Si tienes esta popular 'app', estás en peligro: oculta suscripciones mientras edita vídeos

Mientras que en Google Play se vende como "la mejor aplicación para editar vídeos y fotos", al someterse al análisis de expertos en ciberseguridad es también una de las aplicaciones móviles que engrosa desde hace bastante tiempo la 'lista negra' de herramientas más maliciosas que elabora la plataforma de seguridad móvil de Upstream, Secure-D, que se encarga de dar seguimiento y bloquear transacciones sospechosas vinculadas a dispositivos móviles. A su vez, esta 'app' cuenta con más 100 millones de descargas en la tienda virtual de Google y una mayoría de críticas de cinco estrellas, la máxima calificación que se le puede dar a una herramienta en Google Play.

Sin embargo, el que sea una de las aplicaciones más populares entre los usuarios no quiere decir que su funcionamiento se limite a dar las mejores prestaciones a quien está detrás de la pantalla, ya que tal y como alerta Secure-D en un reciente análisis se trata también de un editor que desde principios de 2019 intenta sistemáticamente iniciar suscripciones a servicios premium en un segundo plano sin notificárselo al usuario y sin que este se dé cuenta, además de que tampoco solicita la expresa autorización del usuario que se descargó la 'app'.

Aunque se ofrece en Google Play como una aplicación totalmente gratis, VivaVideo, que salió al mercado en abril de 2013 y ha conseguido con el paso de los años ganar adeptos entre los aficionados a los montajes y la edición rápida de vídeos con aspecto cercano a lo profesional, ha intentado operar desde 2019 más de 20 millones de transacciones móviles sospechosas en más de un millón de dispositivos con el objetivo de realizar a nombre del usuario una suscripción a un servicio premium, unos movimientos que han sido detectados y bloqueados por Secure-D. En los mercados donde se ha detectado una mayor actividad fraudulenta, con Brasil a la cabeza —más de 11,5 millones de transacciones localizadas en este país— estos intentos por activar suscripciones falsas podrían haber conllevado unos costes indeseados a los usuarios que superarían los 27 millones de euros.

Con el auge de los vídeos breves en Instagram con el formato 'reels' y la popularidad de TikTok, que se convirtió ya a mitad de 2020 en la 'app' más descargada por los usuarios en lo que había transcurrido de año, VivaVideo no solo suma popularidad en Google Play con una puntuación de 4.4 resultante de más de 12 millones de reseñas; sino que también congrega seguidores en sus perfiles oficiales en las redes sociales, donde reúne por ejemplo en Instagram a 550.000 los usuarios que siguen las publicaciones de una de las 'apps' de moda para poderse subir al carro de las tendencias en internet. Antes de la nueva investigación que ha realizado esta plataforma de seguridad móvil, ya se conocían otras estrategias fraudulentas de la herramienta desarrollada por QuVideo Inc, asentada en Hangzhou (China), para recopilar datos personales del usuario sin que este estuviera en conocimiento.

Suscripciones y publicidad a escondidas

Pensada para editar montajes de vídeo incluyendo efectos de imagen y sonido, VivaVideo ejecutaba sin ninguna acción o autorización expresa del usuario una suscripción a un servicio llamado 'KidZone' por el que se cobraba 0,21 céntimos por día e incluso simulaba clicks falsos a una supuesta publicidad que venían seguidos por un intento de suscripción, tal y como ha podido monitorizar Secure-D y se hacen eco también desde la propia página de Upstream. Si la suscripción salía bien, la empresa que hubiera detrás de esa publicidad se llevaba una comisión por la supuesta venta.

La 'app' no se quedaba ahí, sino que también pide más permisos a los usuarios que se descargan la aplicación móvil de los debidamente necesarios, con accesos a información de localización GPS o datos procedentes de aplicaciones destinadas a hacer deporte: una información que, según lo que destacan desde Secure-D, no suele ser necesaria para que puedan funcionar este tipo de 'apps' y que va más bien destinada a actividades que se efectúan a espaldas del usuario del teléfono móvil. Por si fuera poco, en versiones anteriores VivaVideo utilizaba un kit de desarrollo de software de terceros (SDK), conocido por el nombre de Batmobi y por ser una de las SDK que Google investigó en 2018 por fraude publicitario prohibiendo que se distribuyeran en el entorno de Google Play, que se dedica a inyectar clicks falsos en publicidad para reclamar luego una cantidad a la empresa en cuestión.

Aunque desde Secure-D señalan que Batmobi ya no está presente en Google Play, el hecho de que se compartan aplicaciones a través de sitios como ShareIt —un software de transferencia de archivos con el que se pueden enviar 'apps' a terceros— ha podido favorecer que siga circulando entre dispositivos. De acuerdo con la recomendación que da la plataforma de seguridad, no es necesario borrar la aplicación, sino que los usuarios que la tengan descargada en su móvil pueden estar cubiertos si actualizan desde Google Play la 'app' a su última versión.