La tecnología Bluetooth está en todas partes: móviles, relojes inteligentes, auriculares, altavoces, coches y dispositivos del hogar conectado. Cuantos más dispositivos la usan, más oportunidades tienen los atacantes de aprovechar sus fallos.
En los primeros tiempos, los ataques se limitaban a robar contactos o mensajes de teléfonos antiguos. Hoy los fallos más graves suelen estar en la implementación de cada fabricante (el chip, el firmware o el sistema operativo) y pueden afectar a auriculares, coches o dispositivos médicos. La buena noticia es que casi todos se corrigen con actualizaciones.
Evolución de Bluetooth y su seguridad
Desde su lanzamiento en 1999, Bluetooth ha pasado por muchas versiones. Estas son las más relevantes para la seguridad:
- Bluetooth 1.x y 2.0: emparejamiento con un PIN que elegía el usuario, normalmente de 4 dígitos («0000», «1234»). Un atacante que capturase el emparejamiento podía averiguarlo en segundos.
- Bluetooth 2.1 (2007): introdujo el emparejamiento simple seguro (SSP), basado en intercambio de claves por curva elíptica. Es el que usamos hoy al comprobar que el código de seis dígitos coincide en las dos pantallas.
- Bluetooth 4.0 (2010): llegó Bluetooth Low Energy (BLE), la base de relojes, pulseras y sensores. Su primer sistema de emparejamiento era débil y se podía descifrar con herramientas públicas.
- Bluetooth 4.1 y 4.2: añadieron las conexiones seguras (Secure Connections), con claves de curva elíptica más robustas y cifrado AES-CCM, que corrigen los problemas del emparejamiento anterior.
- Bluetooth 5.x (2016-2023): más alcance y velocidad (hasta 2 Mbps en BLE y varios cientos de metros en condiciones ideales). La versión 5.4 añadió el cifrado de los datos de anuncio (Encrypted Advertising Data), que protege la información que un dispositivo emite antes de conectarse.
- Bluetooth 6.x (desde 2024): la versión 6.0 (septiembre de 2024) introdujo Channel Sounding, para medir con precisión la distancia entre dispositivos, pensado para llaves digitales de coche o localizadores. La 6.1 (mayo de 2025) hace más impredecible el cambio de dirección privada para dificultar el rastreo, y la 6.2 (finales de 2025) protege Channel Sounding frente a ataques de manipulación de distancia. Desde 2025 la Bluetooth SIG publica dos actualizaciones al año.
La versión de Bluetooth por sí sola no hace seguro un dispositivo. Un equipo con Bluetooth 5.3 sin parchear puede ser más vulnerable que uno con 4.2 actualizado. Lo que de verdad importa es que el fabricante siga publicando actualizaciones.
Tipos de ataques Bluetooth
Bluejacking, Bluesnarfing y Bluebugging
Son los ataques clásicos de principios de los 2000, cuando los móviles venían con Bluetooth visible por defecto:
- Bluejacking: envío de mensajes o tarjetas de contacto no solicitados a dispositivos cercanos. Inofensivo por sí mismo, pero podía usarse para engañar al usuario con enlaces maliciosos.
- Bluesnarfing: robo de contactos, agenda, mensajes o fotos sin permiso, aprovechando fallos de algunos teléfonos de la época.
- Bluebugging: control del teléfono a distancia para hacer llamadas, enviar SMS o escuchar conversaciones.
Los móviles actuales ya no son vulnerables a estas técnicas concretas, pero la idea de fondo (aprovechar un fallo para acceder sin emparejar) sigue viva en ataques modernos.
BlueBorne (2017)
BlueBorne es una familia de vulnerabilidades descubierta por la empresa Armis que afectaba a miles de millones de dispositivos con Android, Windows, Linux y versiones antiguas de iOS. Permitía tomar el control de un dispositivo sin emparejarlo, sin que estuviera en modo visible y sin que el usuario aceptase nada: bastaba con tener Bluetooth activado y el sistema sin parchear. Los fabricantes la corrigieron con actualizaciones, pero muchos dispositivos antiguos que ya no reciben parches siguen siendo vulnerables.
Ataques al propio protocolo: KNOB, BIAS y BLUFFS
- KNOB (2019): obligaba a dos dispositivos a negociar una clave de cifrado de solo 1 byte, fácil de romper por fuerza bruta.
