que incluye entidades presentes en España como BBVA, Santander o CaixaBank. Si el troyano detecta alguna de estas apps instaladas, simplemente espera a que las abras para desplegar su pantalla falsa en el momento exacto.
Señales de alerta y cómo actuar si sospechas una infección
Una infección por Anatsa no siempre da señales evidentes, pero hay comportamientos que deberían ponerte en guardia de inmediato. El primero de ellos suele ser una app que solicita permisos de accesibilidad sin que exista una razón clara para su función básica, algo que un simple editor de fotos jamás debería necesitar.
También conviene fijarse en detalles más sutiles, como pantallas de inicio de sesión bancario que se ven ligeramente distintas a las habituales o un consumo de batería inusualmente alto con el móvil en reposo. Cuatro señales resumen lo que debes vigilar en tu propio dispositivo:
- Una aplicación reciente que pide permisos de accesibilidad sin justificación aparente.
- Aparición de una app llamada «Google Play Protect» que no forma parte del sistema oficial.
- Pantallas de acceso bancario con un diseño ligeramente diferente al habitual.
- Consumo de batería elevado incluso con el teléfono sin uso.
Qué hacer antes y después de instalar una aplicación
Si detectas alguno de estos síntomas, la reacción debe ser inmediata: desconecta el móvil de internet, cambia tus contraseñas bancarias desde otro dispositivo de confianza y llama a tu banco para bloquear accesos sospechosos. Después, revisa en Ajustes > Accesibilidad qué aplicaciones tienen ese permiso activado y desinstala cualquier app que no reconozcas o que no recuerdes haber autorizado.
De cara al futuro, la mejor defensa sigue siendo la prevención antes de pulsar «instalar». Verifica siempre el nombre del desarrollador, lee las reseñas más recientes en busca de comentarios sobre comportamientos extraños y desconfía de cualquier editor de fotos que pida acceso a tus SMS, porque no hay ninguna razón legítima para que lo necesite.
Hacia dónde evolucionan estos troyanos y cómo plantarles cara
Los investigadores coinciden en que los troyanos bancarios serán cada vez más difíciles de detectar a simple vista, ya que están incorporando técnicas de evasión basadas en inteligencia artificial para adaptar su comportamiento según el entorno en el que se ejecutan. La buena noticia es que Android e iOS ya están integrando en 2026 capas de detección de comportamiento en tiempo real que analizan el uso de permisos de accesibilidad antes de concederlos de forma automática.
La respuesta más eficaz, no obstante, sigue estando en el criterio del propio usuario: mantener el sistema operativo actualizado, descargar aplicaciones solo de desarrolladores verificados y activar Google Play Protect son hábitos que reducen drásticamente la superficie de ataque. El sentido común continúa siendo el mejor antivirus, y revisar la lista de aplicaciones instaladas una vez al mes cuesta menos de cinco minutos.
