El 2 de noviembre, la revista WIRED publicó una investigación según la cual unas 400 apps y sitios web interconectados, que aparentan ser retratos de mascotas, herramientas para aprender idiomas o entrenadores de fitness con IA, cargan en determinadas condiciones una segunda interfaz que permite subir fotos de otras personas para generar imágenes y vídeos explícitos. Estos contenidos son deepfakes de abuso sexual sin consentimiento, y algunos incluyen violencia.
La pista inicial provino de anuncios en vídeo en Facebook e Instagram. Los investigadores siguieron el rastro de miles de anuncios explícitos y descubrieron que apuntaban a apps de las tiendas de Apple y Google, con pagos a través de Apple Pay y Google Pay.
El cambio llega después de la aprobación
Según el reportaje, tras cada descarga la app envía al servidor datos como el origen del usuario, el idioma y un identificador único, y el servidor decide si muestra la versión normal o la explícita. Llegar desde uno de los anuncios de Meta y descargar la app parece ser una de las condiciones de activación, aunque las reglas concretas no están claras.
Apple llama a esta táctica “bait-and-switch”: el desarrollador cambia el origen del contenido una vez que la app ha sido aprobada. El revisor ve una app de retratos de mascotas, mientras que el usuario de pago puede ver algo muy distinto.
Entre los ejemplos citados, Viefur se presenta como una app de “retratos de mascotas” y vende 130 monedas por unos 4 dólares; DiffAI fue creada en diciembre de 2025 y supera las 100.000 descargas en Google Play.
Las cifras sobre la escala proceden de varios centros de investigación:
- AI Forensics: en septiembre aún había 27 apps relacionadas en Google Play, con más de 350.000 descargas en total, muchas clasificadas como aptas para todas las edades; este año hubo decenas de miles de anuncios explícitos vinculados; en el momento álgido se registraban cerca de 30 sitios web por semana
- Infoblox: identificó casi 500 dominios asociados que, según los investigadores, “ejecutan el mismo código y se referencian entre sí”
El investigador de AI Forensics Paul Bouchaud lo resume así:
“This is an organized, commercially run operation: One operator behind hundreds of disposable apps and domains”
(Es una operación organizada y de carácter comercial: un único operador detrás de cientos de apps y dominios desechables.)
La respuesta de las plataformas
Apple retiró 19 apps tras recibir las pistas de WIRED y afirmó haber actualizado sus normas para restringir aún más este tipo de herramientas. Google no respondió a la solicitud de comentarios, pero ya había eliminado la mayoría de esas apps antes de que los periodistas se pusieran en contacto.
Tras recibir la lista de dominios, Meta confirmó primero más de 3.000 anuncios relacionados, de los cuales alrededor de dos tercios fueron eliminados; después aseguró haber actuado contra 11.600 cuentas publicitarias, más de 4.700 páginas comerciales, 5.200 usuarios y 15.000 páginas, y haber impedido que 209 apps publiquen anuncios. Según el reportaje, estos anuncios ya han motivado investigaciones de reguladores de varios países. La organización sin ánimo de lucro estadounidense Tech Transparency Project también había encontrado antes anuncios de deepfakes que representaban a menores.
Indicios que apuntan a desarrolladores chinos
Para el lector chino, el pasaje más difícil de pasar por alto es la identidad de los operadores. WIRED y los investigadores se apoyan en un conjunto de pruebas indirectas: abundantes comentarios en chino en el código, uso exclusivo de alojamiento dentro de China, marcas de agua de un software de edición de vídeo chino en los anuncios, y datos de contacto, página de acceso al panel de administración y algunos correos electrónicos del primer sitio registrado que apuntan a una empresa registrada en Hong Kong, KeLing Technology Limited.
Se trata de valoraciones de la investigación, y la redacción de WIRED también deja margen para la duda. La empresa no respondió a la solicitud de comentarios, y la información pública relacionada fue modificada o borrada después de que los periodistas preguntaran. Meta afirma que la empresa ya tenía prohibido publicar anuncios en 2025. La grafía en inglés del nombre de la empresa es distinta de la del modelo de vídeo Kling de Kuaishou, y el reportaje no menciona ninguna relación entre ambos; el lector no debe confundirlos.
El medio danés DR ya había informado de una parte del caso en septiembre. Hasta ahora, el reportaje no menciona la apertura de causas por parte de las fuerzas del orden ni sanciones sistemáticas a nivel de las tiendas, y ninguna institución ha dado cifras actualizadas sobre cuántas apps de la red siguen en línea.
Fuentes: revista WIRED, AI Forensics, CocoLoop, Infoblox; las cifras de las medidas de las plataformas siguen la información que Apple y Meta facilitaron a los medios, y la identidad de los operadores es una valoración de la investigación.