APK falso por WhatsApp: cómo reconocerlo y qué hacer si ya lo instalaste

Te llega un mensaje por WhatsApp o SMS: “Tienes un comparendo pendiente, descarga el soporte”, “Te enviamos la factura”, “Mira las fotos del evento” o “Actualiza la app del banco”. Adjunto viene un archivo que termina en .apk. Parece inofensivo, pero ese archivo es una aplicación, y si la instalas puede leer tus mensajes, ver tus códigos de verificación y hasta mover dinero de tus cuentas.

Esta guía explica, sin tecnicismos, qué es un APK, por qué los estafadores lo usan tanto en Colombia y Latinoamérica, cómo reconocerlo y qué hacer si ya lo abriste. Si quieres repasar primero cómo funcionan los mensajes engañosos en general, lee Cómo reconocer y evitar el phishing y el smishing en Colombia.

Qué es un APK y por qué es peligroso

Un APK es el formato de instalación de las aplicaciones de Android. Cuando bajas una app desde Google Play, por dentro también es un APK, pero pasa por revisiones de seguridad. El problema aparece cuando alguien te manda el archivo directamente por chat o por un enlace: nadie lo revisó y puede hacer lo que su creador quiera.

Un PDF o una foto no se “instalan”. Un APK sí. Por eso, cuando un supuesto documento te pide instalar algo, ya hay una señal de alarma: las facturas, multas y citaciones reales no necesitan una app para abrirse.

En iPhone este truco casi no funciona, porque el sistema no permite instalar apps por fuera de la tienda de forma sencilla. La mayoría de víctimas usa Android, que es el sistema más común en la región.

Los disfraces más comunes del APK falso

Los estafadores cambian el nombre del archivo según lo que esté de moda o lo que más asuste. Estos son los más frecuentes:

• Multas y comparendos: “Fotomulta pendiente, descarga el comprobante”.
• Entidades del Estado: supuestas notificaciones de la DIAN, la Fiscalía, un juzgado o una “demanda en tu contra”.
• Bancos y billeteras: “Actualiza tu app de seguridad”, “Nueva versión obligatoria de la app”.
• Paquetes y envíos: “Tu pedido está retenido, instala la app para rastrearlo”.
• Familia y amigos: “Mira las fotos”, “Invitación a la boda”, enviado desde el número de alguien conocido al que ya le robaron el WhatsApp.
• Trabajo y premios: “Instala esta app para cobrar tu premio” o “para empezar el trabajo desde casa”.

Todos tienen algo en común: urgencia (“hoy vence”), miedo (“embargo”, “demanda”) o curiosidad (“mira quién sale en las fotos”).

Qué puede hacer la app falsa si la instalas

No hace falta entender cómo está hecha. Basta saber qué suele pedir y para qué la usan:

• Leer tus SMS y notificaciones: así ven los códigos que te manda el banco o WhatsApp.
• Permiso de “accesibilidad”: es una función pensada para personas con discapacidad, pero en manos de una app falsa le permite ver tu pantalla y tocar botones por ti.
• Mostrar pantallas falsas encima de la app del banco para que escribas tu clave en el lugar equivocado.
• Reenviarse a tus contactos para seguir engañando a tu familia desde tu número.
• Esconder su ícono para que no la encuentres después.

Por eso el daño puede llegar rápido: en pocos minutos el atacante puede tener tu clave y el código de confirmación.

Cómo reconocer un APK falso antes de abrirlo

1. Mira la extensión del archivo. Si termina en .apk y te lo enviaron por chat, correo o SMS, no lo abras. Así venga de un contacto conocido.
2. Desconfía si el teléfono te pide “permitir instalar apps de esta fuente”. Ese aviso existe justamente para frenarte. Toca “Cancelar”.
3. Revisa quién lo manda. Las entidades oficiales y los bancos no envían aplicaciones por WhatsApp. Si dudas, entra tú al sitio oficial escribiendo la dirección, o llama al número que aparece en el respaldo de tu tarjeta.
4. Si viene de un familiar, confirma por llamada. Pregúntale con voz si de verdad te mandó eso. Muchas veces su cuenta ya fue tomada.
5. Fíjate en el tono. Faltas de ortografía, amenazas, plazos de horas y premios inesperados son señales clásicas de fraude.

