Cómo saber si un APK es seguro: 7 comprobaciones

No hay una sola prueba que demuestre que un APK es seguro, pero sí varias comprobaciones que, juntas, reducen mucho el riesgo: descargarlo de la web oficial del desarrollador, comprobar que su suma SHA-256 coincide con la publicada, buscar ese código en VirusTotal, revisar los permisos que pide y leer con calma el aviso de Play Protect. Si algo no cuadra, no lo instales. Esta guía sirve para cualquier app, y usamos EpicPlay, la nuestra, como ejemplo.

¿Por qué hay que comprobar un APK?

Porque es la vía favorita del malware. Google explicó en 2024 que, en las grandes familias de malware de fraude, más del 95 % de las instalaciones venían de apps descargadas de internet (Google). En 2025, Google Play Protect identificó más de 27 millones de apps maliciosas instaladas desde fuera de Google Play y bloqueó 266 millones de intentos de instalación peligrosos (BleepingComputer). Y el cine es un cebo clásico: en 2020, Kaspersky encontró 925 archivos maliciosos que se hacían pasar por películas candidatas al Óscar (Kaspersky).

1. ¿De dónde sale el archivo?

Es la comprobación que más pesa. Un APK es tan fiable como la web que lo publica.

Busca la web oficial del desarrollador, no la primera página que diga "descarga oficial". Muchas webs copian el nombre de una app para posicionarse.
Desconfía de las cadenas de descarga: cuentas atrás, redirecciones a otros servidores y botones de "Descargar" que en realidad son anuncios.
Cuidado con los APK que te pasan por WhatsApp o Telegram. No sabes quién los modificó por el camino.
Nunca instales "mods" ni versiones "premium desbloqueado". Son archivos alterados por terceros, aunque prometan darte gratis lo que es de pago; si buscas ver sin pagar, mira antes cómo elegir una app de películas gratis y sin suscripción.

2. Comprueba la suma SHA-256

La suma SHA-256 es un código de 64 caracteres que se calcula a partir del archivo. Si el archivo cambia, aunque sea mínimamente, el código ya no coincide. Por eso, cuando el desarrollador publica la suma en su web, puedes saber si tu copia es idéntica a la suya.

Para calcularla:

En Windows, abre PowerShell en la carpeta del archivo y escribe Get-FileHash archivo.apk. Por defecto usa SHA-256.
En Mac, abre Terminal y escribe shasum -a 256 archivo.apk.
En Linux, escribe sha256sum archivo.apk.
Solo con el móvil, sube el APK a VirusTotal (paso siguiente): su informe muestra la SHA-256 del archivo en la pestaña de detalles.

Compara el resultado con el publicado: deben ser idénticos, del primer al último carácter. Si no coinciden, borra el archivo.

3. Búscalo en VirusTotal

VirusTotal pasa los archivos por decenas de antivirus a la vez. Hay dos formas de usarlo:

Pega la suma SHA-256 en el buscador de virustotal.com. Si alguien ya analizó ese archivo exacto, verás su informe sin subir nada.
Sube el APK tú mismo si no hay informe todavía.

Cómo leer el resultado:

VirusTotal no da un veredicto propio. Muestra lo que dice cada antivirus, y la propia web explica que un falso positivo debe resolverlo el antivirus que lo marca (VirusTotal).
Si varios antivirus conocidos coinciden en que es un troyano o un programa espía, no lo instales.
Si solo uno lo marca con una etiqueta genérica, puede ser un falso positivo. En la duda, no instales.
Un informe limpio no es una garantía, sobre todo si el archivo es muy nuevo.
No te fíes de capturas. Decir "limpio en VirusTotal" no basta: TorrentFreak comprobó que esas afirmaciones no siempre se sostienen (TorrentFreak). Busca tú el código.

Ten en cuenta que los informes de VirusTotal se comparten con su comunidad (VirusTotal): sube apps públicas, nunca archivos personales.

4. Revisa los permisos

Un permiso no es malo por sí solo; lo que importa es si tiene sentido para lo que hace la app. Tras instalar, míralos en Ajustes > Aplicaciones > [la app] > Permisos, y quita los que no quieras (ayuda de Google).

