Un WhatsApp falso logró 500.000 instalaciones: la revisión de Google Play no es sello de seguridad

¿Cómo es posible que una copia de una de las apps más populares del mundo reúna medio millón de instalaciones en la tienda en la que te dijeron que confiaras? Es lo que ha pasado con un WhatsApp falso en Google Play. En nuestra opinión, acaba con la idea de que «está en la tienda oficial» equivale a «es seguro».

Qué ha pasado, en breve

Según Techbook, el falso usaba el mismo icono y el mismo nombre que el original. Al parecer, también copió las capturas de pantalla y el texto de la descripción. La pista estaba en el campo del desarrollador: ponía «Agment Assets sallu» en lugar de WhatsApp LLC. Mashable India, citando a Android Authority, añade que la ficha tenía solo un mes de antigüedad. El desarrollador no había publicado nada más, y la app real supera los 10.000 millones de descargas.

Hay dos detalles que lo empeoran. Capturas compartidas en Reddit sugieren que el falso aparecía como resultado patrocinado en las búsquedas de algunos usuarios. Y, según se cuenta, usaba el programa de acceso anticipado de Google Play, donde las reseñas públicas están desactivadas. Así, las víctimas no podían avisar a nadie. Lo que la app hace realmente con los datos no se explica en las informaciones que hemos visto.

La culpa se reparte, pero no a partes iguales

Los usuarios deben comprobar el nombre del desarrollador. Es un hábito de diez segundos y aquí habría destapado el fraude. Quien instala una app llamada WhatsApp de un editor que nadie conoce asume un riesgo. Aun así, no creemos que culpar a los usuarios sea una respuesta satisfactoria. Quien busca WhatsApp espera que la tienda ponga WhatsApp primero. Un hueco patrocinado parece un aval, aunque nadie lo pretendiera.

Por cierto, el falso no aparecía en todas las búsquedas. Según Mashable, a veces la app real salía primero. Creemos que eso hace la trampa más difícil de detectar, no más fácil. Dos personas pueden buscar lo mismo y obtener resultados distintos. Entonces nadie puede decir con seguridad: «Lo miré y estaba bien».

Google tiene la responsabilidad mayor, porque controla las tres cosas que hicieron funcionar la estafa. Vende el espacio publicitario. Gestiona la revisión que dejó pasar la ficha. Y diseñó un programa que oculta las reseñas de las apps nuevas. Cada una de esas funciones es razonable por separado. Combinadas, dieron a una cuenta nueva y desconocida un escenario, un altavoz y un botón de silencio para sus críticos. Mashable también señala que Bitdefender ya había advertido de que las apps de acceso anticipado no ofrecen necesariamente reseñas que ayuden a los usuarios a juzgar si una app es legítima. El riesgo era conocido.

Verificar al editor, al menos con las grandes marcas

No es un caso aislado. Mashable apunta que un Chrome falso fue descargado, según se informa, más de 100.000 veces y retirado apenas unos días antes. Cuando el mismo truco funciona dos veces en pocos días, hablamos de un patrón.

Nuestra propuesta es sencilla. Si una app usa el nombre o la marca de una gran empresa, la tienda debería comprobar que el editor es esa empresa antes de publicar la ficha. También antes de permitir cualquier anuncio sobre ese nombre. Parece factible y barato comparado con el daño. Las apps de acceso anticipado que imiten a una marca conocida podrían, además, tener prohibido ocultar las reseñas, o al menos mostrar un aviso destacado.

No podemos decir cómo son los controles internos de Google. Pero una ficha que se mantuvo más de un mes y reunió 500.000 instalaciones sugiere que aquí no funcionaron. Un puñado de nombres, como WhatsApp o Chrome, concentra una parte enorme de lo que la gente busca. Proteger esos nombres es el trabajo de seguridad más rentable que puede hacer una tienda. Y también el más fácil de medir.

Qué hacer ahora

Comprueba que el desarrollador sea WhatsApp LLC antes de instalar. Trata los resultados patrocinados y los editores desconocidos como señales de alerta. No tomes el número de descargas como prueba de legitimidad. Si instalaste el falso, desinstálalo y descarga la app real. El consejo es sensato, pero no debería ser la única línea de defensa. Nuestro veredicto: los usuarios deben estar alerta, y Google debe dejar de tratar la verificación de identidad como algo opcional para las marcas que todo el mundo intenta imitar.