En los últimos meses, las advertencias sobre aplicaciones que se hacen pasar por VPN han crecido con fuerza. Una investigación realizada por el equipo de seguridad de Socket, una compañía de ciberseguridad, ha destapado una campaña masiva que se aprovechaba de la tienda oficial de Google para distribuir más de 700 extensiones fraudulentas. Estas herramientas prometían proteger la privacidad de los usuarios, pero en la práctica eran una puerta abierta para los atacantes, que podían tomar el control del dispositivo y acceder a información sensible.
El engaño no se limita a un país o región concreta; se ha detectado en todo el mundo, incluida España. Cuando un usuario instala una de estas extensiones o aplicaciones, no solo pierde la protección que esperaba, sino que su teléfono puede convertirse en un servidor proxy, es decir, en una pieza que los cibercriminales aprovechan para navegar de forma anónima mientras los datos de la víctima quedan expuestos. El alcance del fraude, como indican los expertos, es considerable: más de 75.000 personas han descargado estas aplicaciones maliciosas y podrían haber visto comprometida su información personal, bancaria y laboral.
El hallazgo en la Chrome Web Store: una red de 737 extensiones engañosas
La investigación de Socket puso al descubierto una red de extensos y extensos sistemas de distribución. Según los datos recogidos, la campaña contaba con al menos 40 cuentas de desarrolladores que publicaban 737 extensiones gratuitas de VPN y proxy en la Chrome Web Store. De todas ellas, 274 estaban diseñadas para suplantar la identidad de 66 marcas reconocidas de seguridad y VPN, entre las que se encontraban NordVPN o ProtonVPN. Los estafadores no creaban nombres inventados, sino que usaban el prestigio de empresas legítimas para ganarse la confianza de las víctimas.
La magnitud del fraude radica en la facilidad con la que estos archivos lograban pasar los filtros de la plataforma. Al estar disponibles en una tienda oficial, los usuarios se fían de que no les será un problema, pero la realidad es muy distinta. La mayoría de estas extensiones no solo no cifran los datos, sino que los rastrean y envían a servidores controlados por los criminales. Y aunque Google ha eliminado estas extensiones de su tienda, la amenaza persiste porque se distribuyen por otros canales, como mensajes de WhatsApp o correos electrónicos fraudulentos.
El móvil se transforma en un proxy: cómo se ejecuta el robo
Una vez instalada la aplicación, el usuario suele conceder permisos sin leerlos con atención. Estos permisos son la llave que abre la puerta a los atacantes. La aplicación puede acceder a los datos bancarios, a las contraseñas guardadas, a las fotografías e incluso a la cámara y al micrófono si el usuario lo permite. De esta forma, el dispositivo se convierte en un servidor proxy controlado externamente, permitiendo que los cibercriminales realicen acciones en internet a través del móvil de la víctima, sin revelar su propia identidad.
La gravedad del asunto ha llegado a trascender, incluso las autoridades rusas han emprendido una alerta al respecto. El Ministerio del Interior de Rusia, a través de sus materiales oficiales, ha informado de que este tipo de fraude se está utilizando para acceder a las aplicaciones bancarias de los usuarios. Cuando la víctima descarga el ejecutable, los atacantes obtienen un control completo del smartphone y pueden realizar transferencias o vaciar las cuentas sin que el propietario se percata inmediatamente. Aunque la noticia proviene de Rusia, la técnica es universal y se puede replicar fácilmente en España u otros países europeos, donde el uso de móvil para gestiones financieras es constante.
Además, esta táctica no es la única que utilizan los ciberdelincuentes. Otras estafas similares se sirven de enlaces de WhatsApp, correos de phishing o redes wifi inseguras para distribuir programas maliciosos. La suplantación de identidad es también una arma frecuente, en la que los estafadores se hacen pasar por entidades bancarias, empresas de mensajería o incluso conocidos para lograr que la víctima baje la guardia. La ingeniería social es el ingrediente que hace que estos métodos sigan funcionando en plena era digital.
Cómo evitar caer en la trampa y qué hacer si ya la sufriste
Los especialistas aconsejan varios hábitos para protegerse. En primer lugar, hay que desconfiar de cualquier aplicación que solicite permisos excesivos, como acceso a contactos, fotos o mensajes cuando no es necesario. Una VPN legítima no necesita esos permisos. Antes de instalar cualquier herramienta, conviene verificar al desarrollador, buscar reseñas en páginas confiables y, si hay dudas, no realizar la descarga. La navegación privada no debe convertirse en un riesgo para tu seguridad.
Si ya ha instalado una aplicación sospechosa, no sirve de nada dejarla olvidada en la memoria. Debe desinstalarla de inmediato y revisar los ajustes de privacidad de tu móvil y todas las cuentas que haya podido usar desde ese teléfono. Se recomienda activar la autenticación de dos factores en los servicios críticos, como banca o correo electrónico, ya que es una barrera adicional que complica el acceso no autorizado. Cambiar las contraseñas importantes que se hayan introducido desde el dispositivo y utilizar contraseñas robustas y diferentes para cada cuenta son acciones que reducen el daño potencial. Además, mantener actualizado el sistema operativo y las aplicaciones es un hábito clave porque los parches corrigen vulnerabilidades conocidas.
Para finalizar, las organizaciones de seguridad insisten en evitar operaciones bancarias mediante redes wifi públicas, pues son uno de los escenarios favoritos para la intercepción de datos. También se aconseja activar alertas en el banco para recibir notificaciones de cada movimiento y así detectar cualquier operación extraña de forma precoz. La eliminación de aplicaciones poco confiables y la precaución con enlaces, archivos o mensajes de origen desconocido constituyen el primer escudo.
En un panorama digital donde el teléfono almacena información laboral, personal y económica, la amenaza de las VPN falsas se está convirtiendo en un peligro tangible. La combinación de verificadores de fuentes, hábitos de navegación seguros y una buena dosis de sentido común es la defensa más eficaz frente a este fraude creciente. No todos los recursos que prometen seguridad son de confianza; hay que aprender a mirar entre líneas y exigir transparencia antes de dar acceso a nuestra privacidad.
Continúar leyendo...