Más de 400 apps que parecían inocentes ocultaban un generador de deepfakes sexuales, según una investigación

Una investigación de Wired detectó una red de más de 400 apps y sitios web que simulan ser herramientas comunes, como un editor de fotos de mascotas, pero que en ciertas condiciones permiten crear con IA imágenes y videos sexuales falsos a partir de fotos que sube el usuario.

Entre las escenas disponibles figuran algunas de violencia sexual. Las apps se anunciaban como servicios cotidianos: clases de idiomas, entrenadores de ejercicio con IA o retratos de mascotas. Una de ellas, Viefur, vende monedas digitales (unos USD 4 por 130 monedas) para convertir fotos de animales en retratos con ropa humana.

La red usa un mecanismo de doble cara. Cada vez que alguien descarga una app, esta consulta a un servidor con datos como el origen del usuario, el idioma y un identificador único. El servidor responde si debe mostrar la versión inofensiva o una interfaz web con plantillas pornográficas, explicó el investigador Paul Bouchaud, de la organización AI Forensics, que analizó el código.

Bouchaud dijo que no hay una lista clara de los motivos por los que un usuario ve una versión u otra. Uno de los disparadores parece ser descargar la app después de hacer clic en un anuncio de Meta. La interfaz oculta permite comprar “diamantes” para generar contenido y enlaza a cuentas de redes sociales donde contactar a los desarrolladores.

Cómo se descubrió la red y cuánto creció

Los investigadores llegaron a las apps al seguir los enlaces de miles de anuncios en video con deepfakes explícitos publicados en Facebook e Instagram. Según la fuente, cientos de esos anuncios contenían material de abuso sexual infantil generado con IA, con imágenes de niños reales y de un integrante de una familia real europea. Los anuncios llegaron a decenas de miles de personas.

Katie Paul, directora del Tech Transparency Project, la organización que descubrió esos anuncios, afirmó que violan varias políticas de Meta. “No hay duda sobre lo que se ve ni sobre lo que la app anuncia”, dijo. Paul sostuvo que las empresas deben explicar adónde va el dinero que generan las apps.

El código de los sitios web reveló el tamaño de la operación. Un archivo de programación contiene la lista completa de dominios y apps, con claves de cifrado y rastreadores de publicidad de Facebook. Maël Le Touz, investigador de la empresa de seguridad Infoblox, identificó casi 500 dominios vinculados. “Todos ejecutan el mismo código y se referencian entre sí”, afirmó.

Según el análisis de Bouchaud, las apps empezaron a aparecer hacia fines de 2025 y tuvieron un pico en la primavera de este año, con unos 30 sitios y apps registrados por semana. En septiembre había 27 activas en Google Play, con más de 350.000 descargas en conjunto. Muchas estaban clasificadas como aptas para todas las edades.

La más popular, DiffAI, se creó en diciembre de 2025 y superó las 100.000 descargas en Google Play. Un usuario escribió en su reseña que contenía plantillas para crear material de abuso sexual infantil y que no verificaba la edad. Google la retiró poco antes de que Wired la consultara.

Qué respondieron las empresas

Apple eliminó 19 apps de su tienda, entre ellas Viefur, después de que los investigadores le enviaran los dominios. El portavoz Adam Dema dijo que las apps cumplían las reglas cuando se revisaron y que sus desarrolladores cambiaron después el sitio del que la app toma el contenido. Según Apple, en el último año suspendió decenas de miles de apps por esa táctica.

Google no respondió a las consultas, aunque había retirado la mayoría de las apps antes del contacto. Meta señaló que vetó a KeLing Technology Limited como anunciante en 2025 por no cumplir una carta de cese y desistimiento, y que la empresa siguió intentando publicar anuncios por otras vías.

Tras recibir los más de 400 dominios, Meta dijo que actuó contra 11.600 cuentas publicitarias, más de 4.700 páginas de empresas, 5.200 usuarios y 15.000 páginas, y que bloqueó 209 apps para que no se anuncien en sus plataformas. Una portavoz de Meta afirmó que los responsables recurren a nombres falsos y anuncios de apariencia benigna.

Quién está detrás de esta operación criminal

Los investigadores atribuyen la operación a desarrolladores chinos y a una entidad registrada en Hong Kong, KeLing Technology Limited. Le Touz señaló que el alojamiento es chino, el código tiene comentarios en ese idioma y los videos de los anuncios llevan marcas de agua de programas de edición chinos. La empresa no respondió a los pedidos de comentario.

Después del contacto de Wired, alguien renombró canales de redes sociales vinculados, quitó direcciones de correo de KeLing del sitio de un modelo llamado Veyra y borró el domicilio de la empresa del primer sitio registrado. Al terminar la nota, Wired comprobó que seguían publicándose anuncios y apps similares.