Ver partidos de la UEFA Champions League o de la Copa Sudamericana sin pagar una suscripción parece una ventaja al alcance de un clic. Sin embargo, portales como Fútbol Libre, Roja Directa y aplicaciones como Xuper TV comparten un mismo riesgo: exponen contraseñas, datos bancarios y dispositivos completos a programas maliciosos.
El Instituto Nacional de Ciberseguridad de España (Incibe) y la compañía ESET coinciden en que el problema no es la calidad de la transmisión, sino lo que se esconde detrás de ella.
Estas plataformas funcionan con un modelo de negocio donde el verdadero producto no es el partido, sino el usuario. Al no cobrar suscripciones, financian sus costosos servidores de transmisión mediante publicidad de baja reputación, permisos excesivos en sus aplicaciones y, en algunos casos, esquemas de cobro encubierto.
Por qué estas páginas gratuitas ponen en riesgo la seguridad digital
Mantener una transmisión en vivo para miles de espectadores simultáneos exige una infraestructura costosa. Para financiarla sin cobrar suscripciones, los administradores de estos sitios recurren a redes de anuncios que no pasan los filtros de seguridad de plataformas como Google o Meta, lo que abre la puerta a estafas y software dañino.
Incibe advierte que el riesgo no se limita a la publicidad invasiva. Algunas páginas inducen a instalar archivos fuera de las tiendas oficiales o a conceder permisos que no guardan relación con la reproducción de un partido.
A diferencia de Google Play y App Store, los repositorios no oficiales, enlaces directos y sitios de descargas gratuitas no cuentan con los mismos controles previos para detectar comportamientos fraudulentos, según el organismo español.
El problema suele comenzar con una ventana que simula un reproductor, un botón de “ver ahora” o una alerta que pide actualizar una aplicación. Esa interacción puede derivar en la instalación de un programa capaz de alterar el funcionamiento del teléfono, la tableta o la computadora.
Cómo el malvertising y el phishing roban contraseñas sin que el usuario descargue nada
Una de las amenazas más extendidas es el malvertising o publicidad maliciosa, que no requiere la descarga de ningún archivo. Muchos de estos sitios utilizan scripts ocultos en los anuncios: con solo cargar la página o hacer clic accidentalmente en un banner, se puede ejecutar código capaz de explotar vulnerabilidades del navegador e instalar malware en segundo plano.
A esto se suma la ingeniería social. Durante la transmisión suelen aparecer mensajes de alerta falsos, como avisos de que el Flash Player está desactualizado o de que el dispositivo tiene un virus. Al aceptar esas indicaciones, el usuario descarga troyanos o es redirigido a páginas que suplantan a bancos o servicios de correo para robar sus credenciales.
El robo de contraseñas no siempre necesita un correo falso o una web que imite a una entidad bancaria. Una aplicación con permisos excesivos puede incorporar un keylogger, una herramienta que registra las pulsaciones en pantalla o teclado y captura usuarios, contraseñas y números de tarjetas mientras la víctima los introduce.
Incluso los códigos de verificación por mensaje de texto, pensados como capa adicional de seguridad, pueden quedar expuestos. Una aplicación con permiso para leer SMS puede visualizar esos códigos y permitir que un tercero confirme transacciones o modifique credenciales sin que el titular lo note.
Qué datos pide Xuper TV y por qué ESET los considera peligrosos
Xuper TV, la aplicación conocida anteriormente como Magis TV, ofrece series, películas y deportes en vivo sin suscripción mensual y ganó popularidad en los últimos meses, sobre todo en Argentina, Colombia y México. ESET analizó su archivo APK y encontró permisos críticos e invasivos que no corresponden a una aplicación convencional de streaming.
Entre ellos figura android.permission.GET_TASKS, que permite recuperar información sobre las tareas en ejecución y descubrir datos privados de otras aplicaciones.
También solicita android.permission.MOUNT_UNMOUNT_FILESYSTEMS, que habilita montar y desmontar sistemas de almacenamiento extraíble, una función que un atacante podría aprovechar para comprometer el dispositivo.
