Para saber si una app de Play Store es segura antes de instalarla, revisa quién la publica y con qué nombre de paquete. Comprueba también si sus descargas cuadran con sus reseñas, qué dicen las valoraciones de una a tres estrellas, qué permisos pide y si Play Protect está activo. Lleva menos de cinco minutos.
Estar en la tienda oficial no garantiza nada. Un clon de Chrome y otro de WhatsApp se colaron en Google Play y sumaron entre los dos más de 600.000 descargas. Este es el método, paso a paso, para no caer en una trampa así.
Por qué Google Play deja pasar apps peligrosas
Para publicar en Google Play, el desarrollador crea una cuenta en Play Console y paga una cuota de 25 dólares. Después rellena la ficha, declara qué datos recoge la app, le asigna una clasificación de contenido y pasa una revisión. Suena exigente, pero el proceso tiene agujeros que los estafadores conocen bien.
El más grave está en la sección Seguridad de los datos. La rellena el propio desarrollador, y Google reconoce que su revisión no está diseñada para verificar que esas declaraciones sean ciertas. Además, buena parte del análisis es automático, incluso en categorías sensibles como finanzas o salud. Una persona solo interviene cuando el sistema lo considera necesario.
Hay un tercer hueco: la revisión examina el archivo que se sube, no lo que la app descarga después. Una app inofensiva el día en que se aprueba puede convertirse en un troyano semanas más tarde. Y el problema viene de lejos: en 2012, un Super Mario Bros. falso y una copia de Grand Theft Auto estuvieron más de dos semanas en la tienda. El filtro final eres tú.
Paso 1. Llega a la app desde su web oficial
El clon más peligroso es el que aparece primero. Algunas copias imitan el icono y el nombre al milímetro, y hasta salen como resultado patrocinado en el buscador de la tienda, por encima de la original.
La forma más sencilla de esquivarlo es no buscar. Abre la web oficial del servicio (tu banco, tu compañía de luz, la red social) y pulsa su botón de Google Play. Ese enlace lleva a la ficha legítima. Si prefieres buscar dentro de la tienda, desconfía de los resultados marcados como anuncio y haz la comprobación del paso siguiente antes de tocar Instalar.
Paso 2. Comprueba el desarrollador y el nombre de paquete
El nombre del desarrollador es la primera pista. Aparece debajo del nombre de la app en la ficha. También lo encontrarás si tocas Acerca de esta app y bajas hasta el final de la información.
Tócalo para abrir su perfil y ver qué más ha publicado. Chrome es de Google LLC, con un catálogo enorme detrás. El clon de Chrome venía de un desarrollador llamado Hizbartech. Si el perfil tiene una sola app, no enlaza a ninguna web o tiene un historial muy reciente, toca ser más prudente, sobre todo si la app dice ser de una marca conocida.
Despliega también Contacto del desarrollador. Ahí deberían aparecer una web, un correo y una política de privacidad. Fíjate en que el correo use el dominio de la empresa y no una cuenta gratuita genérica. Abre también el enlace de la política: a veces lleva a una página vacía, rota o que no tiene nada que ver con la app.
El nombre de paquete no se puede falsificar
Cada app de Google Play tiene un identificador interno, el nombre de paquete. Es único: Google no permite que dos apps compartan el mismo, y el desarrollador no puede cambiarlo una vez fijado. Un clon puede copiar el icono y el título, pero no el identificador. Lo que hacen los estafadores es inventarse uno distinto y confiar en que nadie lo mire.
Para verlo, abre la ficha de la app, pulsa el menú de los tres puntos, elige Compartir y copia el enlace. El nombre de paquete es lo que aparece detrás de id=. El WhatsApp auténtico es com.whatsapp. El clon usaba com.AgmentAssetssallu.DeadPixelTriPulse, que no se parece en nada. En las apps que ya tienes instaladas, muchos móviles muestran este dato en Ajustes > Aplicaciones, dentro de la información de cada una.
Paso 3. Compara descargas, reseñas y antigüedad
Las cifras de la ficha cuentan una historia, y en los clones casi nunca cuadra. El WhatsApp auténtico existe desde 2010, supera los 10.000 millones de descargas y acumula cientos de millones de reseñas. El falso mostraba más de 500.000 descargas, ninguna reseña y ninguna valoración.
Esa desproporción es la señal clave. Imagina una app que pasa a cientos de miles de descargas en pocas semanas sin que casi nadie la valore. Lo más probable es que esas instalaciones se hayan comprado con publicidad, no que la gente se la esté recomendando. Compara las descargas con el número de reseñas y mira la fecha de publicación en Acerca de esta app.
Si no necesitas la app ya, esperar unas semanas también te protege. Una app nueva no ha tenido tiempo de acumular quejas ni de que la denuncien, y hay malware que se queda dormido un tiempo antes de actuar.
Cuidado con el acceso anticipado
Las apps en Acceso anticipado llevan esa etiqueta y no muestran reseñas públicas. Google lo hace para que el desarrollador pueda corregir fallos sin que le hundan la nota, y por eso los comentarios le llegan en privado. Los estafadores aprovechan esa opción para que nadie pueda avisar en público. Si ves acceso anticipado, un desarrollador desconocido y permisos raros, pasa de largo.
Paso 4. Lee las reseñas que el estafador no quiere que leas
Las valoraciones son una de las métricas más manipuladas de cualquier tienda de apps, y ya se generan reseñas falsas en masa con inteligencia artificial. La firma DoubleVerify detectó en 2024 más del triple de apps con reseñas falsas escritas por IA que en el mismo periodo de 2023. Google, por su parte, llegó a bloquear 160 millones de valoraciones y reseñas spam en un solo año.
