Un análisis realizado por ESET detectó que la APK de XUPER TV puede pedir permisos para consultar contenidos guardados en el dispositivo, como fotos, vídeos, documentos, grabaciones de voz y archivos descargados. Aunque la función principal de la app es la reproducción de contenidos, la instalación fuera de las tiendas oficiales expone al usuario a otros riesgos que van más allá de la reproducción audiovisual: publicidad no deseada, software adicional y posibles intentos de fraude.
El informe destaca que estas APKs suelen circular por fuera de Google Play Store o la App Store, lo que dificulta controles de seguridad previos. En ese canal, podrían distribuirse versiones alteradas o copias falsas con permisos innecesariamente amplios para una plataforma de streaming.
El análisis detalla que la APK analizada podría acceder al contenido del almacenamiento, lo que incluye archivos personales y de trabajo. En dispositivos móviles, la exposición podría ser mayor que en una TV tradicional, donde la cantidad de datos suele ser menor. Aun cuando un televisor acumula menos información, la situación cambia si la APK se instala en un teléfono, una tablet o una TV Box vinculados a otros equipos.
Entre los datos potencialmente vulnerables se cuentan documentos de identidad, recibos, contratos, imágenes privadas, notas de voz y otros archivos con información sensible. Esto podría ocurrir si se otorgan permisos amplios o si, tras una actualización, se añaden componentes que amplían el acceso.
La descarga de una APK no oficial exige revisar con atención qué permisos solicita antes de completar la instalación. Una app que solo busca reproducir contenido no debería requerir un acceso tan amplio a materiales que no guardan relación con su función.
El análisis también halló que la app podría identificar qué otras aplicaciones están activas o instaladas en el dispositivo. Esa información puede revelar hábitos digitales y datos sobre servicios usados, desde plataformas bancarias y correo electrónico hasta redes sociales o gestores de contraseñas.
Si bien por sí sola esa capacidad no implica un robo de información, el riesgo aumenta cuando esos datos se utilizan para fraudes dirigidos. Un atacante podría identificar apps conocidas por el usuario y enviar mensajes que simulen actualizaciones, alertas de seguridad o solicitudes de inicio de sesión, con el objetivo de obtener contraseñas, códigos de verificación o datos bancarios.
Expertos en ciberseguridad señalan que la APK de XUPER TV podría facilitar la instalación de paquetes complementarios. En la práctica, un aviso que simule una actualización, una corrección técnica o un add-on para acceder a canales podría incorporar otro software sin que el usuario detecte su función real. Ese tipo de mecanismo funciona como vector de posibles instalaciones no deseadas y sin consentimiento claro del usuario, lo que refuerza la necesidad de evitar instalaciones fuera de tiendas oficiales y de revisar minuciosamente los permisos que solicita cualquier APK antes de su uso.
