Apps fomo falsas y estafas de suplantación: qué está confirmado y qué no

Si has llegado buscando estafas fomo app por los titulares de malware de septiembre de 2026, empieza por una corrección. Esos titulares no iban de una app fomo falsa.

La app de esa historia era FomoPeek, una herramienta de seguimiento de ballenas que llevaba malware dentro de sus propias versiones, a través de su propia cuenta de desarrollador. SlowMist, la firma de seguridad que publicó el análisis el 19 de septiembre de 2026 junto al equipo de seguridad de OKX, dice que no era una app falsificada. La colisión de nombre con fomo es la única razón por la que terminó en listas de apps fomo falsas.

Las suplantaciones reales de fomo existen. Se han documentado tres, y la más nueva es la que más importa, porque la víctima no hizo nada de lo que los consejos habituales de seguridad en cripto te dicen que no hagas.

Qué fue en realidad la historia de FomoPeek

FomoPeek era un producto real con usuarios reales. Su versión 1.1, publicada el 9 de septiembre de 2026, llevaba módulos maliciosos. También la versión 1.2 del 12 de septiembre. La versión 1.3, del 17 de septiembre, los quitó. SlowMist y OKX publicaron el análisis el 19 de septiembre, y la firma Salus rastreó los fondos: alrededor de 579.984 USDT, unos 580.000 dólares, llegaron a la dirección principal del atacante.

Lee esa cifra con cuidado, porque casi todos los artículos que la repiten la cuentan mal. Es la entrada a una dirección. No es un total auditado de lo que perdieron las víctimas, y nadie ha publicado uno.

Esta página no nombra al desarrollador de FomoPeek ni el id de su app. Los únicos sitios donde aparecen son publicaciones de afiliados y webs espejo de archivos IPA, y ese no es un estándar que merezca la pena cumplir en una página sobre no instalar lo que no debes.

Así que FomoPeek pertenece a tu lista de lecturas como motivo para desconfiar de una app que ya instalaste. No pertenece a una lista de falsificaciones de fomo.

Las dos webs fomo falsas que están en el registro

Las dos las documentó PCrisk, y las dos siguieron la misma forma: copia la web, cambia un botón, vacía el wallet que se conecte.

claim-fomo.family, mayo de 2025

Documentada el 9 de mayo de 2025. Imitaba la web oficial y anunciaba un evento para usuarios elegibles. Un botón de comprobar elegibilidad pedía conectar el wallet, y aprobar esa petición firmaba un contrato drenador que iba a por los activos más valiosos a los que podía llegar.

PCrisk dice sin rodeos que no existe tal evento de fomo y que la plataforma real no tiene token nativo. Ese segundo detalle es el que hay que guardar. fomo no tiene token, así que una página de airdrop, una página de reclamación o un comprobador de elegibilidad es una página de phishing antes de que llegues a leer el dominio.

fomoo.family, julio de 2026

Documentada el 16 de julio de 2026 por el investigador Tomas Meskauskas. Una copia de la web con una letra duplicada en el dominio y un solo cambio funcional: el botón de descarga se sustituyó por un botón de conectar wallet que ofrecía MetaMask, Trust Wallet y OKX Wallet. Aprobar la conexión disparaba un drenador.

Este caso descansa en un solo informe, y la web está supuestamente caída. Nunca se publicó ninguna cifra de pérdidas. Si ves una citada, está inventada.

El ataque que debería cambiar tu lista de comprobación

Alrededor del 8 de octubre de 2026, SlowMist documentó el robo de unos 48.000 dólares a un único usuario de fomo en web. Merece la pena recorrer el camino despacio.

El usuario estaba en la app web de fomo y pulsó el enlace al proyecto de un token, que le llevó a voltage.family. Esa página ejecutó un paso falso de verificación humana, del tipo que te pide demostrar que no eres un bot. En lugar de un puzle, le dijo que arrastrase un icono a la barra de marcadores del navegador y lo pulsara.

Ese icono era un bookmarklet, un marcador que ejecuta JavaScript en cualquier página que estés viendo. Pulsado en la app web de fomo, leyó el almacenamiento del navegador y devolvió los tokens de acceso y de refresco de Privy del usuario, los datos de IndexedDB y los datos del wallet. Con un token de sesión válido, el atacante no necesitó la contraseña de la cuenta ni nada más.

Ahora la parte que importa. La víctima nunca conectó un wallet. Nunca firmó una transacción. Nunca escribió una frase semilla, y no podría haberlo hecho, porque los wallets de fomo están construidos sobre Privy y no tienen frase semilla que escribir. Había entrado con Google y no tenía verificación en dos pasos activada ahí.

Todos los consejos que has leído sobre seguridad con memecoins habrían dejado a esa persona exactamente igual de expuesta. “Nunca compartas tu frase semilla” es correcto e inútil aquí. La credencial que se robó era una sesión viva.

