CallPhantom: apps falsas en Google Play robaron millones con registros de llamadas inventados

El equipo de investigación de ESET descubrió una campaña de aplicaciones fraudulentas distribuidas a través de Google Play Store bajo el nombre de campaña CallPhantom. Estas aplicaciones prometían a los usuarios algo aparentemente irresistible: acceder al historial de llamadas de cualquier número telefónico. La realidad, sin embargo, era muy diferente: los registros que mostraban eran completamente falsos, y el dinero que cobraban era completamente real.

Antes de ser retiradas de la tienda oficial de Google, estas aplicaciones acumularon más de siete millones de descargas. Este dato por sí solo es alarmante, porque evidencia que millones de personas en todo el mundo —potencialmente incluyendo usuarios en Ecuador y América Latina— instalaron software diseñado para estafarlas.

El esquema es sencillo pero efectivo. Las aplicaciones se presentaban con interfaces atractivas y promesas llamativas: consultar quién llamó a un número desconocido, verificar el historial de comunicaciones de un contacto, o incluso rastrear actividad telefónica de terceros. Funcionalidades que, si fueran reales, ya serían cuestionables desde el punto de vista ético y legal. Pero además de ser engañosas, estas apps cobraban suscripciones o pagos únicos por mostrar información fabricada.

Este tipo de fraude aprovecha varias vulnerabilidades humanas simultáneamente: la curiosidad, la desconfianza hacia personas cercanas, y la creencia de que Google Play es un entorno completamente seguro. Aunque la tienda de aplicaciones de Google cuenta con mecanismos de revisión, los actores maliciosos han demostrado repetidamente su capacidad para evadir estos controles durante períodos prolongados, logrando acumular millones de instalaciones antes de ser detectados.

Para las empresas medianas en Ecuador, este caso representa una advertencia concreta. Los empleados utilizan sus dispositivos móviles personales para actividades laborales cotidianas: correos, aplicaciones de gestión, comunicaciones con clientes. Si un colaborador instala una aplicación fraudulenta de este tipo, el riesgo no se limita a su dinero personal; puede extenderse a las credenciales corporativas almacenadas en el mismo dispositivo, a las redes a las que se conecta, o a los datos empresariales que maneja.

Algunas recomendaciones prácticas ante amenazas como CallPhantom incluyen verificar siempre los permisos que solicita una aplicación antes de instalarla, desconfiar de apps que prometen acceso a información privada de terceros, revisar las reseñas con ojo crítico —los fraudes suelen inflar valoraciones artificialmente—, y contar con una política clara de gestión de dispositivos móviles dentro de la organización.

En COTEDEM acompañamos a nuestros clientes en la identificación y gestión de este tipo de riesgos digitales. Desde la implementación de políticas de seguridad para dispositivos móviles hasta la capacitación de equipos para reconocer amenazas como CallPhantom, trabajamos para que las empresas ecuatorianas puedan operar con confianza en un entorno digital cada vez más complejo. Si quieres evaluar el nivel de exposición de tu organización, estamos listos para ayudarte.