FEMITBOT la estafa que se oculta en las Mini Apps de Telegram roba criptomonedas y distribuye malware

Investigadores de ciberseguridad han identificado una operación masiva de fraude que explota la funcionalidad de Mini Apps dentro de Telegram para ejecutar estafas cripto, suplantar marcas reconocidas y distribuir malware para Android. El informe técnico de CTM360 describe una infraestructura reutilizable —a la que los analistas han etiquetado por el indicador "FEMITBOT"— capaz de ofrecer páginas de phishing integradas en la propia experiencia de la app, lo que hace más creíble la estafa y dificulta la detección por parte de usuarios desprevenidos. Esta no es una campaña aislada: es una plataforma multicanal que facilita campañas repetibles y escalables, según el análisis compartido por los investigadores (informe de CTM360).

Las Mini Apps de Telegram son básicamente aplicaciones web ligeras que se ejecutan en el navegador interno de la plataforma y permiten ofrecer pagos, acceso a cuentas o herramientas interactivas sin salir de la app. Esa conveniencia, que Telegram documenta en su guía oficial, también se convierte en riesgo cuando actores maliciosos usan el mismo marco para presentar interfaces fraudulentas con apariencia legítima. Puedes revisar cómo están diseñadas estas Mini Apps en la documentación oficial de Telegram (Telegram Web Apps), para entender por qué su ejecución dentro del WebView es particularmente potente desde el punto de vista del engaño.

En las campañas observadas, el flujo típico comienza con un bot que invita al usuario a pulsar "Start"; el bot lanza una Mini App que carga una página de phishing que parece nativa, muestra saldos falsos o "ganancias", y genera presión mediante temporizadores o ofertas limitadas. Cuando la víctima intenta retirar fondos, se le exige primero un depósito adicional o cumplir tareas de referencia, técnicas clásicas de fraude por adelantado. Además de phishing, algunos de estos Mini Apps empujan descargas de APKs maliciosos o PWAs que suplantan aplicaciones legítimas, lo que introduce un vector de compromiso permanente en dispositivos Android.

Desde el punto de vista técnico, los operadores aprovechan características que reducen las señales de alarma: alojan APIs y APKs bajo los mismos dominios con certificados TLS válidos, usan nombres de archivo cuidadosamente elegidos para las aplicaciones e insertan píxeles de seguimiento de Meta o TikTok para medir conversiones y optimizar campañas. El resultado es una experiencia totalmente integrada y confiable a primera vista —pero controlada por ciberdelincuentes—, que elude muchas heurísticas simples de detección.

Las implicaciones son múltiples. Para usuarios particulares, el riesgo principal es la pérdida económica y la instalación de troyanos que roben credenciales o controlen el dispositivo. Para la plataforma y el ecosistema cripto, estas operaciones erosionan la confianza pública y pueden catalizar regulaciones más estrictas sobre mensajería y pagos dentro de aplicaciones. Para defensores y proveedores de seguridad, la reutilización de infraestructura y las cadenas de dominio facilitadas por estas plataformas hacen que sea más difícil bloquear campañas sin afectar servicios legítimos.

En términos prácticos, hay medidas concretas que todo usuario puede poner en marcha hoy mismo: no interactúe con bots desconocidos que prometan rendimientos rápidos, no descargue ni instale APKs desde enlaces entregados por mensajería, y evite habilitar la instalación desde orígenes desconocidos en Android. Google mantiene recursos sobre los riesgos de instalar apps fuera de tiendas oficiales y cómo gestionar esos permisos en Android (instalar apps de fuentes desconocidas). También conviene verificar siempre canales oficiales de empresas antes de creer una promoción que llega por Telegram y, en el caso de activos cripto, preferir carteras de hardware y contratos oficiales para transferencias.

Plataformas como Telegram tienen margen para mejorar controles: vetado y certificación de Mini Apps, límites más estrictos para bots que redirigen a descargas, análisis automatizado de los paquetes APK alojados, y colaboración proactiva con registradores de dominio y fuerzas de seguridad para tumbar infraestructuras maliciosas. Sin medidas de mitigación a nivel de plataforma, los atacantes seguirán explotando la facilidad de desplegar experiencias web dentro de apps de mensajería.

Para equipos de seguridad y proveedores de contenidos, detectar este tipo de campañas exige mirar más allá de las firmas tradicionales: correlación de dominios que comparten respuestas API idénticas, análisis del contenido de WebViews embebidos, y monitorización de píxeles de tracking en páginas de aparente legitimidad. También es recomendable desarrollar canales rápidos para que usuarios reporten bots sospechosos y que las plataformas actúen con agilidad.

La aparición de FEMITBOT subraya una tendencia mayor: las superficies de ataque migran hacia experiencias integradas que buscan explotar la confianza contextual del usuario. La combinación de ingeniería social, infraestructuras reutilizables y tácticas de monetización (depósitos, afiliados, distribución de malware) convierte a estas operaciones en altamente rentables y difíciles de erradicar. Mantenerse informado, desconfiar de lo que promete dinero fácil y aplicar controles básicos de seguridad en el dispositivo son por ahora las defensas más efectivas contra estas estafas.