La semana pasada un lector me escribi\u00f3 con una captura de pantalla y una pregunta sencilla: „\u00bfesto es lo que us\u00e1is vosotros?“. En la imagen se ve\u00eda un formulario de acceso id\u00e9ntico al de AFKspin, con el logo, los colores y hasta el mismo mensaje de bienvenida. El problema es que la URL no era la oficial y el archivo se lo hab\u00eda pasado un „grupo de Telegram de pron\u00f3sticos“. Le cost\u00f3 veinte minutos darse cuenta, y eso con suerte. Os cuento c\u00f3mo lo detect\u00e9, qu\u00e9 se\u00f1ales concretas delataban el clon y por qu\u00e9 el episodio confirma algo que repito mucho: la \u00fanica app AFKspin que existe de verdad se abre en el navegador del tel\u00e9fono, no se instala desde un archivo suelto.<\/p>\n
El archivo en cuesti\u00f3n se llamaba algo as\u00ed como „AFKspin_App_v3.2.apk“ y pesaba unos 18 MB, una cifra razonable para que nadie sospeche. Lo instal\u00e9 en un Android de pruebas con el perfil de trabajo, aislado de mis cuentas reales. Al abrirlo, la pantalla de carga mostraba el logotipo correcto y un spinner que dur\u00f3 tres segundos exactos, el tiempo justo para que el usuario relaje la guardia. Despu\u00e9s apareci\u00f3 un formulario de login con dos campos y un bot\u00f3n verde.<\/p>\n
Ah\u00ed estaba la primera pista gorda. La aplicaci\u00f3n nativa no exist\u00eda, porque AFKspin no dispone de aplicaci\u00f3n nativa en las tiendas oficiales. Ni App Store ni Google Play Store tienen una ficha leg\u00edtima del operador. Cualquier APK que se presente como „la app oficial“ est\u00e1 mintiendo por definici\u00f3n, aunque el dise\u00f1o sea perfecto. El clon hab\u00eda copiado la est\u00e9tica de la PWA, pero la hab\u00eda metido dentro de una webview sin barra de direcciones verificable. No pod\u00eda ver el candado HTTPS, no pod\u00eda tocar la URL, no pod\u00eda comprobar el dominio. Todo lo que ve\u00eda era lo que el desarrollador del APK quer\u00eda que viera.<\/p>\n
Introduje un usuario inventado y una contrase\u00f1a inventada. El formulario las acept\u00f3 sin rechistar y me redirigi\u00f3 a una pantalla de „verificaci\u00f3n de cuenta“ que ped\u00eda el n\u00famero de tel\u00e9fono y un c\u00f3digo SMS. Ese es el patr\u00f3n cl\u00e1sico: primero roban credenciales, luego intentan interceptar el segundo factor. En un caso real, el atacante puede usar esas credenciales en el sitio leg\u00edtimo si el usuario reutiliza contrase\u00f1a, o vender el paquete a otro actor. El formulario falso no valida nada porque no est\u00e1 conectado a ning\u00fan backend real, solo guarda lo que escribes y lo env\u00eda a un servidor externo.<\/p>\n
La comparaci\u00f3n con la PWA leg\u00edtima fue inmediata. Abr\u00ed AFKspin en Chrome desde el mismo tel\u00e9fono: carg\u00f3 en unos cuatro segundos, mostr\u00f3 la URL oficial con HTTPS y el candado, y el login funcion\u00f3 a la primera con mi cuenta real. La PWA se instala como acceso directo en Android e iPhone sin pasar por tiendas, y una vez instalada sigue abri\u00e9ndose en el navegador, con la barra de direcciones visible o al menos verificable con un toque. Esa diferencia es la que salva cuentas: si no puedes ver la URL, no puedes saber d\u00f3nde est\u00e1s.<\/p>\n
El APK ten\u00eda m\u00e1s banderas rojas que el formulario. Ped\u00eda permisos de accesibilidad y de lectura de SMS durante la instalaci\u00f3n, algo que ninguna app de casino necesita para funcionar. Tambi\u00e9n solicitaba „instalar apps desconocidas“ y desactivar Play Protect, un aviso que el propio Android lanza cuando el archivo no viene de una fuente verificada. Los APK de terceros no vienen del operador, y ese es el punto que mucha gente pasa por alto: si el archivo no est\u00e1 firmado por la entidad leg\u00edtima ni distribuido por un canal oficial, no tienes ninguna garant\u00eda de lo que contiene.<\/p>\n