Google ha procedido a la eliminación de su tienda oficial de aplicaciones de una red de herramientas fraudulentas que logró engañar a más de 7,3 millones de usuarios. Estas aplicaciones atrajeron a sus víctimas mediante promesas falsas que aseguraban brindar acceso a llamadas, mensajes y conversaciones privadas de terceras personas, aprovechando la curiosidad y la falta de conocimiento técnico de los consumidores.
La detección de esta operación fue posible gracias a una investigación realizada por la firma de ciberseguridad ESET, cuyos hallazgos fueron revelados a través de su portal Welivesecurity. Los análisis técnicos permitieron determinar que las aplicaciones no solo simulaban funciones que resultaban imposibles de ejecutar, sino que además representaban un riesgo crítico para la información financiera de aquellos usuarios que accedieron a pagar por los supuestos servicios ofrecidos.
La campaña, identificada bajo el nombre de “CallPhantom”, agrupaba diversas aplicaciones que prometían acceso al historial de llamadas, mensajes SMS y registros de WhatsApp de cualquier número telefónico. Para captar la atención de los usuarios, los desarrolladores utilizaron nombres genéricos y llamativos, como por ejemplo “Call History of Any Number”, posicionando el software como una herramienta de espionaje digital accesible para cualquier persona.
Sin embargo, los especialistas en seguridad fueron enfáticos al aclarar que las funciones promocionadas eran técnicamente imposibles de llevar a cabo de la manera en que se anunciaban. La realidad era que las aplicaciones no realizaban ninguna conexión externa ni hackeo de datos; simplemente generaban resultados falsos diseñados específicamente para convencer a los usuarios de que el sistema funcionaba y así motivarlos a pagar una suscripción.
El mecanismo de engaño estaba estructurado de forma meticulosa. Una vez que el usuario instalaba la herramienta, se le solicitaba ingresar el número telefónico que deseaba investigar. Acto seguido, el sistema iniciaba una simulación de proceso de búsqueda. Al finalizar esta etapa, la aplicación mostraba listas de contactos, horarios y registros que parecían reales, aunque toda esa información había sido precargada o generada de manera aleatoria mediante el código interno de la aplicación.
El objetivo primordial de esta puesta en escena era crear la ilusión de que la herramienta realmente estaba extrayendo información privada. En el momento en que la víctima intentaba acceder al supuesto informe completo, la aplicación bloqueaba el contenido y solicitaba un pago obligatorio. Incluso en los casos donde el usuario abandonaba la aplicación sin realizar el pago, algunas de estas herramientas continuaban enviando notificaciones falsas que simulaban ser correos electrónicos, asegurando que los resultados ya estaban listos para ser desbloqueados.
Otro aspecto alarmante señalado en el informe de ESET fue la gestión de los cobros. Mientras que algunas aplicaciones utilizaban el sistema oficial de pagos de Google, otras desviaban a los usuarios hacia métodos externos que escapaban totalmente del control de la compañía. Entre estos métodos se encontraba UPI, una plataforma de transferencias muy común en India, y formularios internos donde las víctimas debían introducir directamente los datos de sus tarjetas de crédito. Esta última práctica incrementaba drásticamente la exposición financiera y la probabilidad de sufrir fraudes posteriores. Los costos de estas suscripciones inexistentes variaban, pudiendo alcanzar hasta los 80 dólares por acceso.
Tras la alerta emitida por los investigadores, Google eliminó las 28 aplicaciones vinculadas a la campaña “CallPhantom” de la Google Play Store y canceló automáticamente las suscripciones activas procesadas a través de su sistema de facturación.
Este incidente pone de relieve la persistencia de las estafas digitales en las tiendas oficiales. A pesar de que Google cuenta con sistemas automáticos de revisión, los ciberdelincuentes siguen explotando la curiosidad humana mediante promesas de acceso a información sensible. Expertos recuerdan que ninguna aplicación legítima puede ofrecer acceso remoto a comunicaciones privadas sin autorización y recomiendan evitar el ingreso de datos bancarios en plataformas no verificadas. La investigación de Welivesecurity concluye que estas tácticas de manipulación psicológica se están sofisticando, utilizando la urgencia y el deseo de privacidad ajena para monetizar el engaño. Se advierte que campañas similares podrían reaparecer bajo nuevos nombres, por lo que es fundamental revisar los permisos de las apps y descargar software solo de desarrolladores reconocidos.
