Por 300 euros al mes cualquiera puede atacar la cuenta bancaria de tu empresa

Por 300 euros al mes, cualquiera puede comprar una herramienta para vaciar la cuenta bancaria de tu empresa. Sin conocimientos técnicos. Sin experiencia en ciberseguridad. Solo con una cuenta de Telegram y una tarjeta de crédito.

El fraude bancario se ha convertido en un servicio de suscripción.

Se llama RedWing. Lo ha descubierto esta semana Zimperium, empresa especializada en seguridad móvil. Se vende en Telegram como un producto completo: el comprador elige a qué bancos atacar, un bot genera la aplicación maliciosa personalizada en minutos, y el paquete incluye guías en vídeo paso a paso. Igual que si contrataras cualquier otro software. Con descuentos por traer nuevos clientes.

Cómo funciona el ataque

El ataque empieza de forma completamente normal. Un empleado recibe un enlace por mensaje. Abre una página que parece Google Play — con valoraciones, reseñas y contador de descargas falsos. Instala lo que parece una actualización rutinaria. Da unos permisos que parecen inocentes.

Y a partir de ahí, el atacante tiene control total del teléfono.

Ve la pantalla en tiempo real. Lee los SMS con los códigos de verificación bancaria. Intercepta las llamadas del banco cuando detecta una alerta de fraude. Y muestra páginas falsas encima de la aplicación real del banco para capturar la contraseña en el momento exacto en que el empleado la escribe.

Todo ocurre mientras el empleado sigue usando el teléfono con normalidad. Sin que salte ninguna alarma. Sin que el antivirus detecte nada. Zimperium confirma que la mayoría de variantes de RedWing evaden las herramientas de seguridad convencionales.

RedWing no necesita ninguna vulnerabilidad de Android. Solo necesita que el usuario instale la aplicación y apruebe los permisos. No hay nada que parchear porque no hay nada roto. El problema no es técnico: es humano.

El cambio que lo hace urgente

Hace cinco años, este tipo de ataque requería conocimientos técnicos avanzados y semanas de preparación. Hoy cualquiera con 300 euros y acceso a Telegram puede lanzarlo esta tarde.

RedWing no es un caso aislado. Es parte de una tendencia que los investigadores llevan meses documentando: el fraude bancario se ha industrializado. Hay equipos organizados que desarrollan estas herramientas y las alquilan como si fueran software legítimo. Con soporte, actualizaciones, documentación y sistema de afiliados. Zimperium ha identificado variantes similares en los últimos meses — Fantasy Hub, Albiriox, Klopatra — todas siguiendo la misma lógica de negocio aplicada al robo.

Lo que hasta hace poco requería un grupo criminal organizado, hoy está al alcance de cualquiera con motivación y 300 euros.

Las tres preguntas que todo director debería poder responder

Cuando reviso la situación de una empresa mediana después de un incidente de este tipo, siempre encuentro las mismas tres preguntas sin respuesta:

¿Saben tus empleados distinguir una página falsa de Google Play de la real? La diferencia visual es mínima. RedWing puede imitar Google Play, Samsung Galaxy Store y Huawei AppGallery con calificaciones y reseñas que parecen completamente legítimas.

¿Están los móviles corporativos configurados para bloquear instalaciones desde fuera de las tiendas oficiales? RedWing no puede ejecutarse en un dispositivo correctamente configurado. No necesita vulnerabilidades: solo necesita que le dejen entrar.

Si el teléfono de alguien con acceso a la banca online de la empresa ya está comprometido, ¿quién lo detectaría y cuándo? En la mayoría de empresas medianas que conozco, la respuesta honesta es: nadie, y probablemente tarde.

La única variable que puedes controlar

Esto no se resuelve solo con tecnología. Se resuelve teniendo visibilidad de lo que ocurre en los dispositivos que acceden a tus sistemas, con una política clara sobre cómo y desde dónde se accede a la banca corporativa, y con evidencia documentada de que esa política existe y se aplica.

Las tres cosas entran dentro de lo que NIS2 exige a las empresas obligadas: gestión continua de riesgos, medidas técnicas y organizativas documentadas, y supervisión de la dirección sobre todo lo anterior.

El problema no es que las empresas medianas españolas no quieran cumplir. Es que nadie les ha explicado que “gestión continua” significa exactamente esto — saber qué dispositivos acceden a qué sistemas, tener una política definida, y poder demostrarlo si llega una inspección.

Una auditoría anual no detecta que el teléfono de tu director financiero lleva tres semanas comprometido. La gestión continua, sí.

La pregunta es en qué lado de esa historia quieres estar cuando le toque a tu empresa.

Fuentes: Zimperium zLabs — Julio 2026.