- BIAS (2020): permitía hacerse pasar por un dispositivo ya emparejado sin conocer su clave.
- BLUFFS (2023): permitía forzar claves de sesión débiles y descifrar comunicaciones pasadas y futuras.
Los tres afectaban a Bluetooth clásico en casi todos los fabricantes y obligaron a actualizar la especificación y los firmwares.
Inyección de pulsaciones de teclado (2023)
En diciembre de 2023 se publicó un fallo (CVE-2023-45866) que permitía a un atacante cercano hacerse pasar por un teclado Bluetooth y escribir comandos en dispositivos Android, Linux, macOS e iOS sin confirmación del usuario. Se corrigió con actualizaciones de cada sistema.
Ataques a dispositivos BLE: SweynTooth y suplantación
SweynTooth, publicado en 2020, es un conjunto de vulnerabilidades (inicialmente 12) en los chips BLE de varios fabricantes. Podían bloquear el dispositivo, provocar fugas de datos o, en algunos casos, ejecutar código. Afectaba a pulseras, cerraduras y sensores, y la FDA estadounidense emitió un aviso porque también había dispositivos médicos afectados.
En BLE también existe la suplantación: un atacante se hace pasar por un dispositivo legítimo, como un reloj o un sensor, para capturar datos. Y las balizas (beacons) BLE que usan algunas tiendas pueden servir para seguir a las personas por el local.
Auriculares y altavoces: el caso Airoha (2025)
En 2025, investigadores de la empresa alemana ERNW descubrieron fallos (CVE-2025-20700, 20701 y 20702) en los chips Bluetooth de Airoha, presentes en auriculares y altavoces de marcas como Sony, Bose, JBL, Marshall, Jabra o Beyerdynamic. Un atacante cercano podía conectarse a ellos sin emparejar, extraer las claves de enlace y usarlas para hacerse pasar por los auriculares ante el móvil, e incluso hacer llamadas desde él. Airoha publicó la corrección para los fabricantes en junio de 2025, pero cada marca tiene que distribuirla en su propio firmware.
Ataques de largo alcance y en espacios públicos
El war-nibbling consiste en recorrer una zona buscando dispositivos Bluetooth vulnerables. Con antenas direccionales se han conseguido conexiones a más de un kilómetro, muy por encima del alcance habitual. Herramientas como Ubertooth One permiten capturar y analizar el tráfico Bluetooth.
Aeropuertos, estaciones, centros comerciales y transporte público concentran muchos dispositivos con Bluetooth activo, por lo que son los lugares donde estos ataques tienen más posibilidades.
Dispositivos del hogar conectado
Cerraduras inteligentes, termostatos o cámaras con Bluetooth suelen ser el eslabón débil: algunos fabricantes priorizan el precio y la facilidad de uso, con contraseñas por defecto, poco cifrado y firmwares que nunca se actualizan. Una cerradura comprometida no solo da acceso físico; un termostato o una cámara pueden revelar cuándo la casa está vacía.
Casos reales de ataques Bluetooth
- Tesla Model 3 y Model Y (2022): investigadores de NCC Group demostraron un ataque de retransmisión (relay) por BLE: con dos pequeños dispositivos, uno cerca del móvil del propietario y otro junto al coche, consiguieron abrirlo y arrancarlo. El mismo tipo de ataque afecta a otros sistemas de llave digital y cerraduras BLE.
- Dispositivos médicos (2020): por SweynTooth, la FDA alertó de que algunos dispositivos médicos con chips BLE afectados podían bloquearse o quedar expuestos.
- Auriculares Airoha (2025): el caso descrito antes, con demostraciones públicas de llamadas realizadas desde el móvil de la víctima.
Cómo protegerte
Actualiza todo, también los accesorios
Es la medida más importante: casi todos los ataques modernos se corrigen con parches. Mantén actualizado el sistema del móvil (en Android, Ajustes > Sistema > Actualización de software; en iPhone, Ajustes > General > Actualización de software). La ruta en Android puede variar según el fabricante.
No te olvides de los auriculares, relojes, altavoces y dispositivos del hogar: actualiza su firmware desde la aplicación oficial del fabricante. Si un dispositivo ya no recibe actualizaciones, plantéate no usarlo en situaciones sensibles.
