Apps falsas de bancos en Android e iOS: cómo detectarlas antes de instalar

Tu banca móvil vive en el teléfono. Eso la convierte en un blanco atractivo: una app falsa que imita la interfaz de BBVA, Nu, Hey Banco o cualquier institución puede capturar usuario, contraseña, NIP y hasta códigos de verificación mientras crees que operas con normalidad. En Android el riesgo es mayor por la posibilidad de instalar APKs fuera de Google Play, pero en iOS también aparecen apps fraudulentas que pasan filtros temporales o se distribuyen vía perfiles empresariales.

Cómo se distribuyen las apps falsas

• Enlaces en SMS, WhatsApp o correos que prometen 'la nueva versión' del banco.
• Tiendas alternativas de Android con APKs 'optimizados' o 'sin restricciones'.
• Publicidad en redes sociales que dirige a sitios de descarga externos.
• Apps con nombres casi idénticos: 'BBVA Móvil Pro' en lugar de 'BBVA México'.
• Perfiles de configuración en iOS que instalan apps fuera del App Store.

Señales de alerta antes y después de instalar

Antes de instalar, verifica el desarrollador oficial en Google Play o App Store. El nombre debe coincidir con la institución financiera, no con un tercero genérico. Revisa la cantidad de descargas, fecha de publicación y reseñas: apps nuevas con pocas reseñas y queja de 'no funciona' son bandera roja.

1. Compara el icono y nombre con la app que ya tienes o con el sitio oficial del banco.
2. Revisa permisos: una app bancaria no necesita acceso a todos tus contactos, SMS de otros números o superposición sobre otras apps sin justificación.
3. Desconfía si te pide instalar un 'actualizador' adicional después de abrir.
4. Si la app pide credenciales en una pantalla que no coincide con la que recuerdas, ciérrala y desinstala.

Qué hace el malware bancario una vez instalado

Las apps maliciosas más sofisticadas superponen pantallas falsas sobre la app real (overlay attacks), interceptan notificaciones para robar códigos OTP, registran lo que tecleas o envían tus credenciales a servidores del delincuente en tiempo real. Algunas permanecen dormidas hasta que detectan que abres la app bancaria legítima.

Si el enlace te trajo hasta la app, el delincuente ya invirtió en convencerte. La tienda oficial es el único canal que no necesita un SMS para llevarte ahí.

Regla de oro: solo tiendas oficiales

Descarga exclusivamente desde Google Play o App Store, accediendo tú mismo a la tienda y buscando el banco por nombre. Nunca instales desde enlaces en mensajes. En Android, desactiva 'orígenes desconocidos' o restringe la instalación de APKs. Si tu banco ofrece verificación de app (hash, QR en su sitio), úsala.

Si ya instalaste una app sospechosa

Desinstala de inmediato, cambia contraseñas de banca desde otro dispositivo limpio, bloquea tarjetas si ingresaste datos, ejecuta un antivirus móvil confiable y reporta la app falsa a la tienda. Si hubo movimientos no autorizados, sigue el protocolo de aclaración con tu banco.

Casos documentados en México

En varios casos, la víctima recibió un SMS pidiendo 'actualizar la app' con un enlace a un APK fuera de Google Play. Solo detectaron el fraude cuando la app pedía permisos excesivos o aparecieron cargos horas después. La lección: cualquier actualización fuera de la tienda oficial es señal de alerta máxima.

Devson Labs ayuda a empresas a definir políticas de dispositivos móviles, detectar apps riesgosas en flotas corporativas y capacitar equipos de campo. Platícanos si tu operación depende de celulares para pagos o cobranza.