Las aplicaciones Android engañosas aprovechan el acceso anticipado de Google Play para ocultar las advertencias de los usuarios

Miles de aplicaciones Android engañosas están abusando del programa de acceso anticipado de Google Play para atraer instalaciones sin exponer a los usuarios a reseñas públicas ni a valoraciones con estrellas. La actividad, detectada el 10 de septiembre de 2026, se basa en anuncios engañosos en redes sociales, recompensas inventadas y, en algunos casos, recomendaciones de celebridades generadas mediante IA.

Los investigadores de Bitdefender descubrieron que, por lo general, las aplicaciones se comportan más como trampas publicitarias que como malware convencional. Prometen dinero en efectivo, transferencias de PayPal, criptomonedas, tarjetas regalo, premios de casino o contenido prémium, pero mantienen a los usuarios viendo anuncios en lugar de entregar los beneficios anunciados.

La escala es considerable. Algunas fichas han acumulado miles de instalaciones, mientras que, según los informes, un imitador de Grand Theft Auto superó el millón de descargas antes de desaparecer de Google Play.

El acceso anticipado elimina una señal de reputación fundamental

Google Play Early Access está diseñado para aplicaciones aún no publicadas que sus desarrolladores quieren que los usuarios prueben antes del lanzamiento completo. Los probadores pueden enviar comentarios directamente a los desarrolladores, pero no pueden publicar las reseñas, valoraciones ni advertencias disponibles en las fichas normales del marketplace.

Los desarrolladores engañosos están convirtiendo esa restricción en una ventaja.

Una aplicación fraudulenta o engañosa puede acumular instalaciones sin mostrar los comentarios negativos que normalmente alertarían a los posibles usuarios. La ausencia de reseñas no significa que nadie haya tenido problemas. En Early Access, es una consecuencia del diseño del programa.

Bitdefender identificó un gran número de fichas sospechosas en varias categorías, entre ellas juegos de casino, aplicaciones que ofrecen recompensas en efectivo, juegos casuales, lectores de PDF, escáneres de códigos QR, rastreadores de teléfonos y utilidades generales. Algunas utilizan marcas reconocibles o imitan juegos comerciales consolidados.

La técnica también dificulta las comprobaciones básicas que puede realizar un consumidor. Un usuario que siga un anuncio hasta Google Play puede encontrarse con lo que parece una página oficial del marketplace, pero no podrá consultar las experiencias de usuarios anteriores antes de instalar el software.

No se ha identificado ninguna versión concreta del sistema operativo Android como afectada. No se trata de una vulnerabilidad del código de Android vinculada a una versión específica, sino del abuso de una función de distribución de Google Play. No se aplica ningún CVE, puntuación CVSS ni entrada del catálogo CISA Known Exploited Vulnerabilities a la actividad descrita.

Los anuncios en redes sociales alimentan un ciclo de ingresos publicitarios

Las campañas comienzan fuera de Google Play. Los operadores compran o distribuyen anuncios en TikTok, Facebook y otras redes sociales, con promesas de recompensas económicas fáciles para dirigir a los usuarios hacia fichas de Early Access.

Entre las ofertas habituales se encuentran pagos de PayPal, ganancias en criptomonedas, tarjetas regalo, tiradas gratis en casinos y premios mayores. Algunas promociones incluyen vídeos sintéticos de deportistas, actores u otras figuras públicas. Estos deepfakes crean la apariencia de una recomendación que la celebridad nunca realizó.

Otros anuncios muestran a usuarios aparentemente corrientes que afirman haber ganado dinero. La técnica de persuasión subyacente es la misma: presentar la aplicación como una forma sencilla de obtener una recompensa tangible.

Una vez instalada, la aplicación puede conceder grandes cantidades de moneda virtual durante las primeras fases. Cuando el saldo mostrado se acerca al umbral mínimo de retirada, el progreso se ralentiza drásticamente, aparecen nuevas condiciones o la función de cobro deja de funcionar.

Los anuncios continúan apareciendo durante todo el proceso. Cada sesión adicional, transición entre pantallas o intento de obtener una recompensa genera más oportunidades para mostrar anuncios y producir ingresos para el operador.

La atención del usuario es el activo que se monetiza. No existe ningún pago confirmado.

Las plataformas sociales pueden retirar promociones concretas, pero la infraestructura es fácil de recrear. Los desarrolladores pueden publicar otra ficha, cambiar un título o lanzar nuevos anuncios dirigidos a una audiencia diferente.

Las aplicaciones de casino ocultan su finalidad para eludir los controles

Las aplicaciones con temática de casino constituyen una parte destacada de la operación. Los productos de apuestas legítimos pueden estar sujetos a licencias, restricciones geográficas, verificación de edad y otros controles regulatorios, según el lugar donde operen.

Las fichas engañosas intentan esquivar esas barreras presentándose como juegos de puzles normales, entretenimiento casual con tragamonedas o utilidades sin relación. Algunas dirigen a los usuarios a una aplicación de Early Access, mientras que otras los envían a un sitio web de apuestas externo.

Estas llamadas aplicaciones de casino fantasma no ofrecen necesariamente apuestas funcionales. Algunas existen principalmente para mostrar anuncios, mientras que otras utilizan imágenes de apuestas y prometen ganancias para mantener a los usuarios implicados.

Dos temas recurrentes son «Chicken Road», protagonizado por un pollo de dibujos animados que recorre una ruta peligrosa, e «Ice Fishing», presentado como un juego de casino con crupier en directo y ritmo acelerado. También han aparecido variantes de ambos nombres.