Para una app de películas, desconfía si pide leer tus SMS, el registro de llamadas, tus contactos, el acceso a tus notificaciones o el servicio de accesibilidad. Por eso Google empezó en 2024 a bloquear la instalación, desde el navegador o desde apps de mensajería, de apps que piden leer SMS, el acceso a notificaciones o la accesibilidad, y a principios de 2026 esa protección ya funcionaba en 185 mercados (BleepingComputer). Y en una copia de Magis TV, ESET encontró permisos invasivos y la clasificó como aplicación potencialmente no deseada, como contamos en ¿Magis TV es seguro?.

5. Lee el aviso de Play Protect

Play Protect revisa también las apps de fuera de Google Play. Sus avisos no significan todos lo mismo (Google):

Un aviso de app dañina (por ejemplo, que la app es falsa o intenta robar tus datos) es una detección. No instales; si ya está instalada, desinstálala.
Un aviso de que Play Protect no conoce al desarrollador significa que nunca ha visto apps suyas. No es un veredicto de malware, pero sí una razón para hacer las comprobaciones anteriores.

Mantén Play Protect activado: en Play Store, toca tu foto de perfil, Play Protect y el icono de ajustes, y comprueba que Analizar aplicaciones con Play Protect está activo (ayuda de Google).

6. Actualiza siempre desde la misma fuente

Android solo instala una actualización encima de una app si está firmada con el mismo certificado que la versión instalada (Android Developers). Si una "actualización" descargada de otra web no se instala, no desinstales la original para forzarla: lo más probable es que ese archivo lo haya firmado otra persona.

7. Desconfía de lo que pide después

Una app legítima no te pide que desactives Play Protect. El FBI lo cita entre las señales de alarma de los dispositivos de streaming infectados (BleepingComputer). Tampoco debería pedirte datos de pago para "activar" contenido ni instalar otros APK sin que lo pidas tú.

Ejemplo: así compruebas EpicPlay

EpicPlay no está en Google Play, así que aplícale la misma lista:

Origen: su descarga oficial es la página de descarga.
SHA-256: esa página muestra la suma del archivo actual. Calcúlala o pégala en el buscador de VirusTotal para ver el informe de ese archivo exacto.
Permisos: internet y estado de la red; notificaciones (en Android 13 o posterior te lo pregunta); funcionar en segundo plano y tras reiniciar, para terminar descargas y preparar los avisos diarios; instalar apps, solo para las actualizaciones que tú decidas descargar; huella o cara, para el bloqueo opcional de perfiles; almacenamiento en Android 9 o anterior, para guardar descargas; y el ID de publicidad, que pide Firebase Analytics para medir el uso. No pide ubicación, cámara, micrófono, contactos, fotos, SMS ni registro de llamadas.
Play Protect: puede mostrarte un aviso por venir de fuera de la tienda. Léelo, y si dice que la app es dañina, no la instales.

Si EpicPlay pasa tu revisión, pruébala: es gratis y no pide cuenta. Lo que podemos y no podemos garantizar está en ¿Es seguro EpicPlay?.

No la confundas con apps de nombre parecido

Hay apps con nombres parecidos que no tienen nada que ver con nosotros. Epix Play, con x, es otra app de streaming sin relación con EpicPlay. Dr. Epic Play, en la App Store, es una app de juegos y música, y Epic Games es una empresa de videojuegos. EpicPlay no tiene app para iPhone: cualquier "EpicPlay" de la App Store no es nuestra.

Preguntas frecuentes

¿VirusTotal dice si un APK es seguro?

No da un veredicto propio: muestra lo que opina cada antivirus. Si varios conocidos lo marcan como malicioso, no lo instales; un informe limpio ayuda, pero no garantiza nada.

¿Cómo compruebo la suma SHA-256 desde el móvil?

Sube el APK a virustotal.com desde el navegador del móvil y mira la SHA-256 en los detalles del informe. Compárala con la que publica el desarrollador.

¿Qué hago si Play Protect dice que una app es dañina?

No la instales o, si ya está instalada, desinstálala desde el propio aviso. Vuelve a descargarla solo desde la web oficial y comprueba la suma SHA-256.

¿Es seguro instalar un APK "mod"?

No. Un "mod" es un archivo modificado por alguien que no es el desarrollador, y no puedes saber qué ha cambiado. Evítalos siempre, también los de EpicPlay.