Recientemente, se ha descubierto una serie de aplicaciones fraudulentas en la Google Play Store que han engañado a millones de usuarios, particularmente en la región de Asia-Pacífico, prometiendo acceso a registros de llamadas, mensajes de texto y logs de llamadas de WhatsApp de cualquier número. Estas aplicaciones, que hemos denominado CallPhantom, instan a los usuarios a realizar pagos por un servicio que en realidad solo ofrece datos generados al azar, dejando a sus víctimas con la sensación de haber sido estafadas.
Un análisis reveló la existencia de 28 aplicaciones fraudulentas bajo este nombre, que acumularon más de 7,3 millones de descargas en total. Al abordar este problema, se pudo constatar que muchas de estas aplicaciones evadían el sistema de facturación oficial de Google Play, lo que complicaba aún más los esfuerzos de reembolso para los usuarios estafados.
Una investigación inicial fue desencadenada por una publicación en Reddit que mencionaba una de las aplicaciones en cuestión, llamada «Call History of Any Number». El análisis mostró que los datos de «historial de llamadas» ofrecidos por la app eran completamente ficticios; generaban números de teléfono aleatorios y los emparejaban con nombres, tiempos de llamada y duraciones hardcodeados en el código.
A medida que se realizaba la investigación, se reveló que las aplicaciones CallPhantom, diseñadas para explotar la curiosidad humana, presentaban interfaces simples y no requerían permisos invasivos, dado que no tenían la capacidad de acceder a datos reales de llamadas o mensajes. Los métodos de pago empleados variaban, incluyendo suscripciones a través de la facturación oficial de Google Play, pagos en aplicaciones de terceros que utilizan UPI y formularios de pago de tarjeta de crédito directamente en las aplicaciones. Esta variedad de métodos de pago no sólo violaba las políticas de Google, sino que también exponía a los usuarios a un mayor riesgo financiero.
La mayoría de los casos de víctimas reportados se centraban en usuarios en India, donde muchos de los datos generados presentaban códigos de país indios preseleccionados. Tras notificar a Google sobre las aplicaciones fraudulentas, todas fueron retiradas de la tienda.
Para los usuarios que hayan caído en la trampa de estas aplicaciones, es posible cancelar suscripciones adquiridas a través del sistema de facturación de Google Play directamente desde la aplicación Play Store. Sin embargo, aquellos que utilizaron métodos de pago de terceros o ingresaron sus detalles de tarjeta de crédito en las aplicaciones deben comunicarse con los proveedores de pago o los desarrolladores de las aplicaciones para posibles soluciones.
Este episodio pone de manifiesto la importancia de la precaución al descargar aplicaciones y realizar pagos en línea, especialmente cuando se promocionan como capaces de ofrecer acceso a información personal.
Fuente: WeLiveSecurity by eSet.