Las implicaciones regulatorias dependen de lo que ofrezca realmente cada aplicación y del lugar donde se distribuya. Los hallazgos disponibles no demuestran que todas las aplicaciones incluidas ofrezcan apuestas con dinero real ni que sus operadores hayan cometido un delito concreto. Sí documentan, sin embargo, una presentación engañosa y los intentos de atraer a los usuarios con beneficios que no llegan a entregarse.

La indexación en buscadores y el abuso de marcas hacen que las fichas parezcan legítimas

Algunos responsables de las subidas aprovechan los cambios en los metadatos de las aplicaciones después de que una ficha haya entrado en los resultados de Google Search. Una aplicación puede aparecer inicialmente con un nombre reconocible, como «Grand Theft Auto V (Early Access)», ganar visibilidad en las búsquedas y cambiar de nombre posteriormente.

Su nuevo título, las capturas de pantalla y la funcionalidad anunciada pueden tener poco que ver con el software que finalmente reciben los usuarios. Los investigadores también encontraron capturas que parecían generadas mediante IA en lugar de haber sido tomadas de partidas reales.

Una imitación destacada se llamaba «Vice Streets: Open World». Su identificador de paquete Android era:

com.gamblechaos.withfriends.game

Según los informes, la aplicación superó el millón de descargas y no tenía reseñas ni valoraciones públicas. Ya no está disponible a través de Google Play, aunque no se sabe si Google la retiró o si el responsable de la subida la eliminó. La distribución y el estado de la aplicación en el marketplace no demuestran que contuviera malware.

Las marcas reutilizadas ayudan a que las fichas engañosas se apropien de la credibilidad de marcas consolidadas. Mientras tanto, la etiqueta Early Access justifica la ausencia de comentarios de la comunidad y permite que la ficha parezca simplemente inacabada, en lugar de potencialmente engañosa.

Google no ha anunciado ninguna medida correctiva específica para las campañas identificadas. Tampoco se ha confirmado ninguna acción de cumplimiento más allá de la desaparición de fichas concretas.

Las aplicaciones son engañosas, pero no se ha confirmado que sean malware

Las aplicaciones de Early Access observadas no deben confundirse con troyanos de acceso remoto para Android, malware bancario o ransomware. Los investigadores no han confirmado el robo de credenciales, la exfiltración de datos, la toma de control de dispositivos ni comportamientos destructivos en esta operación concreta.

Los hallazgos de Bitdefender apuntan, en cambio, a un fraude publicitario a gran escala y a una monetización engañosa. Los investigadores describieron la ausencia de un sistema público de reseñas como la pérdida de una defensa importante para los usuarios frente al software sospechoso.

Otras amenazas para Android mencionadas junto con la investigación —entre ellas Hagaseca, Mantax Otax, StreamRat y la campaña Gigabud de GoldFactory— corresponden a operaciones distintas. No existe ninguna conexión técnica demostrada entre esas familias de malware y las aplicaciones de Early Access.

La distinción es importante para los equipos de defensa. Eliminar una aplicación de recompensas cargada de anuncios resuelve la molestia inmediata, pero indicadores como la activación no autorizada de Accessibility Service, el uso inesperado de MediaProjection, perfiles de trabajo inexplicables o el control remoto de la pantalla apuntan a un compromiso diferente y más grave.

La actividad de Early Access sigue causando daños relevantes. Los usuarios pueden perder tiempo, consumir datos móviles, exponerse a servicios de apuestas no regulados o tomar decisiones basadas en recomendaciones inventadas. La repetición de fichas engañosas también debilita la confianza en los controles del marketplace de Google Play.

Cómo pueden reducir la exposición los usuarios y las organizaciones

Los usuarios deben tratar las aplicaciones de Early Access promocionadas mediante anuncios de recompensas económicas como no confiables hasta que se verifiquen de forma independiente. Una ficha de Google Play confirma dónde se distribuye una aplicación, no que sus afirmaciones sean auténticas.

Antes de instalarla, los usuarios deben comparar el nombre del desarrollador, el identificador de paquete, las capturas de pantalla, la descripción y la titularidad de la marca que se atribuye. Las discrepancias entre el anuncio, la ficha y la aplicación instalada son motivos suficientes para eliminar el software y denunciarlo.

Las ofertas de ingresos fáciles a través de PayPal, criptomonedas, tarjetas regalo, premios mayores o tiradas gratis merecen una atención especial. Que el saldo virtual aumente no demuestra que los fondos puedan retirarse.

Los vídeos de celebridades también deben considerarse potencialmente sintéticos. La aparición de un rostro conocido en un anuncio de redes sociales no demuestra que exista una recomendación ni que el contenido sea auténtico.

Las organizaciones que gestionan flotas Android pueden bloquear o restringir las instalaciones de Early Access en los dispositivos corporativos. También deben revisar la telemetría móvil para detectar aperturas repetidas de anuncios, redirecciones del navegador y aplicaciones inesperadas asociadas a desarrolladores desconocidos.

Los equipos de seguridad deben investigar por separado las señales de mayor riesgo, entre ellas los servicios de Android Debug Bridge expuestos, los permisos de Accessibility no autorizados, la actividad de captura de pantalla, la clonación de perfiles de trabajo y los comportamientos inexplicables de control remoto. Estas no son características confirmadas de las aplicaciones engañosas de Early Access, pero pueden indicar la presencia de otro tipo de malware para Android.

Los usuarios que encuentren aplicaciones engañosas deben denunciar tanto la ficha de Google Play como el anuncio que los condujo hasta ella. Interrumpir solo uno de los dos canales deja disponible el otro para reutilizarlo.