Cuidado con el falso GPT-6 Astra: quiere cobrarte hasta 249 dólares al mes
Detrás de un diseño impecable puede esconderse una trampa, y el caso del falso GPT-6 Astra lo demuestra sin margen de dudas. Una investigación de Malwarebytes ha sacado a la luz una red de más de cien sitios web que juegan con la apariencia de legitimidad para vender suscripciones de cientos de euros. Certificado HTTPS, testimonios de usuarios, cifras de rendimiento e incluso un botón de acceso que lleva a una página real de Google. Todo perfectamente montado, pero nada de eso garantiza que detrás exista de verdad la empresa que creemos estar visitando.
La estrategia es más sutil de lo habitual. No hablamos de formularios que roban contraseñas ni de descargas cargadas de malware. El negocio consiste simplemente en convencer al visitante de que está contratando un servicio auténtico, y que saque la tarjeta por voluntad propia. Varios de estos sitios usan nombres de productos conocidos como GPT-6 Astra, DaVinci Resolve, PixAI u OpenCut, mientras que otro llega a recuperar la marca Omegle, cuyo servicio original cerró en 2023. Otros presentan herramientas de inteligencia artificial con nombres mucho menos reconocibles y sin información verificable sobre quién las gestiona.
Una fachada que engaña incluso al login de Google
Link affiliatoEl caso del falso GPT-6 Astra ilustra bien todo el mecanismo. La web muestra una presentación cuidada de la supuesta herramienta y ofrece planes de unos 82, 156 y 229 euros al mes, pero no permite comprobar qué producto existe realmente antes de pagar. OpenAI distribuye Astra a través de sus propios servicios y socios oficiales, así que una web independiente que use su nombre para cobrar suscripciones debería activar las alarmas de inmediato.
Lo más desconcertante es que el acceso con Google es completamente real. Al pulsarlo, el usuario llega a los servidores de Google e introduce allí su contraseña, mientras la aplicación solicita solo datos básicos como nombre, correo y foto de perfil. Precisamente por eso genera una falsa sensación de seguridad. Google autentica al usuario y entrega la información autorizada, pero no certifica que esa aplicación pertenezca realmente a OpenAI, Blackmagic Design o cualquier otra marca que aparezca en pantalla. Revisar el nombre, el dominio y los datos del desarrollador en la ventana de consentimiento sigue siendo imprescindible.
Un kit barato para clonar servicios en una hora
Montar toda esta apariencia no requiere una infraestructura sofisticada. Malwarebytes descubrió que estas webs utilizan un kit comercial legítimo de unos 229 euros, pensado para crear servicios online con cuentas de usuario, facturación, almacenamiento y herramientas de gestión. Las plantillas extra cuestan alrededor de dos euros y el propio vendedor promociona la posibilidad de lanzar un producto nuevo en cerca de una hora. Basta con cambiar dominio, colores, logotipo y descripción para tener otra versión lista.
Link affiliatoAlgunos sitios ni siquiera limpiaron los restos del material de demostración. Aparecían testimonios reutilizados, elementos de ejemplo e incluso un plan de suscripción que todavía conservaba la palabra boilerplate. Compartir el mismo kit no demostraría por sí solo que todos los sitios pertenecen a la misma persona, pero la conexión se vuelve más clara al analizar los archivos cargados y, sobre todo, los datos registrados ante Google. Muchos usan versiones casi idénticas del mismo software y los contactos de desarrollador recurren a direcciones gratuitas con el mismo nombre y pequeñas variaciones numéricas. Los investigadores consideran probable que exista un único operador, o un grupo muy relacionado, capaz de multiplicar con poco esfuerzo páginas que aparentan ser productos independientes.
El riesgo tampoco termina al pagar. Algunas suscripciones superan los 1.800 euros anuales, y ciertas webs permiten subir documentos, grabaciones y otros archivos para que la supuesta herramienta de IA los procese. Se puede acabar entregando dinero e información privada a un servicio cuyo dueño resulta imposible de identificar. El viejo consejo de mirar el candado del navegador o desconfiar de las páginas con aspecto descuidado se ha quedado corto. Una web puede ser técnicamente segura, usar el login real de Google y parecer impecable, y seguir sin ser lo que promete. Antes de pagar por GPT-6 Astra o cualquier otro servicio conocido, la comprobación que de verdad importa sigue siendo la más básica: si estamos en su dominio oficial y si sabemos quién hay detrás.
Fuente
Imagen: muycomputer.com