Tu móvil no tiene cobertura. Estás en el metro, en un sótano, en una zona sin señal. Nadie puede acceder a tus datos desde fuera. Eso, al menos, es lo que la mayoría de la gente asume. El troyano Manic ha sido diseñado precisamente para romper esa suposición.
Descubierto en agosto de 2026 por investigadores de ciberseguridad, Manic es un troyano para Android que combina capacidades de espionaje bancario, robo de credenciales y control remoto del dispositivo. Su característica más inusual: puede exfiltrar los datos robados aunque el teléfono infectado no tenga conexión a internet en ese momento.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Qué roba Manic y cómo lo hace
El mecanismo central de Manic abusa de los Servicios de Accesibilidad de Android — funciones diseñadas originalmente para ayudar a personas con discapacidad visual que permiten a una aplicación "ver" el contenido de la pantalla, interactuar con él y ejecutar acciones de forma automática. Una vez que el usuario concede ese permiso, el malware tiene visibilidad total sobre lo que ocurre en el teléfono.
Manic genera un teclado invisible superpuesto sobre el teclado real del dispositivo. Cuando el usuario teclea su contraseña para acceder a una aplicación bancaria, Manic registra cada pulsación y la reproduce automáticamente en el teclado real mediante los Servicios de Accesibilidad. El resultado es que la aplicación bancaria recibe las credenciales correctas y el usuario no nota nada anómalo — porque la pantalla de login que ve es la legítima, no una falsificación.
El troyano no se limita a capturar texto indiscriminadamente. Clasifica automáticamente lo que intercepta: contraseñas, correos de acceso, códigos SMS de verificación de cuatro a seis dígitos, frases semilla de carteras de criptomonedas y códigos de desbloqueo del teléfono. Junto con el dato capturado, registra de qué aplicación proviene, cuándo se introdujo y si el usuario lo tecleó manualmente o usó el autocompletado.
Adicionalmente, Manic intercepta los mensajes SMS y las notificaciones del dispositivo, lo que le permite capturar los códigos de verificación de doble factor antes de que el usuario los introduzca en la aplicación. Y a través de los Servicios de Accesibilidad, permite al atacante tomar control remoto del teléfono — ocultando esta actividad mostrando una pantalla negra o simulando una actualización del sistema.
Los países en el punto de mira de Manic, identificados por las aplicaciones bancarias que el troyano apunta, incluyen Austria, República Checa, Estonia, Francia, Alemania, Lituania, Países Bajos, Polonia, Rusia, Eslovaquia, España, Ucrania y Reino Unido.
El sistema de relevo: cómo salen los datos cuando no hay internet
La capacidad más relevante de Manic desde el punto de vista técnico no es el robo de credenciales — ese mecanismo ya existe en otros troyanos bancarios. Es la solución que los atacantes implementaron para el problema de la exfiltración sin conexión.
Normalmente, un malware de este tipo recoge los datos en el dispositivo y los envía directamente al servidor de los atacantes. Si el dispositivo no tiene conexión, los datos quedan atrapados en él hasta que la recupere. Manic resuelve este problema de una forma distinta: cuando no puede llegar al servidor de comando y control, escanea el entorno en busca de otros teléfonos infectados accesibles por WiFi o Bluetooth. Si encuentra uno con conexión a internet, le transfiere los datos cifrados para que ese dispositivo los reenvíe al servidor de los atacantes.
Los datos pueden saltar a través de una cadena de hasta cuatro dispositivos infectados. Si ningún dispositivo cercano tiene conexión, Manic almacena los datos localmente y lo intenta de nuevo más tarde. La infraestructura de esta campaña se remonta a febrero de 2026, y las primeras muestras del malware aparecieron en mayo.
Google ha confirmado que no hay rastro de Manic distribuyéndose a través de Google Play. La vía de entrada más probable son aplicaciones instaladas desde fuentes no oficiales — archivos APK descargados de sitios de terceros, enlaces enviados por mensajería o correo electrónico, o páginas de descarga fraudulentas.
Si instalas una aplicación que pide Servicios de Accesibilidad
No hagas esto:
- No concedas permisos de Servicios de Accesibilidad a ninguna aplicación que no sea una herramienta de accesibilidad real — lector de pantalla, asistente de voz, herramienta de control por switch. Una aplicación bancaria, una utilidad de limpieza, un gestor de archivos o una linterna no tienen ningún motivo legítimo para necesitar ese permiso.
- No instales aplicaciones Android desde fuera de Google Play — archivos APK enviados por mensajería, descargados de webs de terceros o llegados por correo electrónico.
- No ignores las alertas de tu antivirus ni los avisos del sistema operativo sobre permisos solicitados por aplicaciones recién instaladas.
Haz esto:
- Revisa qué aplicaciones tienen activos los Servicios de Accesibilidad en tu teléfono: Ajustes → Accesibilidad → Aplicaciones instaladas (la ruta varía según el fabricante). Si hay alguna que no reconoces o que no tiene una razón obvia para estar ahí, revócale el permiso.
- Activa la verificación de aplicaciones de Google Play Protect si no lo has hecho ya — analiza las aplicaciones instaladas incluso si no vinieron de Play Store.
- Si sospechas que tu teléfono puede estar infectado y notas comportamiento inusual (pantalla que se pone negra sola, actualizaciones del sistema que no esperabas, batería que se agota más rápido), considera restaurar el dispositivo a valores de fábrica después de hacer una copia de seguridad de tus datos en un entorno limpio.
El permiso de Servicios de Accesibilidad es la llave maestra del teléfono. Una aplicación con ese permiso puede hacer prácticamente todo lo que haría un usuario sentado frente a la pantalla. Concederlo a una aplicación desconocida equivale a darle el control total del dispositivo.