Comprobar que una app es auténtica antes de instalarla: empieza por la fuente, no por el primer resultado

Sara acaba de cambiar de banco. En la oficina le han dicho que casi todo se hace desde la app, así que esa misma noche abre la tienda de aplicaciones del móvil y escribe el nombre del banco en la barra de búsqueda. Aparecen cinco resultados: iconos parecidos, los mismos colores, nombres casi idénticos. Uno dice «Mobile», otro «Plus», otro tiene el logotipo ligeramente distinto. Sara está cansada y lo único que quiere es tocar «Instalar» en el primero, sin pararse a comprobar que una app es auténtica.

Es una escena habitual: buscar una app en la tienda es el gesto más natural del mundo. La cuestión es que el primer resultado no tiene por qué ser la app correcta. A veces es un anuncio, a veces una app con un nombre parecido y, de vez en cuando, una copia creada para parecerse a la verdadera y hacerse con credenciales, datos o dinero.

Esta recomendación —la R25 del Framework Cyber Welfare— te propone un hábito sencillo: antes de instalar, comprobar que una app es auténtica. No hacen falta conocimientos técnicos. Hacen falta un par de minutos y un orden preciso: empezar por la web oficial del servicio y revisar unos pocos detalles en la ficha de la app.

Qué es esta recomendación

La recomendación R25 establece que una app se instala solo después de haber comprobado que es realmente la que ha publicado el servicio que buscas, partiendo de su web oficial o de su enlace directo a la tienda.

En la práctica, la comprobación se apoya en dos movimientos:

• remontarse a la fuente: la web oficial del banco, del ayuntamiento, de la empresa de mensajería o del servicio indica cuál es su app y lleva directamente a la página correcta de la tienda;
• revisar la ficha: el desarrollador, el nombre exacto, la fecha de publicación y el número de descargas tienen que ser coherentes con lo que esperas.

Una tienda oficial es la plataforma de distribución integrada en el sistema operativo del móvil, o un catálogo alternativo reconocido: es el lugar donde los desarrolladores publican sus apps después de superar una serie de controles. El desarrollador es la empresa, la entidad o la persona que ha publicado la app y que responde de ella.

Qué no es. No es la norma que dice dónde descargar: de eso se ocupa la recomendación R26, que invita a usar solo las tiendas oficiales. La R25 viene justo después y trata de qué elegir incluso dentro de la tienda, porque los catálogos oficiales son enormes y una imitación puede permanecer en ellos un tiempo antes de que la retiren. Tampoco es una invitación a desconfiar de todas las apps: la inmensa mayoría de las apps que descargas son exactamente lo que dicen ser.

Ámbito de aplicación. Vale para el móvil y la tableta, para las apps personales y para las del trabajo, y también para las apps que instalas en los dispositivos de familiares que te piden que les eches una mano. Cuenta sobre todo en las apps que gestionan dinero, identidad, salud o comunicaciones.

Por qué es importante

Una app instalada no es una página web que cierras y olvidas. Se queda en el dispositivo, recibe los permisos que le concedes —acceso a los contactos, las fotos, la ubicación, las notificaciones, los SMS— y a menudo le confías precisamente las credenciales más delicadas: las del banco, las del correo electrónico, las del sistema de identificación de la Administración.

Quien crea las copias aprovecha tres cosas muy humanas: las prisas, la confianza en un logotipo conocido y la idea de que todo lo que está en la tienda es seguro por fuerza. Las tiendas hacen muchos controles y retiran muchas imitaciones; pero ningún control automático es infalible, y entre la publicación de una copia y su retirada pueden pasar días. Cómo funcionan esos controles, y dónde se detienen, lo explica el artículo sobre cómo verifican las apps las tiendas oficiales.

Las consecuencias concretas de una app que no es auténtica se ven en cuatro frentes:

• credenciales entregadas a quien no debe tenerlas — una pantalla de inicio de sesión idéntica a la verdadera recoge el nombre de usuario, la contraseña y los códigos;
• datos personales expuestos — los contactos, las fotos, los mensajes y la ubicación pueden leerse y enviarse a otro lugar, si los permisos lo permiten;
• gastos inesperados — suscripciones activadas a escondidas, pagos autorizados sin darte cuenta, publicidad invasiva que consume datos y batería;
• pérdida de control del dispositivo — algunas copias piden permisos especiales que les permiten actuar sobre la pantalla en tu lugar.

Hay un caso que merece especial atención: las apps que te piden iniciar sesión en un servicio que ya usas. Banco, correo electrónico, pagos, salud, servicios públicos: si la app es falsa, lo primero que consigue es justo la llave que abre todo lo demás.

Un ejemplo concreto

Volvamos con Sara. En lugar de tocar el primer resultado, cierra la tienda y abre la web del banco, escribiendo la dirección que aparece en el contrato. Al final de la página hay una sección «Descarga la app» con los botones de las tiendas. Toca uno: se abre la ficha de la app directamente en la tienda, sin pasar por la búsqueda.

