¿Nos están espiando? Una empresa española descubre una funcionalidad oculta en chips chinos

Tarlogic Security, una compañía gallega de ciberseguridad, ha investigado un componente tecnológico que la gran mayoría de los ciudadanos lleva en sus bolsillos. De hecho, este chip, presente en la mayoría de los dispositivos que se utilizan a diario para comunicarse, está instalado en los teléfonos móviles, en la tablet en la que se ven series y en el ordenador.

En este sentido, hablamos del microchip ESP32, un microcontrolador fabricado por la compañía china Espressif y utilizado, según Tarlogic, en más de mil millones de unidades en 2023. Concretamente, esta pieza, que permite la conexión WiFi y Bluetooth, está presente en millones de dispositivos IoT de consumo masivo.

Los investigadores españoles Miguel Tarascó Acuña y Antonio Vázquez Blanco han llegado a la conclusión de que este microchip contiene una serie de comandos no documentados que podrían utilizarse para realizar ataques, y así lo presentaron recientemente en la conferencia RootedCON 2025, un congreso de gran relevancia que se celebró recientemente en Madrid.

«Un chip que cuesta 2 euros puede abrir la puerta a suplantar identidades para conectarse a miles de dispositivos IoT», aseguran desde la compañía gallega. A su vez, añaden que «cuenta con comandos ocultos no documentados por el fabricante».

«Espiar a ciudadanos y empresas»

«Los actores maliciosos podrían hacerse pasar por dispositivos conocidos para conectarse a móviles, ordenadores y dispositivos inteligentes, incluso cuando estén en modo de no conexión», advierten. Además, esto podría facilitar la obtención de información confidencial almacenada en ellos, el acceso a conversaciones personales y empresariales, y el espionaje de ciudadanos y empresas.

«Los comandos no documentados permiten la suplantación de dispositivos confiables, el acceso no autorizado a datos, el cambio a otros dispositivos en la red y, potencialmente, el establecimiento de una persistencia a largo plazo», explican desde la compañía.

Inicialmente, desde Tarlogic definieron la amenaza como «una puerta trasera», pero ahora la describen como «una funcionalidad oculta». La diferencia radica en que la primera sería intencional, mientras que la segunda no. Esto es lo que defiende la empresa china fabricante, Espressif, que se ha visto obligada a emitir un comunicado para aclarar su postura.

Por último, desde la empresa española han matizado que «es más adecuado denominarlo 'hidden feature' / 'funcionalidad oculta' en lugar de ‘backdoor’ para referirse a la existencia de comandos HCI propietarios que permiten realizar operaciones».