Una red de más de 400 apps y webs disfrazadas de editores de retratos de mascotas escondía un generador de deepfakes sexuales. Una de ellas superó las 100.000 descargas en Google Play.
El interruptor invisible: el mismo código, dos productos
El mecanismo lo describe el investigador Paul Bouchaud, de AI Forensics, que se leyó el código: cada app consulta a un servidor remoto quién eres —de dónde te conectas, en qué idioma hablas, un identificador único— y el servidor decide si te enseña la versión inofensiva o una interfaz con plantillas pornográficas.
No hay una lista pública de motivos para caer en un lado o en el otro. Uno de los disparadores detectados es haber descargado la app después de clicar un anuncio de Meta. Nada más. Ni perfil sospechoso, ni país concreto.
Los números de la operación: casi 500 dominios identificados por Maël Le Touz, de la firma de seguridad Infoblox, todos ejecutando el mismo código y referenciándose entre sí. Las primeras apps aparecen a finales de 2025 y el pico llega en la primavera de 2026, con unas 30 altas por semana.
En septiembre seguían activas 27 en Google Play con más de 350.000 descargas acumuladas. Muchas, clasificadas como aptas para todos los públicos. Un catálogo de pornografía falsa etiquetado como contenido familiar.
La app no cambia de identidad cuando la pillan: cambia de puerta. El servidor decide qué eres tú mucho antes de que tú decidas qué es la app.
La más descargada, DiffAI, se creó en diciembre de 2025 y rebasó las 100.000 instalaciones. Google la retiró minutos antes de que Wired le preguntara por ella. Ese detalle, por sí solo, vale un expediente.
Los anuncios, el dinero y una empresa de Hong Kong
A la red se llegó persiguiendo miles de anuncios en vídeo con deepfakes explícitos en Facebook e Instagram. Cientos de esas piezas, según el Tech Transparency Project, contenían material de abuso sexual infantil generado con IA, con imágenes de menores reales y de un miembro de una familia real europea. Llegaron a decenas de miles de personas.
Katie Paul, directora de TTP, lo dijo sin rodeos: no hay duda de lo que se ve ni de lo que la app anuncia. Y lanzó la pregunta que ninguna plataforma quiere contestar en público: ¿adónde va el dinero?
Meta asegura que vetó a KeLing Technology Limited como anunciante en 2025 y que, tras recibir los más de 400 dominios, actuó contra 11.600 cuentas publicitarias, 4.700 páginas de empresa, 5.200 usuarios, 15.000 páginas y 209 apps. Apple eliminó 19 títulos, entre ellos Viefur, y Google no respondió. La respuesta de Cupertino tiene miga: las apps cumplían las reglas al revisarse y los desarrolladores cambiaron después el sitio del que tira el contenido.
Esto no es un agujero de seguridad, es el modelo de negocio
Llevamos desde 2023 viendo el mismo patrón: app envoltorio barata, anuncio con morbo, cobro en monedas o diamantes y una plataforma que llega tarde. La novedad no es técnica, es de escala. Cuatrocientas puertas, un solo código, alojamiento chino y comentarios en chino dentro del propio código.
Y hay un detalle que me parece el más turbio de todo: el sistema de doble cara está pensado para que la revisión de las tiendas vea la versión tierna. Apple presume de suspender decenas de miles de apps al año con esta táctica, y aun así 27 seguían vivas en Play en septiembre. El gatekeeping no falla por falta de voluntad, falla porque está diseñado para auditar un binario, no para vigilar un servidor que cambia de humor según la IP.
Lo que viene se llama verificación de edad real, control de anunciantes y presión regulatoria sobre la cadena de pago. Y también se llama paciencia: cuando Wired preguntó, alguien renombró canales, borró correos de KeLing y eliminó el domicilio de la empresa del primer sitio registrado. Cosas que pasan en 2026.
Hype-O-Meter
Nivel de hype: 8,5/10. No es hype de lanzamiento, es hype de los que abren expediente: 500 dominios, 350.000 descargas y un mecanismo de ocultación que demuestra que el problema no es la IA, es el embudo publicitario que la monetiza. Se lleva medio punto menos porque las plataformas seguirán diciendo que actuaron antes de que nadie preguntara.
El resumen para vagos (TL;DR)
- 🎯 ¿Qué ha pasado? Más de 400 apps de aspecto inocente activaban un generador de deepfakes sexuales según la respuesta de un servidor.
- 🔥 ¿Por qué importa? Una sola tuvo 100.000 descargas y se anunciaba en Meta con material de abuso infantil.
- 🤔 ¿Nos afecta o es solo un meme? Afecta: el truco funciona porque las tiendas revisan la app, no al servidor que la despierta.
