Protección contra el restablecimiento de fábrica en dispositivos Android de empresa: cuentas FRP, borrados y dispositivos bloqueados

Un dispositivo de campo regresa al almacén. Alguien lo restablece desde el modo de recuperación para prepararlo para el siguiente trabajador. Al reiniciar, el asistente de configuración solicita una cuenta de Google que estuvo previamente en el dispositivo. Nadie sabe qué cuenta era y el teléfono queda inutilizable.

El mecanismo que deja bloqueado el hardware devuelto es Factory Reset Protection (FRP). También es lo que hace que un teléfono de empresa robado no tenga ningún valor para el ladrón. No le interesa desactivar FRP. Lo que necesita es decidir por adelantado la cuenta de quién desbloquea sus dispositivos y elegir, en cada borrado, si FRP permanece activo.

Este tutorial cubre seis pasos:

1. Configurar cuentas de administrador de FRP dedicadas.
2. Aplicar esas cuentas mediante directivas.
3. Elegir el tipo de borrado adecuado para cada situación.
4. Configurar el comportamiento de FRP para borrados automáticos por aplicación de directivas.
5. Ejecutar un proceso de devolución de dispositivos que evite bloqueos.
6. Gestionar un dispositivo que ya está bloqueado.

Advertencia: Esta guía no incluye pasos para eludir FRP ni lo hará nunca. Si un dispositivo está bloqueado, las vías de recuperación legítimas se tratan en el Paso 6.

Antes de comenzar

Asegúrese de contar con lo siguiente:

• Dispositivos propiedad de la empresa inscritos como totalmente gestionados o como propiedad de la empresa con perfil de trabajo. Puede inscribirlos mediante zero-touch, Samsung Knox Mobile Enrollment o código QR.
• Acceso de administrador a su consola MDM, con permisos para editar directivas y enviar comandos de borrado.
• Un baúl de contraseñas compartido por su equipo de TI.
• Un dispositivo de prueba de repuesto que esté preparado para restablecer varias veces.

Nota: Las cuentas corporativas de FRP no se aplican a dispositivos de propiedad personal que solo tienen un perfil de trabajo (BYOD). En esos dispositivos, FRP permanece vinculado a la cuenta personal de Google del propietario y no hay motivo para controlarlo.

Cómo se comporta FRP en un dispositivo de empresa

Google introdujo FRP en Android 5.1. Su función es sencilla: tras ciertos restablecimientos, el dispositivo no completará la configuración hasta que alguien inicie sesión con una cuenta de Google autorizada.

Qué lo activa. FRP se aplica principalmente tras un restablecimiento «no confiable». Un ejemplo típico es un restablecimiento iniciado desde el modo de recuperación, donde nadie demostró conocer el bloqueo de pantalla. Un restablecimiento iniciado desde Ajustes por alguien que conoce el bloqueo no suele activar FRP. El comportamiento exacto ha variado entre versiones de Android y fabricantes, por lo que debe probarlo en sus propios modelos antes de confiar en él.

Qué cuenta lo desbloquea. En un teléfono de consumo, FRP pide la última cuenta de Google sincronizada en el dispositivo. Los dispositivos gestionados funcionan de otra manera: la directiva del dispositivo puede indicar cuentas de administrador concretas para la protección contra el restablecimiento de fábrica. En la Android Management API, es el campo frpAdminEmails. Google lo documenta así: tras un restablecimiento, uno de los administradores indicados debe iniciar sesión para desbloquear el dispositivo. Si no se indica ningún administrador, el dispositivo no ofrecerá protección contra el restablecimiento de fábrica.

Cómo interactúan los borrados remotos. Un borrado enviado desde la consola puede conservar o eliminar los datos de protección contra el restablecimiento. En la Android Management API, lo controla la marca PRESERVE_RESET_PROTECTION_DATA. Si se conservan los datos, FRP puede aplicarse tras el borrado. Si se eliminan, el dispositivo arranca en un asistente de configuración limpio.

Por qué los ladrones lo odian. Un dispositivo restablecido que exige una cuenta que no se puede proporcionar no se puede configurar, utilizar ni revender fácilmente. Esto solo funciona si usted aún puede acceder.

Paso 1: Crear cuentas de administrador de FRP dedicadas

Las cuentas que indique aquí son las llaves de cada dispositivo restablecido de su flota. Trátelas como credenciales de emergencia.

