Existe una aplicación para casi todo hoy en día, ¿verdad? Pues revisar el registro de llamadas de un número telefónico ajeno no es una de esas cosas, como descubrieron potencialmente millones de usuarios de Android tras pagar suscripciones de aplicaciones que prometían exactamente eso.
Las aplicaciones fraudulentas, a las que hemos denominado CallPhantom por sus afirmaciones engañosas, se presentan como herramientas capaces de proporcionar acceso a historiales de llamadas, registros de SMS e incluso bitácoras de llamadas de WhatsApp para cualquier número de teléfono. Para desbloquear esta supuesta funcionalidad, se pide al usuario que realice un pago. Sin embargo, lo único que obtienen a cambio son datos generados aleatoriamente.
Nuestra investigación identificó 28 de estas aplicaciones fraudulentas disponibles en Google Play Store, que acumulaban más de 7,3 millones de descargas combinadas. Como socio de App Defense Alliance, reportamos nuestros hallazgos a Google, que procedió a eliminar todas las aplicaciones identificadas en este informe de su tienda oficial.
El origen de la investigación: una publicación en Reddit destapa la estafa de CallPhantom
En noviembre de 2025, nuestro equipo de investigación se topó con una publicación en Reddit que alertaba sobre una aplicación llamada Call History of Any Number, disponible en Google Play. Esta aplicación afirmaba poder recuperar el historial de llamadas de cualquier número telefónico que el usuario ingresara. Publicada bajo el nombre de desarrollador Indian gov.in, la aplicación no tenía ninguna vinculación real con el gobierno de la India.
Como era de esperar, nuestro análisis demostró que los datos del “historial de llamadas” proporcionados por esta aplicación eran completamente falsos. La aplicación generaba números de teléfono aleatorios y los emparejaba con nombres fijos, horas de llamada y duraciones predefinidas, todo ello incrustado directamente en su código. Estos datos falsos se presentaban a las víctimas solo después de que estas realizaban el pago.
Una captura de pantalla de este historial de llamadas fabricado estaba incluso incluida en la ficha de la aplicación en Google Play, presentada como una demostración de su funcionalidad. Una investigación más profunda reveló la existencia de aplicaciones relacionadas adicionales en la tienda, sumando un total de 28 aplicaciones de tipo CallPhantom.
Mecanismo del engaño: ¿Cómo funciona la aplicación y por qué es imposible lo que promete?
Muchos usuarios se preguntan: ¿Es posible acceder al registro de llamadas de cualquier número de teléfono? La respuesta técnica es un rotundo no. Para aclarar el mecanismo de esta estafa, es fundamental entender que, por diseño, los operadores de telefonía y los sistemas operativos no exponen los historiales de llamadas de terceros a aplicaciones externas. Una aplicación instalada en un dispositivo Android solo puede acceder a los datos de llamadas propios del dispositivo en el que se ejecuta, y solo con el permiso explícito del usuario dueño de ese dispositivo.
Las aplicaciones CallPhantom no necesitaban solicitar permisos invasivos porque técnicamente era imposible que cumplieran su promesa. En su lugar, empleaban datos generados aleatoriamente a partir de plantillas y nombres codificados. Una vez que el usuario pagaba, la aplicación mostraba una lista de números, nombres y duraciones de llamada completamente inventados, extraídos de un conjunto fijo de datos incrustados en el código de la app.
Este vacío técnico era el núcleo del timo: ofrecer un servicio que no puede existir, aprovechando la curiosidad o la desconfianza del usuario para obtener un pago por adelantado.
Dos vertientes operativas de la estafa CallPhantom
Nuestra investigación identificó dos grupos principales de estas aplicaciones fraudulentas, con ligeras variaciones en su funcionamiento:
Primer grupo: datos falsos precargados
Las aplicaciones del primer grupo contenían nombres, códigos de país y plantillas de mensajes codificados en su código fuente. Estos elementos se combinaban con números de teléfono generados aleatoriamente y se mostraban al usuario como “resultados” parciales de la búsqueda. Para ver el historial completo (falso), la víctima debía pagar. Este enfoque generaba la ilusión de que la aplicación estaba realizando una búsqueda real, cuando en realidad solo estaba seleccionando combinaciones de un banco de datos prefabricado.
Segundo grupo: la promesa de un correo electrónico que nunca llega
Las aplicaciones del segundo grupo operaban de manera ligeramente distinta. Solicitaban a los usuarios que ingresaran una dirección de correo electrónico donde, supuestamente, se enviaría el historial de llamadas “recuperado”. En estos casos, no se generaba ningún dato hasta después del pago. El usuario debía pagar o suscribirse antes de que se enviara un correo electrónico que, por supuesto, nunca llegaba. Esta táctica añadía una capa adicional de verosimilitud, al simular un proceso de entrega por correo.
Estrategias de monetización y la elusión de las políticas de Google Play
En las aplicaciones CallPhantom que analizamos, observamos tres métodos de pago distintos, los dos últimos de los cuales violan la política de pagos de Google Play. Esta diversidad en los métodos de cobro es un indicador clave de la sofisticación de la estafa y de la intención de los estafadores de dificultar cualquier reembolso.
