Ver un partido de la Champions League o de la Copa Sudamericana sin pagar parece un beneficio inmediato. Pero sitios como Fútbol Libre y Roja Directa, y aplicaciones como Xuper TV, comparten un mismo problema de fondo: exponen las contraseñas, los datos bancarios y los dispositivos de quienes los usan a programas maliciosos. Así lo advierten el Instituto Nacional de Ciberseguridad de España (Incibe) y la empresa de seguridad ESET, que coinciden en que el riesgo no está en la calidad de la imagen sino en lo que ocurre detrás de la pantalla.

La lógica de estos servicios es simple: al no cobrar una suscripción, sostienen los costosos servidores de transmisión con publicidad de baja reputación, permisos excesivos en sus aplicaciones y, en algunos casos, cobros encubiertos. El producto, en definitiva, no es el partido: es el usuario.

Publicidad que no pasa los filtros

Sostener una transmisión en vivo para miles de espectadores al mismo tiempo requiere una infraestructura cara. Para financiarla sin abonos, los administradores recurren a redes de anuncios que no superan los controles de seguridad de plataformas como Google o Meta. Eso abre la puerta a estafas y software dañino.

El Incibe señala que el problema va más allá de la publicidad molesta. Algunas páginas inducen a instalar archivos fuera de las tiendas oficiales o a conceder permisos que no tienen relación con reproducir un partido. A diferencia de Google Play y App Store, los repositorios no oficiales, los enlaces directos y los sitios de descarga gratuita no cuentan con los mismos controles previos para detectar comportamientos fraudulentos, según el organismo español.

Todo suele empezar con una ventana que imita un reproductor, un botón de "ver ahora" o una alerta que pide actualizar una aplicación. Esa interacción puede terminar en la instalación de un programa capaz de alterar el funcionamiento del teléfono, la tableta o la computadora.

Malvertising y phishing: el robo sin descargas

Una de las amenazas más difundidas es el malvertising, o publicidad maliciosa, que no exige descargar ningún archivo. Muchos de estos sitios esconden scripts en los anuncios: alcanza con cargar la página o tocar un banner por error para que se ejecute código que aprovecha fallas del navegador e instala malware en segundo plano.

A eso se suma la ingeniería social. Durante la transmisión aparecen mensajes falsos, como avisos de que el Flash Player está desactualizado o de que el equipo tiene un virus. Si el usuario sigue esas indicaciones, descarga troyanos o cae en páginas que imitan a bancos o servicios de correo para quedarse con sus credenciales.

El robo de contraseñas no siempre necesita un correo falso ni una web que copie a un banco. Una aplicación con permisos de más puede incluir un keylogger, una herramienta que registra las pulsaciones en pantalla o teclado y captura usuarios, claves y números de tarjetas mientras la víctima los escribe. Incluso los códigos de verificación por SMS, pensados como capa extra de seguridad, pueden quedar al descubierto: una app con permiso para leer mensajes de texto puede verlos y permitir que un tercero confirme operaciones o cambie credenciales sin que el titular lo advierta.

El caso Xuper TV

Xuper TV, la aplicación antes conocida como Magis TV, ofrece series, películas y deportes en vivo sin abono mensual y ganó popularidad en los últimos meses, sobre todo en Argentina, Colombia y México. ESET analizó su archivo APK y encontró permisos críticos e invasivos que no corresponden a una aplicación convencional de streaming.

Entre ellos aparece android.permission.GET_TASKS, que permite recuperar información sobre las tareas en ejecución y acceder a datos privados de otras aplicaciones. Para el usuario, la recomendación es clara: desconfiar de los reproductores que piden permisos ajenos a la reproducción y evitar la instalación de archivos fuera de las tiendas oficiales.