1. Cree dos cuentas de Google que pertenezcan al departamento de TI y no a una persona, por ejemplo frp-admin-1@yourcompany.com y frp-admin-2@yourcompany.com. Utilice cuentas de Google Workspace o cuentas estándar de Google que controle el equipo de TI. Disponer de dos le ofrece una alternativa en caso de que una quede bloqueada o suspendida.
2. Guarde ambos conjuntos de credenciales en su baúl compartido, con el registro de accesos activado.
3. Si activa la verificación en dos pasos, asegúrese de que el segundo factor sea algo a lo que su equipo siempre pueda acceder. Una llave física custodiada en el almacén funciona, al igual que una semilla de autenticación guardada en el baúl. A quien desbloquee un dispositivo se le solicitará dicho factor durante la configuración.
4. Confirme que cada cuenta puede completar un inicio de sesión interactivo normal en Google, por ejemplo en un navegador de su ordenador. No añada las cuentas a su dispositivo de prueba: una cuenta sincronizada en el dispositivo podría desbloquearlo por sí sola y dejar sin sentido la prueba del Paso 2.

Advertencia: Nunca utilice la cuenta personal o laboral nominal de un único administrador como único administrador de FRP. Cuando esa persona se marche o su cuenta sea suspendida, todos los dispositivos restablecidos que dependan de ella quedarán bloqueados.

Nota: No todos los tipos de cuenta se comportan igual ante la solicitud de FRP. Antes del despliegue en toda la flota, confirme que el tipo de cuenta elegido desbloquea sus modelos de dispositivo realizando la prueba completa del Paso 2.

Resultado esperado: Dispone de dos cuentas de Google pertenecientes a TI, ambas en el baúl, ambas con capacidad para iniciar sesión y ambas con un segundo factor al alcance de su equipo.

Paso 2: Aplicar cuentas de administrador de FRP mediante directivas

1. Abra la directiva que utilizan los dispositivos de la empresa. En Nomid MDM, las cuentas de administrador de protección contra restablecimiento de fábrica se encuentran en la pestaña Seguridad de la directiva.
2. Añada las dos direcciones de correo de los administradores FRP y guarde la directiva. Si usa varias directivas, añada las cuentas a todas las que usan sus dispositivos de empresa. Revise cada directiva en uso, no solo una plantilla, para que ningún dispositivo se quede sin ellas.
3. Si trabaja directamente con la Android Management API, el fragmento de directiva equivalente se ve así:

{
  "frpAdminEmails": [
    "frp-admin-1@yourcompany.com",
    "frp-admin-2@yourcompany.com"
  ]
}

1. Revise la lista de activos para confirmar que los dispositivos se han sincronizado desde el cambio. Un dispositivo que ha estado sin conexión conserva la lista anterior, o ninguna, hasta que se sincroniza.
2. Prepare el dispositivo de repuesto para la prueba. Inscríbalo en la misma directiva, o en una copia de prueba con los mismos administradores FRP, y no le añada ninguna cuenta de Google. Confirme que se ha sincronizado desde el cambio.
3. Pruebe el ciclo completo. Envíe al dispositivo de repuesto un borrado que conserve FRP. Cuando pida una cuenta, inicie sesión con una cuenta de administrador FRP y confirme que la configuración continúa. Si la cuenta es rechazada, consulte las preguntas frecuentes de solución de problemas antes del despliegue.
4. Vuelva a inscribir el dispositivo de repuesto tras cada prueba. El borrado lo saca de la gestión, así que necesita de nuevo su configuración habitual por código QR, zero-touch o Knox Mobile Enrollment.

Resultado esperado: Todos los dispositivos de la empresa han recibido una directiva con dos administradores de FRP, y ha comprobado en hardware real que esas cuentas desbloquean un dispositivo restablecido.

Paso 3: Elegir el borrado adecuado para cada situación

Aquí es donde se previenen o se generan la mayoría de los bloqueos. En Nomid, el comando de borrado conserva FRP de forma predeterminada, y existe un selector para eliminarlo. Tome una decisión consciente cada vez que utilice ese selector.

Una regla sencilla cubre la mayoría de los casos: elimine FRP únicamente cuando el dispositivo esté físicamente en manos de TI. En cualquier otro caso, conserve FRP. Sus cuentas de administrador de FRP le permitirán recuperar el dispositivo si alguna vez regresa.

Advertencia: Eliminar FRP de un dispositivo que no está en su poder le entrega a quien lo tenga un teléfono limpio y listo para revender. Si no está seguro de dónde se encuentra el dispositivo, conserve FRP.

