En marzo de 2026, Malwarebytes contó al menos 1.500 dominios que copiaban la página de Google Play o de App Store para ofrecer juegos de casino. El botón decía «Instalar», pero no instalaba ninguna app revisada por Google. Quien busca un casino online Android en un anuncio de Facebook o Instagram puede cruzarse con una de esas páginas.
Las apps de juego legítimas existen y se pueden instalar con relativa tranquilidad. El problema es que su aspecto se copia en minutos: logotipo, capturas, reseñas inventadas y hasta el contador de descargas. Esta guía explica qué controles pasa una app real, cómo funcionan las APK falsas y qué hacer si ya instaló una en el celular.
Qué exige Google Play a un casino online Android
Google Play prohíbe por regla general las apps de juego con dinero real y solo las admite en determinados países, mediante un formulario de solicitud. Su política exige que el desarrollador tenga una licencia de juego válida en cada país, estado o territorio donde distribuye la app, y que esa licencia cubra exactamente el tipo de juego que ofrece.
Las condiciones no terminan ahí. La app tiene que bloquear el acceso desde territorios no cubiertos por la licencia, impedir el uso a menores, estar clasificada como solo para adultos, mostrar información de juego responsable y descargarse gratis. Tampoco puede venderse como app de pago ni usar la facturación de Google Play: los depósitos van por la caja del operador.
Para el usuario, eso da una comprobación sencilla. Una app de casino con dinero real publicada en Google Play ha pasado por un filtro que exige licencia, y el nombre del desarrollador que aparece en la ficha debería coincidir con la empresa que figura en el registro del regulador. Si no coincide, algo falla.
Conviene no confundir esto con los juegos sociales de casino, que también están en la tienda. Esas apps usan fichas virtuales sin valor de cambio, no pagan premios en dinero y no necesitan licencia de juego. Son legales, pero algunas venden paquetes de fichas a precios altos, así que el riesgo ahí es económico y no de seguridad.
Cómo funcionan las APK falsas de casino
Una APK es el archivo de instalación de una app de Android. Instalarla fuera de Google Play se llama carga lateral, y exige que usted autorice a un navegador u otra app a instalar apps desconocidas. Ese permiso es la puerta que buscan las APK falsas, porque esquiva la revisión de la tienda y el control de licencias descrito arriba.
DomainTools publicó en enero de 2026 un análisis de tres grupos de apps de juego que se distribuían a través de cientos de webs disfrazadas de páginas de instalación de Google Play, con reseñas falsas. Las apps enviaban datos del dispositivo y del usuario a dominios de los atacantes y, según los autores, podían manipular los resultados del juego.
Uno de esos grupos generaba notificaciones falsas de retiros con importes aleatorios para aparentar que otros jugadores cobraban. Los objetivos eran Nigeria, India, Pakistán y Filipinas, aunque algunas capturas mostraban la interfaz en español. Los investigadores señalan que estas APK falsas no pasarían la revisión de Google Play, y dependen de que la víctima instale por su cuenta.
FriendlyDealer, documentado por Malwarebytes el 23 de marzo de 2026, es otra variante. Ahí el botón de instalar crea una aplicación web progresiva, una página que se ancla a la pantalla de inicio, puede enviar notificaciones y lleva a casinos sin verificación de edad ni límites de depósito. El negocio son comisiones de afiliación por cada jugador que deposita.
El malware que se esconde detrás de una app de juego
No todas las apps falsas de casino son malware en sentido estricto. Algunas solo engañan con resultados amañados o llevan a sitios sin licencia. Otras sí son troyanos: Dr.Web describe Android.FakeApp.1669, una familia que llegó a Google Play disfrazada de apps útiles y que, tras recibir una orden de su servidor, abre en su ventana una web de casino online.
Esa familia recibía su configuración mediante consultas DNS a un servidor malicioso, una vía poco habitual para recibir órdenes. Trend Micro había descrito un mecanismo parecido en 2019: apps de clima o de ocio con un interruptor remoto que, una vez aprobadas, cargaban una web de apuestas y ofrecían un APK para Android.
Kaspersky informó que los ataques contra usuarios de Android crecieron un 29 % en el primer semestre de 2025 frente al mismo periodo de 2024. En Brasil detectó los droppers Pylcasa, que entraban en Google Play como calculadoras y abrían direcciones que podían llevar a casinos ilegales o a páginas de phishing. El disfraz de juego es solo el envoltorio.
El malware rara vez anuncia lo que hace. Una app que funciona como juego una semana y luego muestra otra cosa sigue siendo la misma app. Lo que delata el riesgo antes de instalar no es la pantalla de bienvenida sino los permisos que pide y el origen del archivo que usted está a punto de abrir.
