4Revisa qué ha dejado: permisos, apps nuevas, consumo y suscripciones de SMS premium
Este es el punto que más se malinterpreta del ‘SMS de la muerte’. La vulnerabilidad CVE-2026-58882 no pide permisos, no instala aplicaciones, no abre enlaces ni suscribe a nada: el fallo se dispara al procesar un mensaje WAP Push en segundo plano, antes incluso de que llegue a la bandeja de entrada. Por eso la revisión no consiste en deshacer un daño, sino en comprobar que no queda residuo y, sobre todo, que la copia del mensaje no sigue dentro del teléfono. Google incluyó en el parche de octubre de 2026 una corrección que, además de cerrar el fallo, borra los mensajes maliciosos de la base de datos de SMS, precisamente porque una sola copia vuelve a activar el bucle (Portaltic). Las pruebas del investigador Mark Blah apuntan a que un único mensaje causó fallos intermitentes durante hasta una semana y que alrededor de veinte dejan el móvil inservible, con el restablecimiento de fábrica como única salida en varios casos.
El segundo bloque es el de siempre, pero conviene hacerlo con lupa: consumo de datos —el WAP Push puede llevar una URL que el sistema intenta abrir en segundo plano—, aplicaciones instaladas que no reconozcas y permisos de SMS concedidos a ‘apps’ que no los necesitan; en Android, el apartado de acceso a SMS premium permite ver y retirar ese acceso app por app. Y la factura: los cobros por SMS premium no se mezclan con el consumo normal, aparecen bajo epígrafes como «pagos a terceros» (Movistar), «servicios de terceros» (Vodafone) o «consumos a terceros» (Orange), con números cortos del tipo 25xxx, 27xxx, 35xxx o 79xxxx. Vodafone permite fijar el límite de pagos a terceros en 0 euros desde Mi Vodafone, O2 tiene el bloqueo de números especiales y Masmóvil, el «Bloqueo suscripción a contenidos y SMS Premium» en los ajustes de línea. Son dos minutos de comprobación que evitan que el susto llegue a fin de mes.
