La estafa en Google Play que promete historiales de llamadas y roba a millones

Investigadores de ciberseguridad han destapado una campaña masiva de aplicaciones fraudulentas en Google Play que prometían, sin fundamento técnico alguno, mostrar historiales de llamadas, SMS y registros de WhatsApp para cualquier número a cambio de una suscripción. El engaño no utilizaba permisos invasivos ni malware complejo: bastaba una interfaz simple y la promesa de datos “mágicos” para convencer a millones de usuarios, en particular en India y la región Asia-Pacífico.

Según los análisis públicos de la investigación, estas aplicaciones entregaban información inventada incrustada en su propio código y empujaban al usuario a pagar mediante tres vías: la facturación oficial de Google Play, pasarelas de pago UPI integradas en apps de terceros, o formularios de tarjeta dentro de la app. La combinación de una falsa apariencia oficial —incluso publicando desarrolladores con nombres que imitaban instituciones públicas— y métodos de cobro difíciles de reembolsar amplificó el fraude.

Más allá del impacto económico directo en quienes pagaron suscripciones que no entregaron nada real, hay una lección de seguridad importante: la ausencia de permisos sensibles no garantiza que una app sea segura o legítima. Muchas víctimas confiaron en la tienda oficial y en reseñas infladas; otras fueron atraídas por mensajes en redes y WhatsApp que simulaban autoridad. El hecho de que algunos cobros se hicieran mediante apps de pago populares complicó el acceso a reembolsos cuando las transacciones no pasaron por Google Play.

Este caso conecta con otras campañas que usan ingeniería social y suplantación de marcas para robar datos y dinero. Firmas de seguridad han documentado operaciones más agresivas que combinan phishing, APKs fuera de la tienda y malware capaz de exfiltrar información y autorizar transferencias. El riesgo real no es sólo la estafa puntual, sino la puerta que se abre a fraudes más sofisticados y al robo de cuentas financieras.

Si crees que pudiste haber sido afectado, toma medidas inmediatas: elimina las apps sospechosas, comprueba y cancela cualquier suscripción desde tu cuenta de Google Play, revisa los extractos bancarios y solicita reversión de cargos cuando proceda; para pagos fuera de Google Play contacta con el proveedor del pago (UPI, app financiera, banco) y denuncia la operación. Cambia contraseñas y activa la verificación en dos pasos en tus cuentas más sensibles, y vigila comunicaciones inusuales que pidan datos o códigos.

Para reducir la exposición a este tipo de fraudes, verifica siempre el desarrollador y las reseñas con criterio, desconfía de promesas que suenan imposibles (como “historial de llamadas de cualquier número”), evita instalar apps que no sean populares o verificadas y limita la instalación de apps desde fuera de Google Play. En entornos corporativos, controles como la gestión de dispositivos móviles (MDM), políticas que deshabiliten el sideloading y formación continua para empleados son medidas efectivas para mitigar riesgo.

El problema también tiene un componente regulatorio y de plataforma: las tiendas y los procesadores de pago deben reforzar la detección de fraudes, la validación de desarrolladores y los mecanismos de reembolso para proteger a usuarios vulnerables. Mientras esas mejoras se implementan, los usuarios necesitan mayor escepticismo y herramientas de protección activas, como Google Play Protect y la supervisión de movimientos financieros.

Si quieres profundizar en la naturaleza de estas campañas y recomendaciones técnicas, consulta los análisis de empresas de seguridad y las políticas de la tienda: WeLiveSecurity (ESET) ofrece informes sobre fraude móvil y tendencias, y Group‑IB documenta campañas que combinan phishing y malware para robo financiero. Para dudas sobre reembolsos y compras en Google Play, la propia documentación de Google explica procedimientos y derechos de los usuarios en su centro de ayuda: Política y solicitudes de reembolso de Google Play.