Ajustes que te protegen en Android

Dedica cinco minutos a revisar esto en tu celular y en el de tus padres. Los nombres de los menús cambian un poco según la marca, pero suelen estar en Ajustes:

• Google Play Protect activado: abre Google Play, toca tu foto de perfil y entra a Play Protect. Debe estar encendido para que revise las apps del teléfono.
• Instalar apps desconocidas desactivado: busca en Ajustes “apps desconocidas” o “fuentes desconocidas” y verifica que WhatsApp, el navegador y el correo no tengan permiso para instalar aplicaciones.
• Descarga automática de WhatsApp limitada: en WhatsApp, entra a Ajustes, luego Almacenamiento y datos, y desactiva la descarga automática de documentos. Así nada llega a tu teléfono sin que lo decidas.
• Sistema y apps actualizados: las actualizaciones cierran huecos que usan estas apps falsas.
• Verificación en dos pasos en WhatsApp: te protege si intentan registrar tu número en otro teléfono.

Ya instalé el APK: qué hacer ahora

Si ya lo abriste, no te culpes: estos mensajes están hechos para engañar a cualquiera. Lo importante es actuar rápido y en orden.

1. Desconecta el celular de internet. Activa el modo avión. Así la app no puede enviar ni recibir información mientras actúas.
2. Llama a tu banco desde otro teléfono. Explica que instalaste una app sospechosa, pide bloquear temporalmente tus productos y que te den un número de radicado.
3. Desinstala la app. Entra a Ajustes, luego Aplicaciones, y busca nombres raros o recientes (por ejemplo “Comparendo”, “Factura”, “Actualización”). Si no te deja desinstalarla, revisa en Ajustes de seguridad las “apps de administración del dispositivo” y quítale ese permiso primero. Revisa también qué apps tienen permiso de accesibilidad y apágalo en las que no reconozcas.
4. Si no logras quitarla, lleva el celular a revisión o, como último recurso, haz un restablecimiento de fábrica después de guardar tus fotos y contactos.
5. Cambia tus contraseñas desde otro dispositivo: correo, banca, billeteras y redes sociales. Usa claves diferentes en cada servicio.
6. Avisa a tus contactos que no abran nada que llegue desde tu número en las últimas horas.
7. Guarda evidencias y denuncia. Capturas del mensaje, el número que lo envió y el nombre del archivo.

Si además perdiste dinero, sigue la guía completa de Qué hacer si ya te estafaron: pasos urgentes, denuncia y recuperación.

Cómo proteger a tu familia de los APK falsos

Las personas mayores y los adolescentes son blancos frecuentes. Acuerda tres reglas sencillas en casa:

• Ningún archivo .apk se abre, venga de quien venga.
• Las apps solo se instalan desde Google Play (o App Store en iPhone).
• Ante cualquier multa, demanda o premio, primero se pregunta a alguien de confianza o se llama a la entidad por su número oficial.

Si tienes acceso al celular de tus padres, deja Play Protect activo y las fuentes desconocidas bloqueadas. Es una configuración de pocos minutos que evita muchos sustos.

Preguntas frecuentes

¿Me pueden robar solo por recibir el APK, sin abrirlo?

En la gran mayoría de casos, no. El riesgo empieza cuando tocas el archivo y aceptas instalarlo. Por eso conviene borrarlo del chat y desactivar la descarga automática de documentos en WhatsApp.

¿Los iPhone también corren riesgo?

Mucho menos con este truco en particular, porque iPhone no instala archivos APK. Pero sí pueden caer en enlaces falsos que piden claves, así que las demás reglas aplican igual.

¿Un antivirus para celular es suficiente?

Ayuda, pero no reemplaza el sentido común. Google Play Protect ya viene incluido en la mayoría de Android. Lo más efectivo sigue siendo no instalar apps que llegan por chat.

¿Si el archivo me lo mandó un familiar, es seguro?

No necesariamente. Muchas cuentas de WhatsApp son tomadas y usadas para enviar estos archivos a toda la lista de contactos. Confirma siempre con una llamada.

¿Cómo sé si mi celular tiene una app falsa instalada?

Señales comunes: batería que se descarga rápido, apps que no reconoces, avisos raros del banco, mensajes enviados que tú no escribiste o permisos de accesibilidad activados en apps desconocidas. Si notas algo así, sigue los pasos de la sección anterior.

Conclusión

La regla de oro es corta: si te llega un archivo .apk por WhatsApp, SMS o correo, no lo abras. Las multas, facturas, citaciones y bancos reales no te piden instalar aplicaciones por chat. Activa Play Protect, bloquea las fuentes desconocidas y comparte esta guía con tu familia. Si ya caíste, actúa rápido: modo avión, llamada al banco, desinstalar y cambiar claves.