Desactiva Bluetooth cuando no lo uses
Sobre todo en lugares públicos. En Android, desliza desde arriba y toca el icono de Bluetooth, o ve a Ajustes > Dispositivos conectados. En iPhone, ten en cuenta que el botón del Centro de control solo desconecta los accesorios hasta el día siguiente; para apagarlo del todo, ve a Ajustes > Bluetooth.
Controla la visibilidad y los emparejamientos
- Visibilidad: en los móviles actuales ya no hay que configurarla; el teléfono solo es visible para otros mientras tienes abierta la pantalla de ajustes de Bluetooth. Ciérrala en cuanto termines de emparejar.
- Revisa la lista de dispositivos emparejados y elimina los que ya no uses. En Android, toca el engranaje junto al dispositivo y elige Desvincular u Olvidar; en iPhone, toca la i y Omitir este dispositivo.
- No aceptes solicitudes de emparejamiento que no hayas iniciado tú, aunque el nombre parezca de confianza («iPhone de María», «Auriculares Sony»): el nombre se puede falsificar.
- Comprueba el código al emparejar: si ambos dispositivos muestran un número, verifica que coincide antes de aceptar. Esto impide que alguien se cuele en medio del emparejamiento.
- Empareja en un lugar tranquilo: el momento del emparejamiento es el más delicado; mejor hacerlo en casa que en una estación.
Consejos por tipo de dispositivo
- Auriculares y altavoces: mantén el firmware al día con la app del fabricante y apágalos cuando no los uses.
- Relojes y pulseras: activa un código de desbloqueo en el propio reloj, así un tercero no puede ver tus notificaciones ni tus datos si lo coge.
- Coche: borra tu móvil del sistema multimedia si vendes el coche o usas uno de alquiler, porque se quedan guardados tus contactos e historial de llamadas. Si tu coche usa el móvil como llave, activa las opciones extra que ofrezca el fabricante, como un PIN para arrancar.
- Hogar conectado: cambia las contraseñas por defecto, actualiza el firmware y, si tu router lo permite, conecta estos dispositivos a una red Wi-Fi de invitados separada de tus ordenadores y móviles.
Vigila los localizadores desconocidos
Los localizadores Bluetooth como AirTag o los compatibles con Google Encontrar mi dispositivo se pueden usar para seguir a alguien sin que lo sepa. iPhone y Android avisan automáticamente si detectan un localizador desconocido que se desplaza contigo; no desactives esas alertas. En Android también puedes buscar manualmente desde Ajustes > Seguridad y emergencias > Alertas de rastreadores desconocidos.
Si quieres ver qué dispositivos Bluetooth hay a tu alrededor, aplicaciones como nRF Connect (Android e iPhone) o LightBlue (iPhone) muestran los que están emitiendo. Son herramientas de diagnóstico: no bloquean ataques ni avisan de intentos de conexión.
Mitos comunes sobre la seguridad Bluetooth
- «El modo avión apaga siempre el Bluetooth»: no necesariamente. Si alguna vez activaste Bluetooth con el modo avión puesto (por ejemplo, para usar auriculares en un vuelo), iPhone y muchos Android lo recuerdan y lo dejan encendido la próxima vez. Comprueba el icono.
- «Si no emparejo nada, estoy a salvo»: fallos como BlueBorne o los de Airoha no necesitan emparejamiento. Tener Bluetooth activado y el sistema sin parchear es suficiente.
- «El iPhone es inmune»: iOS es más estricto, pero también ha tenido fallos de Bluetooth, sobre todo en versiones sin actualizar.
- «Si no estoy en modo visible, no me pueden atacar»: el modo oculto dificulta encontrar el dispositivo, pero hay técnicas para detectarlo, y muchos dispositivos BLE emiten anuncios constantemente.
Conclusión
Los ataques Bluetooth han pasado de las bromas del bluejacking a fallos capaces de secuestrar auriculares, abrir coches o afectar a dispositivos médicos. Aun así, protegerse es sencillo: mantén actualizados el móvil y todos los accesorios, desactiva Bluetooth cuando no lo necesites, revisa los dispositivos emparejados y no aceptes conexiones que no hayas pedido. La responsabilidad es compartida: los fabricantes deben seguir publicando parches, y los usuarios, instalarlos.