Las falsas suelen ser de cinco estrellas, genéricas y exageradas, del estilo «la mejor app, funciona perfecto». Por eso conviene filtrar y leer las de una a tres estrellas. A quien paga por reseñas no le interesa escribirlas, porque bajan la nota. Ahí suele estar la verdad: suscripciones que nadie pidió, anuncios a pantalla completa, peticiones de datos o una app que no hace lo que promete.
Otras pistas: textos casi idénticos firmados por usuarios distintos, muchas reseñas positivas concentradas en pocos días y un desarrollador que nunca responde a las quejas. Los que contestan a sus usuarios suelen ser más fiables.
Paso 5. Revisa los permisos antes de instalar
No hace falta instalar la app para saber qué te va a pedir. En la ficha, toca Acerca de esta app, baja hasta Permisos de la aplicación y pulsa Ver más. Verás todos los permisos agrupados por categorías: ubicación, cámara, micrófono, contactos, SMS y demás.
Para cada uno, la pregunta es la misma: ¿lo necesita para hacer lo que dice? Una linterna no necesita tus contactos, un lector de PDF no necesita tus SMS y un juego de puzles no necesita saber si estás en una llamada. Revisa con calma el grupo de otros permisos que aparece al final de la lista, porque ahí suelen esconderse los más delicados.
Completa la revisión con la sección Seguridad de los datos de la ficha, que indica qué datos dice recoger y compartir la app. Recuerda que es una declaración del propio desarrollador. Si asegura no recoger nada pero pide acceso a medio teléfono, esa contradicción ya es una respuesta.
Paso 6. Desconfía de apps diminutas, mal escritas o abandonadas
El tamaño también da pistas. Algunas apps maliciosas son poco más que un envoltorio: una carcasa que muestra una web dentro de la app. Una vez instalada, descarga el código peligroso haciéndolo pasar por una actualización o un complemento. Así llegó a usuarios de Google Play el troyano bancario Anatsa, escondido en lectores de PDF y gestores de archivos de aspecto inofensivo. Si una app promete muchas funciones y pesa sospechosamente poco, investiga más.
La descripción es otro buen filtro. Las empresas serias cuidan su ficha porque se juegan la reputación; los estafadores, no tanto. Faltas de ortografía, frases traducidas a máquina, textos vagos que no explican qué hace la app o capturas que no encajan con el nombre son motivos para parar. Un truco útil es leer la descripción frase a frase y en voz alta. Al leer rápido, el cerebro corrige los errores sin que te des cuenta.
Por último, mira la fecha de la última actualización. Una app que lleva años sin actualizarse puede arrastrar fallos de seguridad que nadie va a corregir.
Paso 7. Comprueba los rastreadores con Exodus Privacy
Si quieres ir un paso más allá, busca la app en Exodus Privacy. Es una organización sin ánimo de lucro que publica su código en GitHub para que cualquiera lo revise. Su herramienta descarga las apps de Google Play, lee sus permisos y compara su código con una lista de rastreadores conocidos. No hace falta registrarse ni instalar nada: escribes el nombre de la app o su nombre de paquete y consultas el informe.
Si un juego sencillo lleva una docena de rastreadores publicitarios, ya sabes de qué vive. Eso sí, Exodus solo reconoce los rastreadores de su lista y se le pueden escapar los nuevos o los hechos a medida. Úsalo como una comprobación más, no como un veredicto.
Paso 8. Mantén Play Protect activado, pero no te fíes solo de él
Play Protect es el sistema de Google que analiza las apps antes de descargarlas y revisa de forma periódica las que ya tienes, incluidas las instaladas desde fuera de la tienda. Viene activado por defecto, pero conviene comprobarlo. Abre Google Play, toca tu foto de perfil, entra en Play Protect y pulsa la rueda de ajustes. Desde ahí puedes activar también Mejorar la detección de aplicaciones dañinas, que envía a Google las apps instaladas desde fuentes externas para que las analice.
Es una buena red de seguridad, y puede desactivar o eliminar por su cuenta las apps que detecta como dañinas. Aun así, los clones de Chrome y WhatsApp demuestran que no lo ve todo. Si quieres una capa extra, hay antivirus para Android que analizan cada app al instalarla, aunque ninguno sustituye a los pasos anteriores.
Lista rápida antes de pulsar Instalar
- Has llegado desde la web oficial o has comprobado el nombre de paquete.
- El desarrollador tiene un perfil coherente, con web y correo de dominio propio.
- Las descargas cuadran con el número de reseñas y con la antigüedad de la app.
- Las reseñas de una a tres estrellas no hablan de cobros, estafas ni robo de datos.
- Los permisos tienen sentido para lo que hace la app.
- No está en acceso anticipado con un desarrollador desconocido.
- Play Protect está activo.
Si fallan dos o más puntos, no la instales. Y si algo te da mala espina aunque todo cuadre, hazle caso: hay alternativas para casi cualquier app.
Qué hacer si ya la has instalado y tienes dudas
Antes de borrarla, entra en Ajustes > Aplicaciones y revisa qué permisos le concediste, para saber a qué ha tenido acceso. Después, desinstálala. Si llegaste a escribir en ella contraseñas, datos bancarios o el número de tu tarjeta, cambia esas claves desde otro dispositivo y avisa a tu banco.
Por último, denúnciala para que no caiga nadie más. En su ficha de Google Play, abre el menú de los tres puntos y elige Marcar como inapropiada. Si quieres ver casos reales de cómo se cuelan estas apps, tenemos recopiladas 20 aplicaciones de phishing encontradas en Play Store. Y si tu Samsung trae de fábrica apps que no reconoces, aquí te explicamos cómo eliminar apps preinstaladas de un móvil Samsung.
:)