La aplicación pide además android.permission.POST_NOTIFICATIONS, que facilitaría el envío de spam o contenido de phishing, y android.permission.READ_EXTERNAL_STORAGE, que permite leer el almacenamiento externo y acceder a fotos, videos y documentos guardados, incluida información sensible.
David González Cuautle, investigador de ESET Latinoamérica, advierte: “Una de las señales de maliciosidad de estas apps es la excesiva habilitación de permisos especiales y críticos en el dispositivo”.
“Estas aplicaciones pueden comprometer la seguridad del dispositivo y de toda la red doméstica y ser la puerta de entrada para malware, desde spyware y troyanos hasta herramientas diseñadas para robar información personal”, agregó el especialista.
Ransomware y cryptojacking: el costo oculto de ver televisión gratis
El ransomware es otra de las amenazas señaladas por Incibe. Se trata de un programa que cifra o bloquea archivos del dispositivo: la víctima descubre que ya no tiene acceso a fotos, documentos o videos y recibe un mensaje que exige un pago a cambio de una supuesta recuperación, sin garantía de que los archivos vuelvan a estar disponibles.
Por ese motivo, el organismo recomienda realizar copias de seguridad periódicas en un servicio de almacenamiento en la nube o en una unidad externa, como alternativa ante una infección, un robo o una falla del equipo.
A esta amenaza se suma el cryptojacking. Algunos de estos sitios insertan código en la página que secuestra la potencia del procesador o la tarjeta gráfica del dispositivo.
Mientras el usuario ve el partido, el equipo trabaja al cien por ciento de su capacidad minando criptomonedas para los ciberdelincuentes, lo que provoca sobrecalentamiento, desgaste del hardware y un consumo excesivo de batería.
También existen las llamadas estafas de suscripción oculta. Antes de habilitar la transmisión, la página exige crear una cuenta gratuita o verificar que el usuario no es un robot ingresando los datos de su tarjeta de crédito bajo la promesa de que no se harán cargos. En realidad, el usuario queda suscripto a servicios premium de SMS o membresías fraudulentas con cobros recurrentes.
Los riesgos de los Set-Top Boxes modificados en la red doméstica
El uso de Set-Top Boxes, dispositivos que permiten acceder a contenido sin suscripciones pagas, suma otro frente de exposición. Según ESET, al no contar con controles adecuados, estos equipos pueden exponer a los usuarios a malware y otras amenazas cibernéticas, además de implicar un riesgo legal.
Cabe señalar que retransmitir contenido sin los derechos correspondientes vulnera la propiedad intelectual de los titulares y puede derivar en bloqueos por parte de proveedores de internet o acciones judiciales.
ESET detalló cuatro formas en que un Set-Top Box puede convertirse en una puerta de entrada para el malware. La primera ocurre cuando el dispositivo fue modificado para ejecutar aplicaciones piratas o firmware no oficial, lo que puede afectar tanto al equipo como al televisor si este cuenta con un sistema operativo vulnerable, como una versión alterada de Android TV.
La segunda vía son las aplicaciones maliciosas instaladas desde fuentes no confiables, que pueden contener spyware, troyanos o programas diseñados para robar información.
La tercera es la propagación por red compartida: si el Set-Top Box infectado está conectado a la misma red Wi-Fi que el televisor, un malware avanzado podría propagarse a otros dispositivos conectados. La cuarta es el uso de memorias USB infectadas, requeridas por algunos equipos modificados para instalar archivos, lo que puede convertirse en un vector adicional de infección.
González Cuautle resume la decisión que enfrenta cada usuario: “Instalar una aplicación fuera de las tiendas oficiales puede presentar la posibilidad de que el dispositivo sea comprometido y usado como medio para propagar malware”.
“Por lo mismo, es decisión de cada persona evaluar si vale la pena dejar en bandeja de plata su información solo por evitar pagar una suscripción”, agregó.
