Vigilancia integrada en los móviles Android chinos: lo que está probado y cómo protegerte

La plataforma para desarrolladores de HyperOS de Xiaomi publica una descripción de servicio llamada “detección de comportamientos fraudulentos en el dispositivo” (actualizada el 15 de abril de 2026), que se ofrece a empresas asociadas. La app de un socio puede consultar la “puntuación de riesgo de fraude” de un móvil, de 0 a 100; los socios con más nivel de acceso pueden consultar comportamientos concretos de las últimas 72 horas: capturas de pantalla, grabación o uso compartido de pantalla, modo avión, desvío de llamadas, instalación de apps de control remoto, finanzas, préstamos, “no identificables” o “sospechosas”, llamadas al extranjero y visitas a URL marcadas.

El documento dice que la detección sigue funcionando aunque el usuario borre el registro de llamadas o la app, y que una app instalada sigue contando aunque se desinstale dentro del periodo de validez. Se aplica a dispositivos para China continental con HyperOS 3.1 o posterior, tanto móviles como tabletas. No dice que los datos vayan a la policía ni explica cómo puede desactivarlo el usuario.

• Teclados (Citizen Lab, abril de 2024): de los teclados pinyin (el método habitual para escribir en chino) de nueve fabricantes (Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi), ocho tenían fallos que permitían a alguien que escuchara la red leer lo que escribes, lo que afectaba a cerca de mil millones de usuarios. La mayoría ya se han corregido; aun así, los investigadores recomiendan un teclado que haga las predicciones solo en el dispositivo.
• Apps preinstaladas (Universidad de Edimburgo y Trinity College Dublin, 2023): en móviles Xiaomi, OnePlus y OPPO/realme comprados en China, las apps preinstaladas enviaban identificadores del dispositivo, ubicación, número de teléfono y uso de apps al fabricante y a terceros, incluso tras rechazar el envío de datos de uso durante la configuración, y lo seguían haciendo en el extranjero.
• Lista de palabras clave (Ministerio de Defensa de Lituania, 2021): las apps del sistema de un Xiaomi Mi 10T contenían una lista de 449 términos para bloquear, desactivada para la región de la UE pero activable a distancia. Xiaomi negó restringir las comunicaciones de sus usuarios.

Un informe publicado en GitHub analizó un móvil Xiaomi con HyperOS 3.0. El componente preinstalado de China Unicom SystemHelper (paquete com.mobiletools.systemhelper) recoge cada 30 minutos la ubicación (con seis decimales), la antena de telefonía y las redes Wi-Fi cercanas y, junto con los identificadores del dispositivo y de la SIM y la lista de apps instaladas y su uso, lo envía periódicamente al servidor de Unicom por HTTP simple, cifrado con una clave derivada del propio contenido. No tiene icono, no aparece en la lista de apps y no tiene ningún interruptor. Otro análisis muestra que sigue registrándose en Unicom aunque la SIM sea de China Mobile.

No es solo Xiaomi. Las propiedades del sistema de vivo mencionan el paquete (una issue pública en GitHub), y en un vivo X200S para China continental se ve en la lista, con “Desinstalar” y “Forzar detención” en gris; también figura en las listas de apps preinstaladas de OPPO y realme. El propio código del componente enumera una serie de marcas —Samsung, Motorola, Nubia, OnePlus, ZTE y otras—, así que los móviles Samsung para China continental entran en su alcance, aunque nadie lo ha publicado todavía a partir de un firmware de Samsung. Huawei y Honor no están en la lista.

El autor del informe aclara que solo se probó un dispositivo y no hace ninguna afirmación sobre la intención de los desarrolladores.

• “El componente de seguridad graba la pantalla cada pocos segundos y la sube”: viene de la publicación de ingeniería inversa de un solo usuario; el informe anterior no vio ninguna subida así por parte de ese tipo de componente.
• “Los móviles Samsung para China continental ya lo traen de fábrica”: por ahora solo está la lista de marcas en el código del componente; todavía no hay pruebas sacadas de un firmware de Samsung.
• “A quienes tenían X o Telegram instalados les llamó la policía para que los desinstalaran”: son relatos de segunda mano; no hay forma de comprobar que el reporte del móvil fuera la causa.
• No presentamos estos puntos como hechos. Eso no significa que sean falsos: a cada uno le sigue faltando una segunda fuente independiente.

Una VPN cifra el tráfico entre tu dispositivo y el servidor, así que ni el operador ni el cortafuegos ven qué visitas. Pero el sistema del móvil está en tu extremo del túnel: sabe qué app de VPN has instalado, cuándo la abres y durante cuánto tiempo. En 2023, el centro de seguridad de Xiaomi marcó Telegram como “no ha superado la revisión de seguridad” y bloqueó su instalación.

Por eso ninguna línea, por buena que sea, arregla lo que pasa en el propio móvil. Lo que ayuda es que el móvil sepa menos.

1. Guarda lo importante en un sistema que no gestione un fabricante de China continental: un iPhone, o un móvil Android con el firmware internacional. Un Android para China continental vale para el día a día, pero no para nada que no quieras que otros vean.
2. Desactiva la “entrada en la nube” o las “sugerencias en la nube” de tu teclado, o cámbiate a un teclado que funcione solo en el dispositivo.
3. Revisa los permisos de las apps en Ajustes y quita el acceso a la ubicación, los contactos y la lista de apps a todo lo que no lo necesite; desactiva la “detección de fraude” o el “análisis de seguridad” en la app de seguridad o de gestión del móvil cuando se pueda.
4. No rootees ni reflashees el móvil para quitar los componentes preinstalados: para la mayoría, un error cuesta más de lo que se gana, y todos los módulos de bloqueo de la comunidad necesitan root, sin nadie que te ayude si algo se rompe.
5. Deja la app de VPN fuera del móvil por completo: usa en casa un router con la línea configurada. Así el móvil solo se conecta al Wi-Fi y ya está al otro lado del cortafuegos, y el sistema ve una red Wi-Fi normal y corriente.

Lo que sí podemos hacer: cifrar tu tráfico de red y no registrar lo que visitas. Nuestros clientes son los estándar (Cisco, OpenVPN, Hiddify, Tailscale), sin modificar. Y con la opción del router no hay ninguna app de VPN en el móvil.

Lo que no podemos hacer: impedir que el sistema del propio móvil envíe sus reportes. Para eso solo sirven otro dispositivo, permisos más estrictos y mantener lo delicado fuera del firmware de China continental.