Resultado esperado: Su equipo cuenta con una regla por escrito para saber cuándo activar el selector de «eliminar FRP», y los borrados por pérdida o robo mantienen el valor predeterminado.

Paso 4: Configurar FRP para borrados por aplicación de directivas

Las reglas de cumplimiento de la directiva pueden borrar un dispositivo automáticamente cuando sigue sin cumplirla. Un ejemplo típico es un dispositivo que nunca cumple la directiva de contraseñas. Estos borrados ocurren sin que nadie los supervise, normalmente en dispositivos que no están en el almacén. Por eso son borrados defensivos. Antes de cambiar estas reglas, asegúrese de que el Paso 2 está completo para esta directiva: un borrado automático que conserva FRP solo es seguro si la lista de administradores FRP del dispositivo está al día.

1. Abra las reglas de cumplimiento de directivas en su directiva.
2. En cualquier regla que culmine en un borrado, configúrela para conservar FRP. Nomid admite este ajuste en las reglas de cumplimiento que ejecutan un borrado.
3. En términos de la Android Management API, la regla tiene un aspecto similar a este:

{
  "policyEnforcementRules": [
    {
      "settingName": "passwordPolicies",
      "blockAction": { "blockAfterDays": 0 },
      "wipeAction": { "wipeAfterDays": 7, "preserveFrp": true }
    }
  ]
}

Resultado esperado: Los borrados automáticos dejan los dispositivos protegidos y TI aún puede desbloquearlos con las cuentas de administrador de FRP.

Paso 5: Utilizar la guía de procedimientos para dispositivos devueltos

La mayoría de los bloqueos en el almacén ocurren porque alguien restableció localmente un dispositivo devuelto en lugar de borrarlo desde la consola. Utilice esta secuencia para cada dispositivo que regrese.

1. Registre la devolución. Actualice los campos de asignación del dispositivo. El historial de asignaciones mostrará quién lo tenía y cuándo volvió.
2. Enciéndalo y conéctelo a la Wi-Fi. Confirme que aparece como visto recientemente en la consola. Un borrado desde la consola solo llega a un dispositivo conectado y todavía inscrito. Si nunca aparece, revise primero la Wi-Fi y la batería. Restablézcalo localmente solo si sabe que recibió su lista de administradores FRP y, después, desbloquéelo con una cuenta de administrador FRP, como en el Paso 6.
3. Guarde lo que deba conservarse, según sus normas de retención de datos.
4. Envíe un borrado desde la consola con la opción "quitar FRP" activada.
5. Observe el reinicio. Debería llegar a un asistente de configuración limpio, sin solicitud de verificación de cuenta.
6. Decida el siguiente paso:Redespliegue: deje que se vuelva a inscribir mediante zero-touch, Knox Mobile Enrollment o código QR.
7. Reventa, reciclaje o devolución al leasing: retírelo de su portal de zero-touch o Knox Mobile Enrollment para que no se inscriba en su empresa con su próximo propietario.
8. Etiquete el dispositivo como "FRP quitado, verificado", con la fecha y sus iniciales.

Advertencia: No restablezca de fábrica dispositivos devueltos desde el modo de recuperación o combinaciones de botones en el almacén. Ese es un restablecimiento no confiable, por lo que se aplicará FRP. Realice siempre el borrado desde la consola mientras el dispositivo aún esté inscrito.

Para los métodos generales de restablecimiento y lo que borra cada uno, consulte nuestra guía para restablecer de fábrica dispositivos Android en el blog de Nomid.

Resultado esperado: Todo dispositivo sale del departamento de TI reinscrito para un nuevo trabajador o limpio y eliminado de sus portales de inscripción. Ninguno sale bloqueado.

Paso 6: Recuperar un dispositivo que ya está bloqueado

Una vez restablecido un dispositivo, ya no está inscrito. Ningún comando de la consola puede llegar a él. Siga estas opciones en orden.