Primero, algunas de las aplicaciones utilizaban suscripciones a través del sistema de facturación oficial de Google Play. Este es el método requerido por la política de pagos de Google para aplicaciones que ofrecen compras integradas. Las compras realizadas a través de este sistema están cubiertas por la protección de reembolso de Google.
Segundo, una parte significativa de las aplicaciones recurría a sistemas de pago de terceros que soportan UPI (Interfaz de Pagos Unificados, por sus siglas en inglés), un método de pago muy popular en la India. Para estos pagos, las aplicaciones CallPhantom incluían tanto direcciones URL codificadas como direcciones obtenidas dinámicamente desde una base de datos en tiempo real de Firebase. Esto significaba que la cuenta de pago podía ser cambiada en cualquier momento por el operador de la estafa, dificultando su rastreo.
Tercero, en algunos casos, los formularios de pago con tarjeta de crédito estaban incluidos directamente dentro de las propias aplicaciones CallPhantom. Este es el método más peligroso para el usuario, ya que expone directamente los datos de su tarjeta bancaria a los estafadores.
Tácticas de presión psicológica: notificaciones engañosas y precios variables
Más allá del engaño técnico, los desarrolladores de CallPhantom empleaban tácticas de presión psicológica para convencer a los usuarios de que pagaran. Un ejemplo claro es el de las notificaciones engañosas. Si el usuario salía de la aplicación sin haber pagado, la app mostraba alertas que imitaban el estilo de los correos electrónicos, afirmando que los resultados del historial de llamadas ya estaban listos. Al hacer clic en la notificación, el usuario era redirigido directamente a una pantalla de suscripción o pago.
Los precios solicitados por este servicio falso variaban ampliamente entre las aplicaciones. Se ofrecían diferentes “paquetes” de suscripción, como servicios semanales, mensuales o anuales. El precio más alto solicitado alcanzó los 80 dólares estadounidenses. Para el “nivel de suscripción” más bajo, el precio medio solicitado rondaba los 5 euros. Esta variabilidad de precios sugiere que los estafadores estaban probando diferentes modelos de monetización para maximizar sus ganancias.
Cómo protegerse y qué hacer si se ha sido víctima de la estafa
Ante la proliferación de este tipo de estafas, es crucial que los usuarios sepan cómo actuar. Las suscripciones adquiridas a través del sistema de facturación oficial de Google Play se pueden cancelar en la aplicación de Play Store. Para ello, el usuario debe tocar su icono de perfil, navegar a Pagos y suscripciones → Suscripciones, seleccionar la suscripción activa y tocar Cancelar suscripción. Google explica este proceso en su página de ayuda oficial.
En el caso de las 28 aplicaciones descritas en este informe, las suscripciones existentes se cancelaron automáticamente cuando las aplicaciones fueron eliminadas de Google Play. Sin embargo, la posibilidad de obtener un reembolso no está garantizada. Google puede emitir un reembolso dependiendo del tiempo transcurrido desde la compra, el tipo de artículo y su política de reembolso. Las solicitudes deben realizarse dentro del período de reembolso permitido.
La situación es mucho más compleja para las compras realizadas fuera de Google Play, ya sea ingresando los datos de la tarjeta de pago dentro de la aplicación o pagando a través de servicios de terceros. En estos casos, Google no puede cancelar la suscripción ni emitir un reembolso. Los usuarios afectados deben contactar directamente con el proveedor de pagos o con el desarrollador de la aplicación, una tarea que, en la práctica, suele ser infructuosa debido a la naturaleza anónima de los estafadores.
Implicaciones y lecciones para el ecosistema Android
La estafa CallPhantom expone varias vulnerabilidades en el ecosistema de aplicaciones móviles. La más evidente es la capacidad de aplicaciones fraudulentas para acumular millones de descargas en Google Play Store antes de ser detectadas y eliminadas. Este caso demuestra que, a pesar de los esfuerzos de Google por mejorar la seguridad de su tienda, los estafadores encuentran formas de sortear los filtros iniciales.
Además, la elusión del sistema de facturación oficial de Google Play representa un desafío regulatorio y de seguridad. No solo dificulta el reembolso para las víctimas, sino que también expone a los usuarios a un mayor riesgo financiero, ya que sus datos de pago se manejan fuera de la supervisión de Google. La complejidad para rastrear los flujos de dinero, especialmente a través de sistemas como UPI y bases de datos dinámicas como Firebase, complica la labor de las autoridades.
Para los 7,3 millones de usuarios que descargaron alguna de estas aplicaciones, la lección es clara: cualquier aplicación que prometa acceso a datos privados de terceros, como registros de llamadas de cualquier número, es casi con certeza una estafa. La privacidad y la seguridad de los datos de comunicación están diseñadas para ser inaccesibles desde fuera del dispositivo del titular de la línea. La mejor defensa es el escepticismo y la verificación de la legitimidad de las aplicaciones antes de realizar cualquier pago.
Este incidente refuerza la necesidad de que los usuarios se mantengan informados sobre las tácticas de ingenería social y las promesas técnicamente imposibles. La curiosidad, en este caso, resultó ser un anzuelo muy efectivo para los estafadores, que convirtieron una promesa imposible en un negocio lucrativo a costa de la confianza de millones de personas.
