DeepNude app: qué se instala en realidad con ese nombre

Cuatro cosas se ven sin ejecutar nada: quién firma el paquete, cuánto pesa, de qué dominio vino y qué pide al instalarse. Una app de este tipo de unos pocos megabytes no lleva modelo alguno dentro: es una ventana que abre una página remota. Y un archivo alojado detrás de un acortador o una encuesta no tiene autor identificable.

El peso es el dato más honesto de los cuatro, porque no depende de lo que diga nadie. Un modelo generativo capaz de trabajar sin conexión ocupa cientos de megabytes y exige memoria de video; un archivo de diez o quince megabytes no puede contenerlo, por mucho que la descripción hable de inteligencia artificial en el teléfono. Cuando el tamaño y la promesa no cuadran, el que miente es el texto.

Instalar desde fuera de la tienda obliga a activar la instalación de orígenes desconocidos, y ese interruptor queda encendido para lo que venga después. Luego llega la lista de permisos, y conviene leerla contra lo que la app dice hacer:

• galería y almacenamiento completo cuando bastaría con elegir un archivo;
• contactos y SMS, que nada tienen que ver con procesar una imagen;
• accesibilidad, el permiso más delicado: permite leer la pantalla y actuar por ti;
• superposición sobre otras apps, la vía habitual para pantallas falsas de cobro;
• arranque automático y ejecución en segundo plano sin que la abras.

La comparación que sirve es siempre la misma: permiso contra función visible. Para elegir una fotografía basta el selector del sistema, que entrega un archivo y nada más; pedir la galería entera describe otra intención. Y los permisos concedidos no caducan solos: siguen vigentes mientras la aplicación exista en el teléfono, se use o no.

El patrón se repite: un acceso barato que en el aviso pequeño es una suscripción semanal con renovación automática. Fuera de las tiendas no hay panel donde cancelarla, porque el cargo no pasa por Google ni por Apple sino por una pasarela de pago desconocida. Y cuando el único medio aceptado es la criptomoneda, el banco no tiene nada que aclarar: no existe contracargo posible ni intermediario a quién reclamar.

La diferencia entre un medio y otro es la que decide qué te queda después. Un cargo con tarjeta deja al menos el nombre del comercio en el estado de cuenta y abre la aclaración bancaria, aunque el resultado nunca esté asegurado. Una transferencia en criptomoneda no se revierte por diseño y no deja contraparte a la cual dirigirse: el pago es el final del trámite, no el principio. Entre los servicios que revisamos, los que cobran con tarjeta dejan al menos esa puerta abierta, y uno publica además lo que cuesta cada ejecución antes del registro: la tarifa pública de WaveSpeed.

En cuanto la imagen se envía, deja de estar bajo tu control. Qué pasa con ella depende de la política del operador, no del software: puede borrarse en horas, quedar en un respaldo, alimentar un entrenamiento o terminar en un canal. Nada de eso se comprueba desde fuera, y la fotografía además viaja con sus metadatos —cámara, fecha y a veces coordenadas— salvo que el servicio los borre. Ni siquiera la promesa está siempre escrita: en el catálogo hay Pornworks, el que no publica ningún documento legible sin cuenta.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares da derecho a pedir la supresión de un dato personal, y una fotografía de tu rostro lo es. El problema es práctico: ese derecho se ejerce frente a un responsable con razón social y domicilio, y la mayoría de estos formatos no publica ninguno de los dos. Sin destinatario, la solicitud no tiene a dónde llegar.

No es un descuido de moderación: está escrito en las reglas. La política de contenido inapropiado no permite aplicaciones con contenido sexual y nombra expresamente el material sexual sin consentimiento creado con deepfake, según las normas para desarrolladores de Google Play. Por eso en la tienda quedan cáscaras con el nombre y lo que funciona vive fuera, sin revisión previa ni actualizaciones.

Eso explica la rareza que encuentra cualquiera que busque: fichas con el nombre y capturas llamativas que, una vez instaladas, abren una página web o piden una suscripción. Duran lo que tarda la denuncia en llegar y vuelven con otro nombre de desarrollador, que es exactamente el ciclo que la tienda intenta cortar.

Borrar el ícono cierra una parte del problema y deja abiertas otras tres. La suscripción contratada fuera de la tienda sigue corriendo, porque vive en la pasarela de pago y no en el teléfono. El segundo paquete que la aplicación haya instalado permanece, con su propio nombre y sus propios permisos. Y los archivos que ya salieron del aparato están en un servidor ajeno, donde desinstalar no alcanza.

El orden que sí sirve es al revés: primero revisar la lista de aplicaciones completa en busca de lo que no reconozcas, después revocar los permisos delicados —accesibilidad, superposición, instalación de aplicaciones desconocidas— uno por uno, luego cancelar o bloquear el cargo con el banco, y solo al final desinstalar. Hecho en ese orden, cada paso deja constancia de lo anterior.

Todo lo anterior se refiere al aparato y al dinero. Hay un punto donde eso deja de importar: el material que se produce con estos formatos involucra a una persona, y en México difundir contenido íntimo sexual de alguien sin su consentimiento es delito federal, con independencia de que la imagen sea un montaje. La responsabilidad recae en quien la difunde, no en el servicio que la calculó.