La guía de SlowMist después del caso es lo bastante corta para memorizarla. Una verificación real nunca te pide arrastrar nada a la barra de marcadores. Audita los marcadores que tienes, porque uno que no creaste tú es por sí solo una señal de alarma. Activa la autenticación multifactor en la cuenta con la que entras. Y si ya has ejecutado algo sospechoso, revoca tus sesiones desde un dispositivo de confianza y no desde el que lo ejecutó.

La lista de comprobación para la que existe esta página

Estas son las propiedades que publica fomo. Todo lo demás que reclame el nombre es de otra persona.

Qué	La real
App de iOS	fomo - never miss out, id de App Store 6741115427, vendedor FOMO Labs Inc.
Paquete de Android	family.fomo.app
Web	fomo.family
X	x.com/fomo
Discord	discord.gg/fomofamily
Instagram	instagram.com/tryfomo
Correo de soporte	support@fomo.family, nombrado en los términos de servicio

La página de descarga de fomo app tiene los dos listados de tienda como enlaces, que es una vía más segura que buscar en la tienda y elegir por el icono.

Cosas que no son fomo y que se confunden con ella sin parar: la cuenta de X @fomo_lab, que es un proyecto NFT sin relación; fomo.io, que es otra empresa sin nada que ver con FOMO Labs; la app de Shopify llamada Fomo, que vende widgets de notificaciones para tiendas desde 2015; y varias apps de App Store sin relación que usan la palabra FOMO. fomo tampoco lista ningún canal de Telegram en ninguna parte, así que una cuenta de Telegram que ofrezca soporte de fomo no es soporte de fomo. La página de caídas y soporte mantiene la lista de contactos actual en un solo sitio.

El nombre del editor es la pista

Los casos de apps falsas de 2026 que hicieron daño real comparten una debilidad, y no es el icono ni las capturas.

Un Ledger Live falso en la App Store de macOS se llevó unos 9,5 millones de dólares de aproximadamente 50 usuarios en abril de 2026. Se publicó con el nombre Leva Heal Limited, una empresa sin conexión alguna con Ledger. Un listado falso de Sparrow Wallet en iOS se llevó unos 1,8 millones de dólares y provocó una demanda presentada el 24 de julio de 2026. El Sparrow real es software de escritorio y no tiene app de iOS en absoluto, así que ese listado solo podía ser falso. La investigación FakeWallet de Kaspersky de abril de 2026 contó 26 apps de App Store imitando a Trust Wallet, MetaMask, Ledger y otras.

En cada caso el nombre de la app tenía buena pinta. La línea del editor no.

De ahí salen dos hábitos. Lee el campo de vendedor o de desarrollador, no el título, antes de instalar. Y revísalo más de una vez, porque la versión 1.0 de FomoPeek estaba limpia y la 1.1 no. Vuelve a leer el editor cuando reinstales, cuando configures un teléfono nuevo y cada vez que un enlace de un chat o de una respuesta te deje en una página de tienda.

fomo no dice nada de todo esto

El 11 de octubre de 2026 no se pudo localizar ningún aviso de suplantación ni de phishing en fomo.family ni en su blog. La única publicación de seguridad que hay es Spotting Scams and Low-Quality Tokens del 25 de diciembre de 2025, y esa va de tokens fraudulentos que se operan en fomo, no de falsificaciones de fomo.

Eso es un hueco, no una acusación. Muchas apps dejan esto a las firmas de seguridad. Lo que sí implica es que si estás comprobando si algo es real, la propia web de fomo no te va a ayudar mucho, y una página como esta o el desglose de es confiable fomo app están haciendo un trabajo que la empresa no ha hecho. Si quieres el lado registral, quién está detrás de fomo app tiene los registros y el rastro de financiación.

Si crees que ya has hecho clic

Trabaja en este orden, desde un dispositivo que no hayas usado en la página sospechosa.

1. Cierra todas las sesiones y revócalas, y luego vuelve a entrar.
2. Cambia la contraseña del correo o de la cuenta de Google con la que entras en fomo, y activa ahí la verificación en dos pasos. Sin frase semilla en el cuadro, ese login es la puerta de entrada.
3. Borra cualquier marcador que no hayas creado tú.
4. Mueve los fondos que no puedas permitirte perder a un wallet cuyas claves tengas.
5. Escribe a support@fomo.family con horas y hashes de transacción, y publica en el Discord. Nada de esto garantiza una recuperación, y las transferencias onchain no se revierten.

Una última cosa que merece la pena separar. Una app falsa y un token malo son problemas distintos con el mismo final, y la mayor parte del dinero que se pierde en apps como fomo se va al segundo. Si estás persiguiendo monedas nuevas y no falsificaciones, la guía de memecoins de Solana cubre honeypots y trampas de liquidez, y problemas con los depósitos cubre los fallos de carga, que suelen ser tu banco y no un ataque. Operar con memecoins es especulación de alto riesgo, no es invertir, la mayoría de quienes lo hacen pierden dinero, y nada en esta página es asesoramiento financiero.