Aplicaciones deepfake en App Store y Google Play: 444

Aplicaciones deepfake entraron a App Store y Google Play disfrazadas de servicios inofensivos: retratos de mascotas con ropa humana, clases de idiomas, entrenadores personales y salones de belleza virtuales. El equipo de AI Forensics identificó 444 aplicaciones deepfake vinculadas entre sí, y la revista WIRED publicó la investigación el lunes 2 de noviembre. Ninguna mostraba en su ficha lo que podía abrir después.

El truco no estaba dentro del programa instalado, y por eso la revisión de las tiendas no lo vio. Al abrirse, cada aplicación avisaba a un servidor remoto y le pasaba datos del usuario: idioma, país, un identificador del aparato y el anuncio desde donde llegó la descarga. Ese servidor decidía qué pantalla mostrar, la anunciada o una página oculta con decenas de plantillas para montar fotos reales en escenas sexuales y violentas.

🔥 Tendencia

Grid Protectors y centros de datos: OpenAI bajará 1,000 MW

AI Forensics lo comprobó con Prilos, una aplicación de peluquería virtual bajada de Google Play. Instalada directo de la tienda, Prilos solo ofrecía cambios de peinado y de ropa. Instalada tras tocar un anuncio de Meta, la misma aplicación abría su versión explícita, con créditos de pago para generar imágenes de personas reales sin su permiso. Paul Bouchaud, investigador principal del equipo, desarmó el código y encontró ese interruptor remoto pieza por pieza.

350,000 descargas con sello para todas las edades

El tamaño de la red se mide en descargas. El 11 de septiembre, 27 aplicaciones del grupo seguían activas en Google Play y sumaban más de 352,000 descargas; 20 de ellas llevaban la clasificación PEGI 3, apta para todas las edades. DiffAI, una sola de esas aplicaciones, pasó de 105,000 descargas antes de que Google la retirara. En la App Store quedaban 21 del grupo en esa revisión.

El dinero corría por las vías oficiales. Las pantallas ocultas vendían monedas y créditos para producir las imágenes, y parte de esos pagos entró por Apple Pay y por Google Pay. AI Forensics contó más de 84,000 anuncios de la red en Facebook e Instagram desde el 1 de enero, pagados con nombres de pagador inventados, entre ellos uno tan burdo como «123456».

Apple retiró 19 y Meta cortó 11,600 cuentas

Cuando WIRED compartió los dominios con Apple, la empresa retiró 19 aplicaciones, entre ellas Viefur, la de los retratos de mascotas. Su portavoz Adam Dema dijo que las aplicaciones cumplían las reglas cuando pasaron la revisión y que el contenido prohibido entró después, desde los sitios que alimentaban cada programa. Google ya había retirado la mayoría de las suyas antes de que la revista llamara, y no entregó una declaración para el reportaje.

Meta dio cifras propias. Dijo que prohibió a KeLing Technology Limited anunciar en sus plataformas en 2025, tras una carta de cese que la empresa ignoró, y que actuó contra 11,600 cuentas publicitarias y 15,000 páginas vinculadas, con 209 aplicaciones bloqueadas para anunciarse. WIRED y la firma Infoblox ataron la infraestructura a programadores de habla china y a esa compañía registrada en Hong Kong; su investigador Maël Le Touz contó cerca de 500 dominios conectados. KeLing no respondió a la revista, y la evidencia pública no cierra quién controlaba la red completa.

Para quien tenga una de estas aplicaciones en el celular, la revisión no cuesta nada: borrar editores de fotos, tutores o entrenadores instalados desde un anuncio que nadie en la casa reconoce, y revisar las suscripciones activas en la tienda, porque los créditos se cobraban por ahí. El engaño por el celular ya dejó casos como la estafa de WhatsApp que robaba cuentas con un voto falso, y esta red repite el patrón con otra cara: entra por un anuncio, se esconde tras una ficha limpia y cobra sin hacer ruido. El 2 de diciembre entra en vigor la prohibición europea de estas aplicaciones, y al cierre del reportaje de WIRED seguían apareciendo anuncios nuevos de la misma red.

Fuente: AppleInsider