Permisos que una app de casino no necesita
Una app de casino legítima necesita internet, notificaciones si usted las quiere y, a veces, la cámara para fotografiar el documento durante la verificación de identidad. Todo lo demás merece una pregunta, porque cada permiso extra amplía lo que la app puede hacer con su teléfono y con sus cuentas. Estos son los permisos que deberían hacerle cancelar la instalación:
- Servicios de accesibilidad: permiten leer la pantalla y pulsar botones en su nombre.
- Lectura o envío de SMS: dan acceso a los códigos de un solo uso del banco.
- Administración del dispositivo: dificultan desinstalar la app.
- Instalar apps desconocidas: convierte la app en una puerta para descargar otras.
- Mostrar sobre otras apps: permite superponer pantallas falsas de inicio de sesión.
Si una app insiste en uno de esos permisos y no funciona sin él, desinstálela. La guía sobre cómo saber si su celular está hackeado y cómo quitar un hacker explica dónde revisar en Android los servicios de accesibilidad, las apps de administración y la lista de apps autorizadas para instalar otras, que es donde suelen esconderse estos permisos.
Cómo verificar al desarrollador y la licencia
Antes de pulsar instalar, abra la ficha de la app en Google Play y baje hasta la sección del desarrollador. Ahí figuran el nombre de la empresa, una web y un contacto. Anote la web y búsquela en el registro oficial del regulador del país donde usted juega; en España, el buscador de la Dirección General de Ordenación del Juego.
Los operadores con licencia estatal en España deben usar un dominio .es. Si la ficha de la app enlaza a otro dominio o a una empresa que no aparece en el buscador de operadores de la DGOJ, la app no corresponde a un operador autorizado, por parecido que sea el logotipo. Lo mismo vale si el desarrollador es un particular.
El nombre del paquete es otra pista útil. Aparece en la dirección de la ficha de Google Play, después de «id=», y suele reflejar el dominio de la empresa al revés. Un paquete genérico o sin relación con la marca, como el de una calculadora que de repente ofrece ruleta, es motivo suficiente para no seguir adelante.
Desconfíe también de la vía de llegada. Las campañas descritas por DomainTools y Malwarebytes empezaban en anuncios pagados en redes sociales que llevaban a una página de descarga. Un operador con app en Google Play enlaza a la tienda oficial, no a un archivo alojado en un dominio recién registrado ni a un grupo de Telegram con un APK adjunto.
Dónde es legal un casino online Android
La licencia que pide Google es la del país donde está el jugador, no la del desarrollador. En España, cualquier casino online Android con dinero real necesita licencia de la DGOJ, que recuerda que las licencias de otros países no valen en España. Una app con licencia de Curazao dirigida a jugadores españoles no es legal, aunque funcione.
En Ecuador la situación es más tajante. La consulta popular de 2011 aprobó prohibir los negocios de juegos de azar, y en mayo de 2026 la Procuraduría General del Estado reiteró, según Primicias, que casinos y juegos de azar son actividades ilícitas, también en su versión digital. Los pronósticos deportivos sí están permitidos y tributan con un impuesto propio.
Eso significa que un casino online Android que se anuncia a usuarios ecuatorianos no tiene un regulador local que revise sus juegos ni ante quien reclamar un retiro. Si el operador desaparece con el saldo, solo queda la vía penal y bancaria. La guía de casinos online fraudulentos y cómo reconocerlos describe ese escenario y los canales de denuncia.
Si ya instaló una app sospechosa
Lo primero es cortar el acceso: desactive datos y wifi, entre en Ajustes y retire los permisos de accesibilidad, administración del dispositivo y notificaciones que haya concedido. Después desinstale la app. Si se trataba de una web instalada en la pantalla de inicio, borre además los datos de ese sitio en el navegador y quite su permiso de notificaciones.
Malwarebytes recuerda ese último paso porque desinstalar el icono no retira el permiso de notificaciones que el sitio obtuvo en Chrome. Luego cambie desde otro equipo las contraseñas de su correo y de la banca que usó en el móvil, y active la verificación en dos pasos con un gestor de contraseñas para no repetir claves.
Si depositó dinero, llame a su banco el mismo día para bloquear la tarjeta y pedir que revise los cargos. Guarde capturas del anuncio, de la página de descarga y de cada pago. En Ecuador, esa documentación sirve para denunciar el delito informático ante la Fiscalía; en España, ante la Policía Nacional o la Guardia Civil.
Lo que conviene revisar cada pocos meses
Abra Play Protect desde el icono de perfil de Google Play y confirme que el análisis está activo, también para apps instaladas desde fuera de la tienda. Revise la lista de apps con permiso para instalar otras y deje solo las imprescindibles. Ese repaso de cinco minutos corta de raíz la vía de entrada de casi todas las APK falsas.
Un último detalle que pocos miran son las reseñas. Cientos de valoraciones de cinco estrellas escritas en pocos días, con frases casi idénticas, son el mismo truco que DomainTools encontró en las páginas que imitaban Google Play. Ante ese patrón, conviene buscar la app desde la web oficial del operador antes de tocar el botón.