Inteligencia Artificial

SpyLoan es el conjunto de aplicaciones falsas de préstamos que afecta a usuarios de Android

Recopilan y exfiltran datos confidenciales de las víctimas, eludiendo los controles de Google Play

Published

hace 4 meses

diciembre 20, 2023

La empresa de detección proactiva de amenazas cibernéticas, ESET, detectó un conjunto de 18 aplicaciones engañosas para Android que se presentan como servicios legítimos de préstamos personales, pero que en realidad son estafas que comprometen la información personal y financiera de los usuarios.

De acuerdo con la firma tecnológica, estas aplicaciones, llamadas SpyLoan, se publicaron en Google Play Store entre 2020 y 2023, y ofrecían préstamos rápidos y fáciles a los usuarios, aunque en realidad estaban diseñadas para robar datos personales, como números de teléfono, direcciones de correo electrónico y contraseñas.

Para ello, explica, las aplicaciones SpyLoan requerían a los usuarios les otorgaran acceso a su información personal para completar el proceso de solicitud de préstamo, pero una vez hecho esto, sustraían los datos.

Lee: Los mexicanos prometen ir al gimnasio, pero pocos lo cumplen

Niños que sueñan con ser estrellas de ballet en Kenia

Llega a HBOmax “La vida secreta de tu mente”, la primera serie animada de Pictoline

Esas aplicaciones estaban disponibles en Google Play, pero actualmente se comercializan a través de redes sociales y mensajes SMS, y se pueden descargar desde sitios web dedicados a estafas y tiendas de aplicaciones de terceros.

Indica que de las 18 aplicaciones SpyLoan, 17 fueron eliminadas de Google Play, pero la última identificada aún está disponible, pero como sus desarrolladores cambiaron sus permisos y funcionalidades, ya no se detecta como una aplicación SpyLoan.

ESET detalla que los ejecutores de estas apps operan principalmente en México, Indonesia, Tailandia, Vietnam, India, Pakistán, Colombia, Perú, Chile, Filipinas, Egipto, Kenia, Nigeria y Singapur, que tienen leyes que regulan los préstamos privados, no sólo sus tipos, sino también la transparencia de su comunicación.

Refiere que en 2022 se puso en contacto con Google Play para notificar sobre más de 20 aplicaciones de préstamos maliciosas con más de nueve millones de descargas colectivas y luego, la compañía las eliminó de su plataforma.

Pero este año hubo nuevas detecciones y ahora los delincuentes promocionan activamente estas aplicaciones maliciosas con mensajes SMS y en redes sociales populares como X (Twitter), Facebook y YouTube, donde los estafadores pretenden atraer a víctimas desprevenidas que necesitan ayuda financiera.

“Otro aspecto alarmante de algunas aplicaciones SpyLoan es la suplantación de proveedores de préstamos y servicios financieros de buena reputación mediante el uso indebido de nombres y marcas de entidades legítimas”, dijo Gutiérrez Amaya, de ESET Latinoamérica.

ESET explica que una vez que el usuario instala una aplicación SpyLoan, se le pide que acepte las condiciones del servicio y que conceda amplios permisos para acceder a datos confidenciales almacenados en el dispositivo.

Lee: Al menos 16% de los mexicanos ha sufrido estafas en línea al hacer sus compras navideñas

A continuación, abunda, la aplicación solicita el registro del usuario, que normalmente se realiza mediante la verificación de la contraseña de un solo uso por SMS para validar el número de teléfono de la víctima para luego acceder a la función de solicitud de préstamos de la aplicación.

Para completar el proceso de solicitud, los usuarios se ven obligados a proporcionar una gran cantidad de información personal, incluyendo detalles de dirección, información de contacto, prueba de ingresos, información de la cuenta bancaria, e incluso subir fotos del anverso y reverso de sus documentos de identidad, y un selfie, añade.

Precisa que los datos que se suelen filtrar incluyen la lista de cuentas, registros de llamadas, eventos del calendario, información del dispositivo, listas de aplicaciones instaladas, información de la red Wi-Fi local e incluso información sobre los archivos del dispositivo, así como las listas de contactos, los datos de localización y los mensajes SMS.

Una vez instalada la aplicación y recopilados los datos personales, sus ejecutores empiezan a acosar y chantajear a las víctimas para que realicen los pagos, incluso si -según las críticas- el usuario no solicitó el préstamo o lo solicitó, pero no se lo aprobaron, resalta.

Además, estos servicios presentan una forma de usura digital moderna, que se refiere al cobro de tipos de interés excesivos en los préstamos, aprovechándose de personas vulnerables con necesidades financieras urgentes, o de prestatarios que tienen un acceso limitado a las instituciones financieras convencionales.

Destaca que para poder poner el pie en Google Play y ser publicadas en la plataforma, todas las apps de SpyLoan analizadas proporcionaron una descripción que en su mayoría parece ajustarse no sólo a los requisitos de Google Play, sino que también parece cubrir las exigencias legales locales.

Para evitar caer en estas estafas, ESET expone que los usuarios de Android deberían evitar la instalación de aplicaciones de préstamos de fuentes no oficiales y tiendas de aplicaciones de terceros, y ceñirse a plataformas de confianza como Google Play, pues reduce el riesgo de fraudes.

Además, recomienda usar una aplicación de seguridad fiable, pues proporcionan una capa adicional de protección escaneando e identificando aplicaciones potencialmente dañinas, detectando malware y advirtiendo a los usuarios sobre actividades sospechosas.

Al descargar aplicaciones de Google Play, considera importante prestar mucha atención a las reseñas de los usuarios, centrarse en las negativas y evaluar cuidadosamente las preocupaciones planteadas, porque pueden revelar información importante, como las tácticas de extorsión y el coste real que cobra el proveedor del préstamo.

Antes de instalar una aplicación de préstamos, considera que los usuarios deben leer su política de privacidad, si está disponible, y prestar atención a los datos a los que la aplicación solicita acceso y preguntarse si éstos son necesarios para la funcionalidad de la aplicación de préstamo.

Lee: No te dejes engañar: Consejos para detectar estafas en Reddit

Si la aplicación de préstamos engañosa se obtuvo a través de Google Play, los particulares pueden solicitar ayuda al servicio de asistencia para denunciar la aplicación y solicitar la eliminación de sus datos personales asociados a ella, expuso Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.