Google expulsa de su tienda oficial a una popular aplicación tras descubrir que exponía los datos financieros de sus usuarios

Google eliminó de su tienda oficial de aplicaciones una red de herramientas fraudulentas que engañó a más de 7,3 millones de usuarios con falsas promesas de acceso a llamadas, mensajes y conversaciones privadas de terceros.

La investigación, revelada por la firma de ciberseguridad ESET a través de Welivesecurity, detectó que las aplicaciones no solo simulaban funciones imposibles de realizar, sino que además ponían en riesgo la información financiera de quienes pagaban por sus supuestos servicios.

Las aplicaciones, agrupadas bajo la campaña denominada “CallPhantom”, ofrecían supuestamente acceso al historial de llamadas, mensajes SMS y hasta registros de WhatsApp de cualquier número telefónico. Para atraer víctimas, utilizaban nombres genéricos y llamativos como “Call History of Any Number”, prometiendo una especie de espionaje digital accesible para cualquier usuario.

Sin embargo, especialistas en seguridad aclararon que las funciones promocionadas eran técnicamente imposibles de ejecutar de la forma en que se anunciaban. En realidad, las aplicaciones simplemente generaban resultados falsos para convencer a las personas de pagar una suscripción.

El mecanismo de engaño estaba cuidadosamente diseñado. Una vez instalada la aplicación, el usuario ingresaba un número telefónico y el sistema simulaba un supuesto proceso de búsqueda. Luego aparecían listas de contactos, horarios y registros aparentemente reales, aunque toda la información mostrada había sido precargada o generada aleatoriamente dentro del propio código de la aplicación.

Los investigadores explicaron que la intención era crear la ilusión de que el sistema realmente estaba obteniendo información privada. Cuando la víctima intentaba acceder al supuesto informe completo, la aplicación solicitaba un pago.

Incluso si el usuario abandonaba el proceso sin pagar, algunas de las herramientas enviaban notificaciones falsas simulando correos electrónicos que aseguraban que los resultados ya estaban listos para ser desbloqueados.

El informe también advirtió sobre otro problema grave: la forma en que estas aplicaciones gestionaban los cobros. Algunas utilizaban el sistema oficial de pagos de Google, mientras que otras desviaban a métodos externos que escapaban del control de la compañía.

Entre ellos figuraban sistemas como UPI, una plataforma de transferencias ampliamente utilizada en India, y formularios internos donde las víctimas debían introducir directamente los datos de sus tarjetas de crédito. Este último método aumentaba considerablemente el riesgo de exposición financiera y posibles fraudes posteriores.

Los precios de las supuestas suscripciones variaban dependiendo de la aplicación y podían alcanzar hasta 80 dólares por acceso a informes inexistentes.

Tras recibir la alerta de los investigadores de seguridad, Google eliminó las 28 aplicaciones vinculadas a la campaña “CallPhantom” de la Google Play Store. La compañía también canceló automáticamente las suscripciones activas realizadas mediante su sistema oficial de facturación.

El caso vuelve a poner el foco sobre el crecimiento de las estafas digitales dentro de las tiendas de aplicaciones. Aunque Google mantiene sistemas automáticos de revisión y análisis de seguridad, los ciberdelincuentes continúan encontrando formas de aprovechar la curiosidad de los usuarios mediante falsas promesas relacionadas con el espionaje, la privacidad o el acceso a información sensible.

Expertos en ciberseguridad recuerdan que ninguna aplicación legítima puede ofrecer acceso remoto al historial de llamadas, mensajes o conversaciones privadas de otras personas sin autorización. Además, recomiendan desconfiar especialmente de servicios que prometen funciones invasivas o imposibles, así como evitar ingresar datos bancarios fuera de plataformas oficiales y verificadas.

La investigación de Welivesecurity también revela cómo las tácticas de manipulación psicológica se están sofisticando. En este caso, los desarrolladores aprovecharon el interés de los usuarios por acceder a información privada de terceros para monetizar la curiosidad mediante suscripciones fraudulentas y mecanismos de presión diseñados para generar sensación de urgencia.

Aunque las aplicaciones ya fueron retiradas, especialistas advierten que campañas similares continúan apareciendo regularmente bajo nuevos nombres y diseños. Por ello, recomiendan revisar cuidadosamente los permisos solicitados por las apps, verificar opiniones reales y descargar software únicamente desde desarrolladores reconocidos.

El caso de “CallPhantom” demuestra que incluso dentro de tiendas oficiales como Google Play pueden colarse aplicaciones maliciosas capaces de comprometer tanto la privacidad como la seguridad financiera de millones de personas.