1. Pruebe las cuentas de administrador de FRP. Si el dispositivo recibió una directiva con frpAdminEmails antes de restablecerse, iniciar sesión con una de esas cuentas debería desbloquearlo.
2. Pruebe cuentas de administrador de FRP anteriores. Si cambió la lista recientemente, es posible que el dispositivo aún conserve la anterior. Pruebe las cuentas que estaban registradas en el momento en que se vio el dispositivo por última vez.
3. Localice al usuario anterior. Si ninguna lista de administradores FRP llegó al dispositivo y el usuario anterior añadió una cuenta de Google, esa cuenta puede desbloquearlo. Consulte el historial de asignaciones, pida a esa persona que venga a TI e inicie sesión, y no le pida que le envíe su contraseña.
4. Tenga en cuenta los cambios de contraseña recientes. La ayuda para cuentas de Google recomienda esperar tras un restablecimiento de contraseña antes de utilizar la cuenta en un dispositivo restablecido. Consulte las indicaciones vigentes de Google y vuelva a intentarlo.
5. Contacte con el distribuidor, el operador o el fabricante. Tenga a mano la prueba de compra, el número de serie y el IMEI. Algunos ofrecen un proceso de desbloqueo una vez demostrada la propiedad, y cada uno tiene sus propias reglas.
6. Si ninguna de estas opciones funciona, registre el dispositivo como irrecuperable, retírelo del inventario y aproveche la incidencia para solucionar la deficiencia en su proceso.

Advertencia: No utilice herramientas de omisión de FRP, descargas o «servicios de desbloqueo». Con frecuencia contienen malware, pueden infringir los acuerdos con el fabricante y debilitan la misma protección en la que usted confía en caso de robo del dispositivo.

Resultado esperado: Ha desbloqueado el dispositivo por una vía legítima o lo ha documentado y retirado, y sabe qué paso de la guía de procedimientos se omitió.

Preguntas frecuentes sobre solución de problemas

Eliminamos FRP, pero el dispositivo siguió solicitando una cuenta. ¿Por qué?
En la mayoría de los casos, el dispositivo se restableció localmente otra vez tras el borrado desde la consola, o bien el borrado se envió sin activar el selector. Compruebe también si el dispositivo llegó a recibir el comando de borrado para eliminar FRP. Si estaba desconectado, es posible que el comando nunca haya llegado antes de que alguien lo restableciera de forma manual.

El dispositivo solicita una cuenta, pero nuestros administradores de FRP no funcionan.
Es probable que el dispositivo nunca recibiera la directiva con esos administradores o conserve una lista anterior. Compare cuándo se vio el dispositivo por última vez con la fecha en la que modificó la directiva. Confirme también que la cuenta de administrador no esté suspendida y que pueda acceder a su segundo factor.

¿Zero-touch o Knox Mobile Enrollment eluden FRP?
No. Son métodos de inscripción, no métodos de desbloqueo. Asuma siempre que se debe superar FRP antes de que se pueda realizar una nueva inscripción.

Un trabajador restableció el dispositivo desde Ajustes. ¿Está bloqueado?
Por lo general no, ya que necesitó conocer el bloqueo de pantalla para iniciar el restablecimiento. No obstante, el comportamiento varía según la versión de Android y el fabricante, por lo que conviene confirmarlo en sus propios modelos.

¿Puedo eliminar FRP de forma remota en un dispositivo que ya está bloqueado?
No. Tras el restablecimiento, el dispositivo ya no está inscrito, por lo que ningún comando de la consola llega a él. Siga el orden de recuperación del Paso 6.

¿Deberíamos dejar vacía la lista de administradores FRP para evitar bloqueos?
Eso cambia un problema de proceso por un problema de seguridad. Google documenta que un dispositivo sin administradores FRP indicados no ofrece protección contra el restablecimiento de fábrica, así que un dispositivo robado podría restablecerse y reutilizarse sin más. Mantenga los administradores y corrija el procedimiento.

Puntos clave y próximos pasos

• Controle las llaves. Defina dos cuentas de administrador de FRP pertenecientes a TI mediante directivas y pruébelas en hardware real.
• Los borrados defensivos conservan FRP. Esto incluye borrados por pérdida, robo, no devolución y aplicación de directivas.
• Los borrados administrativos eliminan FRP, y únicamente cuando el dispositivo está en su mesa de trabajo.
• Nunca restablezca localmente en el almacén. Borre siempre desde la consola mientras el dispositivo aún esté inscrito.
• Recupere de forma legítima a través de administradores de FRP, el usuario anterior o el proveedor, y nunca mediante herramientas de omisión.

Como siguiente paso, ejecute los Pasos 2 y 5 de extremo a extremo en un dispositivo de prueba esta semana y añada la guía de procedimientos de dispositivos devueltos a los protocolos estándar de su almacén.

Si gestiona su flota con Nomid MDM, los tres controles en los que se basa esta guía ya están en la consola. Para ensayar el procedimiento antes, el plan gratuito cubre hasta 10 dispositivos sin límite de tiempo, suficiente para su hardware de repuesto antes del despliegue.