Kastoo
Cuando añades una lista a un reproductor IPTV le das tu usuario y tu contraseña del proveedor: van dentro de la URL M3U o en los datos de Xtream Codes. Circulan rumores de reproductores que se quedan con esas cuentas para revenderlas. No hemos encontrado pruebas públicas contra ninguna app conocida, pero sí riesgos reales y documentados. Te explicamos cuáles son y cómo protegerte.
Qué hay dentro de tu lista
Una URL M3U típica tiene esta forma: http://servidor:puerto/get.php?username=USUARIO&password=CLAVE&type=m3u_plus. Quien tenga esa dirección puede ver lo mismo que tú, desde cualquier aparato. Por eso hay que tratarla como una contraseña: no la pegues en foros ni la mandes en una captura de pantalla.
Qué hace el reproductor con ella
Depende de cómo funcione la app:
- Se guarda solo en el aparato. Escribes la lista en la tele o en el móvil y no sale de ahí, salvo para conectarse a tu proveedor.
- Se guarda en el servidor de la app. Muchas apps de Smart TV se activan con la MAC de la tele y te piden subir la lista en su web, que luego la envía al televisor. Es un sistema legítimo y práctico, pero significa que tu usuario y tu contraseña quedan en el servidor de esa empresa, y tienes que confiar en ella.
Ninguno de los dos sistemas es malo en sí. Lo importante es saber cuál usa tu app, quién está detrás y si puedes borrar la lista cuando quieras.
El riesgo real: apps falsas
Los casos documentados no son reproductores conocidos, sino apps falsas que se hacen pasar por apps de IPTV para robar mucho más que la lista:
- Massiv (febrero de 2026). La empresa de seguridad ThreatFabric descubrió este troyano escondido en supuestas apps IPTV que se instalaban fuera de Google Play. Grababa la pantalla y mostraba pantallas falsas sobre las apps del banco. Entre los países afectados estaba España.
- RemControl (septiembre de 2026). Según BleepingComputer, se anunciaba en redes sociales como una conocida app de TV y llevaba a una web que imitaba Google Play. Robaba claves bancarias y el patrón de desbloqueo, y bloqueaba que la desinstalaras. También apuntaba a usuarios en España.
- La Guardia Civil avisó en septiembre de 2026 de que algunas apps IPTV que prometen canales gratis llevan programas que vacían cuentas bancarias.
Señales de que alguien usa tu cuenta
- Te sale «demasiadas conexiones» o el error 509 cuando solo estás viendo tú. Lo explicamos en qué significa el error 509.
- Los canales se cortan cuando nadie más de casa está viendo nada.
- Tu proveedor te avisa de que la cuenta está en uso desde otro país o desde muchos sitios.
Si te pasa, pide a tu proveedor que cambie la contraseña de tu cuenta y vuelve a añadir la lista nueva solo en las apps en las que confías.
Cómo protegerte
- Instala solo desde sitios oficialesGoogle Play, App Store, la tienda de tu tele o la web del desarrollador. Desconfía de enlaces de anuncios, grupos de mensajería o webs que imitan una tienda.
- Comprueba el nombre del desarrolladorHay muchas copias con nombres casi iguales a los de apps conocidas. Mira quién la publica y desde cuándo.
- Lee qué datos guardaUna app seria explica en su política de privacidad si guarda tu lista en su servidor, para qué y cómo borrarla.
- Revisa los permisosUn reproductor no necesita leer tus SMS, ser «servicio de accesibilidad» ni controlar otras apps. Si te lo pide, desinstálala.
- No compartas la URLNi en capturas de pantalla ni en foros. Si ya la compartiste, pide una contraseña nueva.
- Borra la lista de las apps que ya no usesSobre todo de las webs de activación por MAC.
Qué hace Kastoo con tu lista
Para ser claros con lo que pedimos a los demás: cuando añades la lista desde el móvil con el código QR, Kastoo la guarda en su servidor para enviarla a tu tele y, si lo activas, para la copia en la nube. Solo se usa para eso y para consultar a tu proveedor el estado de tu suscripción cuando pulsas «Comprobar». No la vendemos ni la compartimos, y no hay publicidad. Puedes borrar tus listas desde Mi Kastoo cuando quieras. Está todo en la política de privacidad.
Preguntas frecuentes
¿Es verdad que hay reproductores que venden las listas?
Es un rumor que circula a menudo, pero no hemos encontrado ninguna investigación seria que lo demuestre contra una app conocida. Lo que sí está documentado son las apps falsas que roban datos, sobre todo bancarios.
¿Es más seguro un reproductor gratis o uno de pago?
El precio no lo dice todo. Importa más quién lo publica, desde dónde lo instalas y qué explica su política de privacidad.
¿Debo cambiar la contraseña de mi lista de vez en cuando?
No hace falta si solo la usas en apps de confianza. Sí si sospechas que alguien más la usa o si la has compartido.
¿Cómo sé si mi TV box tiene un programa malicioso?
Algunos TV box baratos ya vienen infectados de fábrica. Lo explicamos en BadBox: el malware de los TV box baratos.
Fuentes
- Massiv: troyano en apps IPTV falsas (ThreatFabric) · The Hacker News
- RemControl: falsa app IPTV que roba claves bancarias · BleepingComputer
- Aviso de la Guardia Civil sobre apps IPTV · El Output
Gratis 15 días con todas las funciones, sin tarjeta. Una licencia vale para 3 dispositivos.
Kastoo es solo un reproductor: no vende, aloja ni incluye listas, canales, películas ni suscripciones. Las capturas usan una lista de demostración con contenido libre.