Ahora compara. La app a la que lleva la web se llama exactamente como el banco, y el desarrollador es el propio banco, con la misma razón social que figura en el contrato. Está publicada desde hace varios años, tiene muchas actualizaciones a sus espaldas y un número de descargas coherente con un banco que opera en todo el país.

Después vuelve a la búsqueda y mira el primer resultado de antes. El nombre añade «Plus», el desarrollador no le dice nada, la app apareció hace tres semanas y tiene unos pocos miles de descargas. Las mejores reseñas son todas del mismo día, con frases casi iguales.

Sara no tiene que determinar con certeza si esa segunda app es una estafa. Le basta con saber que no es la de su banco. Instala la app a la que la ha llevado la web, y el asunto se cierra ahí.

Cuándo aplicarla

La comprobación vale para cualquier app nueva, pero hay momentos en los que marca una diferencia evidente.

• Cuando un servicio te pide que uses su app. Banco, ayuntamiento, colegio, servicio de salud, empresa de mensajería, aparcamientos, transporte: son las apps más imitadas, porque quien las busca se fía del nombre.
• Cuando un mensaje te invita a descargar algo. SMS, correos o chats que dicen «instala la app para seguir el envío» o «para desbloquear la cuenta»: el enlace se ignora, y la app se busca partiendo de la web oficial.
• Cuando configuras un móvil nuevo o restaurado. Es el momento en que reinstalas muchas apps seguidas, a menudo con prisa, buscándolas de memoria.
• De viaje o para un evento. Billetes, transporte en otra ciudad, la app de un concierto o de una feria: servicios que no conoces y que buscas en el último minuto.
• Cuando una app promete proteger o «limpiar» el móvil. Es una categoría en la que las imitaciones son frecuentes y los permisos que se piden son muy amplios.
• Cuando alguien te pide que instales una app de asistencia remota, es decir, un programa que permite a otra persona ver y controlar tu pantalla: antes comprueba quién te lo está pidiendo y desde qué canal oficial.

Cómo aplicarla: comprobar que una app es auténtica paso a paso

La comprobación requiere pocos minutos, y cada vez que la haces resulta más rápida.

1. Empieza por la web oficial del servicio. Escribe la dirección que conoces o la que aparece en contratos, tarjetas y comunicaciones oficiales, en lugar de usar un resultado patrocinado o un enlace llegado por mensaje. Busca la sección dedicada a la app y usa los botones que llevan a la tienda.
2. Si buscas directamente en la tienda, usa el nombre exacto y no te quedes en el primer resultado. Los primeros puestos pueden estar ocupados por anuncios, señalados como tales de una forma a menudo discreta.
3. Revisa el desarrollador. Tiene que coincidir con la empresa o la entidad que ofrece el servicio. En la ficha suele figurar también la lista de las demás apps del mismo desarrollador y un enlace a su web: tienen que cuadrar con lo que sabes.
4. Revisa el nombre y el icono con atención. Las imitaciones juegan con pequeñas diferencias: una palabra de más («Pro», «Plus», «Mobile»), una letra cambiada, un logotipo casi igual. El nombre tiene que ser exactamente el que indica la web oficial.
5. Mira la fecha de publicación y el número de descargas. No cuentan en términos absolutos; lo que cuenta es la coherencia. Un servicio conocido en todo el país con una app aparecida hace pocas semanas y con pocas descargas es una señal que no conviene ignorar; una pequeña asociación de barrio, en cambio, puede tener pocas descargas y ser auténtica.
6. Lee las reseñas con método. No te quedes en la media de estrellas: mira las reseñas más recientes y las negativas. Muchas reseñas entusiastas el mismo día, con frases parecidas, son una señal; de ello habla el recurso sobre las reseñas falsas en las apps.
7. Revisa los permisos que pide. Tienen que tener sentido respecto a lo que hace la app: una app del tiempo no necesita tus SMS. Para profundizar, la recomendación sobre cómo revisar los permisos de las aplicaciones explica qué significa cada uno.
8. Si tienes dudas, pregunta al servicio o espera. Contacta con la empresa a través de los canales que indica su web, o aplaza la instalación. Ninguna app auténtica necesita instalarse en los próximos diez minutos.

Una guía más amplia sobre cómo valorar una app, incluso cuando no imita ninguna marca, está en el recurso sobre cómo saber si una app es fiable antes de instalarla.

