Un ataque de superposición (overlay) es una técnica móvil en la que el malware muestra una ventana falsa sobre una app legítima, normalmente bancaria o de pagos, para que el usuario introduzca credenciales o datos de tarjeta.
Cómo funcionan los ataques de superposición
Es la técnica característica de los troyanos bancarios para Android. Tras instalarse, normalmente mediante una app dropper o un enlace en mensajes de smishing, el malware pide permisos como «mostrar sobre otras apps» (SYSTEM_ALERT_WINDOW) o servicios de accesibilidad. Después:
- descarga de su servidor una lista de apps objetivo con sus pantallas de acceso falsas (injects);
- vigila qué app está en primer plano;
- cuando se abre una app objetivo, dibuja encima al instante una copia exacta de su pantalla de inicio de sesión o de pago;
- envía a los atacantes todo lo que el usuario escribe.
Las superposiciones también pueden ocultar acciones maliciosas: una capa de aspecto inofensivo invita a tocar la pantalla mientras los toques conceden permisos debajo, la idea de la investigación «Cloak & Dagger» de 2017. MITRE ATT&CK for Mobile la describe como Input Capture: GUI Input Capture (T1417.002).
Por qué importan los ataques de superposición
Permiten robar contraseñas bancarias, números de tarjeta y contraseñas de un solo uso sin vulnerar la app del banco. Familias como BankBot, Anubis, Cerberus, Anatsa y muchos infostealers atacan a la vez cientos de apps bancarias, de criptomonedas y de compras. Google ha ido restringiendo los permisos de superposición y accesibilidad en las versiones recientes de Android y en Google Play, lo que empuja a los atacantes hacia apps instaladas por sideloading y la ingeniería social.
Cómo protegerse de los ataques de superposición
- Instalar apps solo desde tiendas oficiales y evitar enlaces a archivos APK.
- No conceder «mostrar sobre otras apps» ni accesibilidad a apps que no lo necesiten claramente.
- Mantener actualizados Android y Google Play Protect.
- Desconfiar si aparece de forma inesperada una pantalla de acceso o se piden todos los datos de la tarjeta.
