Un millón de descargas y ninguna reseña: estafadores aprovechan un punto ciego de Google Play

Un millón de instalaciones, cero reseñas y ni una sola estrella. En Google Play se ha detectado una zona conveniente para estafadores, donde una aplicación puede ganar una audiencia enorme y los usuarios quedan casi desprovistos de la posibilidad de advertirse públicamente unos a otros sobre el fraude.

Se trata del programa Early Access, destinado a probar aplicaciones aún no publicadas. Google permite a los participantes enviar reseñas privadas al desarrollador, pero el resto de visitantes de la tienda no las ve. Ese enfoque protege al producto en desarrollo de calificaciones bajas debido a errores temporales, pero al mismo tiempo elimina una de las principales señales de confianza. Al revisar aplicaciones falsas, los usuarios suelen fijarse precisamente en la valoración, los comentarios y el historial del desarrollador.

Bitdefender examinó las aplicaciones de Early Access instaladas por usuarios de sus productos y encontró miles de programas sospechosos. Entre ellos había pseudo-casinos, juegos que prometen premios en efectivo, lectores de PDF, escáneres QR, rastreadores de teléfonos y otras utilidades. Muchas aplicaciones se promocionan en TikTok y Facebook mediante publicidad agresiva, incluidos deepfakes de celebridades.

El esquema a menudo se basa en la promesa de dinero fácil. Al usuario se le ofrecen pagos a través de PayPal, criptomonedas, tarjetas de regalo, giros gratis o un gran premio. Al principio la aplicación acredita rápidamente recompensas virtuales; luego el progreso se ralentiza drásticamente al acercarse al umbral de retiro. El usuario no recibe el dinero, pero sigue viendo publicidad. Un cálculo similar basado en nombres reconocibles ya fue usado por aplicaciones falsas que se hacían pasar por TikTok, Minecraft y GTA.

Un grupo aparte que Bitdefender denomina «casinos fantasma». Bajo la apariencia de juegos sencillos se distribuyen tragamonedas, rompecabezas y proyectos como Chicken Road o Ice Fishing, donde la publicidad promete multiplicar el dinero invertido. A diferencia de los servicios de juego legítimos, estas aplicaciones pueden no someterse a licencias, verificación de edad u otros trámites propios de los casinos regulados.

Los desarrolladores también usan marcas comerciales populares para atraer tráfico. Los especialistas encontraron al menos dos juegos que durante un tiempo se llamaron Grand Theft Auto V y llegaron a aparecer en los resultados de búsqueda de Google, tras lo cual cambiaron de nombre.

En las fichas mostraban imágenes parecidas a las versiones de GTA para PC y consolas, y más tarde aparecieron imágenes generadas por IA que no reflejaban la jugabilidad. Una de esas aplicaciones superó el millón de instalaciones, pero no tenía reseñas públicas ni valoración. Esquemas basados en la difusión masiva de anuncios ya convirtieron aplicaciones de Android en grandes redes de fraude publicitario.

Bitdefender también detectó numerosos lectores de PDF y escáneres QR prácticamente idénticos, publicados en nombre de distintos desarrolladores. Algunas aplicaciones permanecieron en Early Access durante mucho tiempo y acumularon miles de instalaciones. Los especialistas de Bitdefender reportaron los resultados a Google. La empresa confirmó que está investigando la situación. Mientras el mecanismo de Early Access siga igual, la ausencia de reseñas en una aplicación popular no puede considerarse automáticamente un indicador neutral.

Un problema similar ya permitió a aplicaciones dudosas reunir una audiencia enorme dentro de la tienda oficial. Esta primavera los especialistas de ESET hallaron 28 aplicaciones CallPhantom que prometían acceso a llamadas y mensajes ajenos, pero mostraban información inventada. En conjunto CallPhantom acumuló más de 7,3 millones de instalaciones antes de ser eliminado de Google Play.

La tienda oficial tampoco garantiza la ausencia de código abiertamente malicioso. En abril, una aplicación para leer PDF logró entrar en el top 200 de Google Play, aunque tras la instalación podía descargar el troyano bancario Anatsa. La aplicación cumplía las funciones anunciadas, por lo que pasó mucho tiempo sin despertar sospechas.

Google intensifica activamente la protección automática de la tienda y de Android. Durante 2025 la empresa bloqueó la publicación de 1,75 millones de aplicaciones que infringían las normas de Google Play. El caso de Early Access muestra la otra cara del problema. Incluso sin código malicioso, a una aplicación fraudulenta le basta ocultar la retroalimentación pública, prometer dinero a bombo y platillo y comprar un flujo de anuncios para que las señales habituales de confianza dejen de funcionar.