Errores frecuentes que conviene evitar

• Elegir el primer resultado de la búsqueda. El primer puesto de la lista no dice nada sobre la autenticidad: puede ser publicidad, o simplemente una app con un nombre parecido.
• Fiarse del icono y de los colores. Copiar un logotipo es fácil. Lo que una copia no puede imitar es el desarrollador correcto y la historia de la app.
• Instalar desde un enlace recibido por chat, SMS o correo. Aunque el mensaje parezca llegar de un servicio que conoces, el enlace puede llevar a una página falsa o a un archivo de instalación ajeno a la tienda.
• Pensar «está en la tienda, así que es la buena». La tienda reduce mucho el riesgo, pero no comprueba por ti que esa app pertenezca a tu banco: comprueba que cumpla sus normas.
• Buscar la versión «Pro gratis». Las apps de pago que se ofrecen gratis fuera de los canales oficiales, o las versiones «modificadas», son una forma clásica de esconder funciones no deseadas.
• Aceptar una actualización propuesta por una ventana del navegador. Las apps se actualizan desde la tienda o desde los ajustes del móvil, no desde un aviso que aparece en una web. Es el mismo principio de la recomendación sobre cómo mantener el software actualizado.
• Instalar bajo presión. «Descárgala ahora o el paquete se devuelve», «instálala hoy o la cuenta quedará suspendida»: las prisas son la herramienta principal de quien crea las copias.

Conexión con el Framework Cyber Welfare

La R25 convierte un gesto automático —buscar e instalar— en una elección consciente, sin volverlo lento ni complicado.

Niveles de madurez digital.

• FL1 — Base. Instalas el primer resultado que se parece más o menos al nombre buscado. Es el comportamiento más extendido, y no es culpa tuya.
• FL2 — Iniciado. En las apps importantes —banco, correo electrónico, pagos— partes de la web oficial y revisas al menos el desarrollador.
• FL3 — Autónomo. Haces la misma comprobación con cada app nueva, mirando también el nombre exacto, la fecha, las descargas y los permisos.
• FL4 — Hábil. Reconoces señales más sutiles, como reseñas sospechosas o un cambio de desarrollador, y denuncias ante la tienda las imitaciones que encuentras.
• FL5 — Experto-Guía. Ayudas a familiares, compañeros de trabajo o a tu organización a convertir la comprobación en un hábito compartido.

Nivel de referencia. La R25 consolida el nivel FL2 — Iniciado y prepara el paso al FL3 — Autónomo.

Cómo saber si la estás aplicando bien

Tres preguntas, para hacértelas con sinceridad.

1. La última vez que instalaste una app, ¿empezaste por la web del servicio o por el primer resultado de la búsqueda?
2. ¿Sabrías decir quién es el desarrollador de la app de tu banco, y dónde lo comprobaste?
3. Si hoy recibieras un SMS con un enlace para instalar una app, ¿qué harías antes de tocarlo?

Checklist rápida

• ☐ Las apps del banco, del correo y de pagos las he instalado partiendo de la web oficial
• ☐ Antes de instalar, compruebo que el desarrollador coincide con el servicio
• ☐ Miro el nombre exacto, no solo el icono
• ☐ Comparo la fecha de publicación y el número de descargas con lo que espero
• ☐ No instalo apps desde enlaces recibidos por chat, SMS o correo
• ☐ Cuando tengo una duda, aplazo la instalación y pregunto al servicio

Si alguna casilla se queda vacía, ya tienes tu próximo paso. Si quieres una medida más estructurada de tu nivel, puedes hacer la autoevaluación de la resiliencia digital.

Resumen

Las tiendas oficiales son el lugar adecuado para descargar las apps, pero dentro de la tienda sigue haciendo falta elegir la correcta. Las imitaciones apuestan por nombres y logotipos conocidos, por las prisas y por la confianza.

Comprobar que una app es auténtica requiere unos pocos gestos repetibles: empezar por la web oficial y seguir su enlace a la tienda, revisar el desarrollador, el nombre exacto, la fecha y las descargas, leer las reseñas con método, valorar los permisos y, si hay dudas, esperar.

La seguridad digital no te pide que dejes de probar apps nuevas. Te pide que sepas de quién vienen antes de darles las llaves de casa.

Pregunta para reflexionar. De las apps que tienes en el móvil, ¿de cuántas sabrías decir con certeza quién las ha publicado?

Profundiza en esta recomendación

Esta recomendación es el eje de una unidad de contenidos. Cada artículo profundiza en un aspecto distinto.

• Impacto de las apps falsas: qué se ve afectado, en términos de confidencialidad, integridad y disponibilidad de los datos y del dispositivo
• Consecuencias de una app clonada: los efectos concretos en el plano operativo, económico, legal, reputacional y personal
• Qué hacer si instalaste una app falsa: las medidas de mitigación, desde la prevención hasta la recuperación
• Señales de una app falsa: los indicadores que conviene revisar antes y después de la instalación, y lo que significan
• Cómo verifican las apps las tiendas oficiales: los controles de las tiendas y del sistema operativo, con sus ventajas y sus límites
• Apps clonadas y falsificadas: las formas en que se crean y se difunden las imitaciones

Recursos relacionados

Contenidos breves de la sección Recursos, para quien quiera detenerse en un solo aspecto:

• Saber si una app es fiable antes de instalarla
• Reseñas falsas en las apps: por qué las estrellas dicen poco
• Apps de seguridad falsas: cómo reconocer las imitaciones

Da el primer paso: el Programa «Protege tu Privacidad Digital» te acompaña gratis, una recomendación cada vez.