La semana pasada un lector me escribió con una captura de pantalla y una pregunta sencilla: „¿esto es lo que usáis vosotros?“. En la imagen se veía un formulario de acceso idéntico al de AFKspin, con el logo, los colores y hasta el mismo mensaje de bienvenida. El problema es que la URL no era la oficial y el archivo se lo había pasado un „grupo de Telegram de pronósticos“. Le costó veinte minutos darse cuenta, y eso con suerte. Os cuento cómo lo detecté, qué señales concretas delataban el clon y por qué el episodio confirma algo que repito mucho: la única app AFKspin que existe de verdad se abre en el navegador del teléfono, no se instala desde un archivo suelto.
El APK que imitaba la interfaz y pedía usuario y contraseña en una webview sin barra de direcciones
El archivo en cuestión se llamaba algo así como „AFKspin_App_v3.2.apk“ y pesaba unos 18 MB, una cifra razonable para que nadie sospeche. Lo instalé en un Android de pruebas con el perfil de trabajo, aislado de mis cuentas reales. Al abrirlo, la pantalla de carga mostraba el logotipo correcto y un spinner que duró tres segundos exactos, el tiempo justo para que el usuario relaje la guardia. Después apareció un formulario de login con dos campos y un botón verde.
Ahí estaba la primera pista gorda. La aplicación nativa no existía, porque AFKspin no dispone de aplicación nativa en las tiendas oficiales. Ni App Store ni Google Play Store tienen una ficha legítima del operador. Cualquier APK que se presente como „la app oficial“ está mintiendo por definición, aunque el diseño sea perfecto. El clon había copiado la estética de la PWA, pero la había metido dentro de una webview sin barra de direcciones verificable. No podía ver el candado HTTPS, no podía tocar la URL, no podía comprobar el dominio. Todo lo que veía era lo que el desarrollador del APK quería que viera.
Introduje un usuario inventado y una contraseña inventada. El formulario las aceptó sin rechistar y me redirigió a una pantalla de „verificación de cuenta“ que pedía el número de teléfono y un código SMS. Ese es el patrón clásico: primero roban credenciales, luego intentan interceptar el segundo factor. En un caso real, el atacante puede usar esas credenciales en el sitio legítimo si el usuario reutiliza contraseña, o vender el paquete a otro actor. El formulario falso no valida nada porque no está conectado a ningún backend real, solo guarda lo que escribes y lo envía a un servidor externo.
La comparación con la PWA legítima fue inmediata. Abrí AFKspin en Chrome desde el mismo teléfono: cargó en unos cuatro segundos, mostró la URL oficial con HTTPS y el candado, y el login funcionó a la primera con mi cuenta real. La PWA se instala como acceso directo en Android e iPhone sin pasar por tiendas, y una vez instalada sigue abriéndose en el navegador, con la barra de direcciones visible o al menos verificable con un toque. Esa diferencia es la que salva cuentas: si no puedes ver la URL, no puedes saber dónde estás.
Las señales que delatan un clon y la rutina que uso para verificar el acceso real
El APK tenía más banderas rojas que el formulario. Pedía permisos de accesibilidad y de lectura de SMS durante la instalación, algo que ninguna app de casino necesita para funcionar. También solicitaba „instalar apps desconocidas“ y desactivar Play Protect, un aviso que el propio Android lanza cuando el archivo no viene de una fuente verificada. Los APK de terceros no vienen del operador, y ese es el punto que mucha gente pasa por alto: si el archivo no está firmado por la entidad legítima ni distribuido por un canal oficial, no tienes ninguna garantía de lo que contiene.
Mi rutina de verificación tiene tres pasos y tarda menos de un minuto. Primero, abro el navegador y escribo la dirección a mano, sin enlaces de terceros. Segundo, compruebo que la URL empieza por HTTPS y que el dominio coincide con el oficial que aparece en la información de licencia y seguridad que AFKspin publica para el jugador de España. https://afkspin-online.es/app-movil/ offers additional context worth reviewing. Tercero, si quiero el acceso directo, uso la opción „Añadir a pantalla de inicio“ del propio Chrome, Safari o Firefox, que es exactamente lo que hace la PWA AFKspin. Nada de descargar archivos, nada de permisos raros, nada de instalar desde enlaces de Telegram.
El clon también había replicado el lobby móvil con las mismas categorías y el buscador, lo que despista. Pero al entrar en una categoría, las miniaturas de Pragmatic Play, Evolution, BGaming, Playson y Endorphina eran imágenes estáticas sin enlace. Un lobby real carga los juegos desde el servidor del proveedor y tarda un instante en renderizar cada tarjeta. El clon las tenía incrustadas en el APK para que la pantalla pareciera completa. Esa es otra prueba sencilla: si los juegos no cargan o dan error al tocarlos, estás ante una maqueta.
La parte del dinero es donde el clon se vuelve peligroso de verdad. El formulario falso no llevaba a ningún panel de ingresos y retiradas real, sino a una pantalla que pedía los datos de la tarjeta „para verificar la cuenta“. Un operador serio nunca pide el número completo de la tarjeta por un formulario de login. El paquete de bienvenida y el código promocional WELCOME2026 se introducen en el registro desde el teléfono, dentro del flujo oficial, y el reglamento de bonos está publicado y es consultable antes de aceptar. Si el clon te pide el código antes de que veas las condiciones, sospecha.
Hay un detalle que casi nadie comprueba y que a mí me convenció del todo: la sesión multidispositivo. En la PWA legítima, la sesión puede mantenerse abierta en varios dispositivos a la vez, y puedes cerrarla desde cualquiera de ellos. En el clon, el „cierre de sesión“ solo borraba la pantalla y volvía al formulario, sin invalidar nada en el servidor. Eso significa que el atacante conserva el token aunque tú creas que has salido. Si alguna vez has metido credenciales en un APK dudoso, cambia la contraseña desde el sitio oficial y revisa los dispositivos activos.
El consumo también delata. Las mesas en vivo consumen más batería y datos que el resto del lobby, y en la PWA se nota un pico razonable cuando abres una mesa de Evolution. El clon, en cambio, gastaba batería de forma constante incluso en el menú, porque la webview estaba ejecutando scripts de fondo que no veías. En mi prueba, el APK consumió un 12% de batería en quince minutos sin hacer nada, frente al 3% de la PWA con la misma actividad. No es una prueba definitiva, pero suma.
La conclusión práctica es sencilla y no necesita matices: usa el navegador del teléfono, verifica la URL con HTTPS y el dominio oficial, e instala la PWA como acceso directo desde el propio navegador. Si alguien te pasa un APK de casino por mensajería, aunque el diseño sea idéntico al de AFKspin, no lo instales. La app AFKspin Android y iPhone que funciona de verdad es la que se abre en Chrome o Safari, y esa nunca te pedirá permisos de SMS ni te ocultará la barra de direcciones.