Un instalador falso suele parecerse al de verdad: mismo nombre, mismo logotipo y, a veces, incluso el mismo número de versión. Basta un enlace recibido en una conversación o un resultado de búsqueda mal elegido para abrirlo. Esta guía propone comprobaciones generales, válidas para cualquier juego, antes de ejecutar un archivo descargado.
Verificar el dominio
Empieza por la dirección del sitio, no por su apariencia. Cybermalveillance.gouv.fr, en su ficha sobre el phishing, aconseja leer la dirección que muestra el navegador: si no coincide exactamente con el sitio en cuestión, es muy probable que se trate de un sitio fraudulento, y a veces solo cambia un carácter. También recomienda situar el cursor sobre un enlace, sin hacer clic, para ver su destino real, o acceder mediante un marcador creado por ti.
Para los juegos de Ankama, el soporte publica una lista de sitios oficiales (actualizada el 20 de mayo de 2026), que incluye, entre otros, www.dofus.com, account.ankama.com y support.ankama.com. Un nombre de dominio parecido a estos, pero ausente de la lista, merece desconfianza. En su artículo sobre el phishing, el soporte pide no buscar un sitio a partir de palabras clave facilitadas por un jugador dentro del juego y no descargar nunca archivos relacionados con sus juegos desde un sitio no oficial. Quédate con el principio, que sirve tanto para un servidor privado como para un editor: la fuente legítima es la que el propio proyecto publica en su propio sitio.
Distinguir un anuncio de un espejo de descarga
Un anuncio en un foro, un vídeo, un directorio o una red social indica que un proyecto existe; no es el proyecto. Un espejo es una copia de un archivo alojada en otro lugar, que no puedes vincular a su autor. Algunas pautas:
- Remonta siempre del anuncio al sitio del proyecto y busca después el enlace de descarga en ese sitio, no en los comentarios.
- Desconfía de una página de descarga distinta de la que anuncia el proyecto, de un enlace acortado o de un archivo que se ofrece «más rápido» en otro lugar.
- Para las actualizaciones, Cybermalveillance.gouv.fr, en su ficha sobre la gestión de las actualizaciones, recomienda descargarlas únicamente desde los sitios o mecanismos oficiales de los editores, desconfiar de las falsas alertas de actualización que aparecen en sitios web o en ventanas emergentes, y leer las casillas premarcadas que podrían equivaler a aceptar un software adicional.
Para Togu, la página Descargar es la fuente del launcher, disponible para macOS Apple silicon y Windows x64. El acceso a la alfa cerrada es gratuito por invitación y requiere un código que puedes pedir en el Discord de Togu. Descarga el archivo solo desde esta página: un espejo no garantiza su origen.
Comprobar la firma y la huella si el editor las publica
Existen dos comprobaciones complementarias, siempre que el editor publique los elementos de referencia.
La firma. Apple explica, en su página Safely open apps on your Mac (publicada el 27 de mayo de 2026), que macOS verifica la firma Developer ID del software instalado fuera de la App Store para asegurarse de que procede de un desarrollador identificado y no ha sido modificado. Desde macOS Catalina, la notarización es obligatoria por defecto: Apple ha comprobado la ausencia de software malicioso conocido. Antes de abrir por primera vez un software descargado, macOS también pide tu consentimiento. Esta verificación es una red de seguridad; no sustituye a la comprobación de la fuente. Tampoco garantiza que un software firmado esté libre de defectos.
La huella. Una huella (o suma de verificación) es una secuencia de caracteres calculada a partir del contenido de un archivo. Si el editor publica una en su página oficial, puedes calcular la de tu archivo y compararlas: si difiere una sola letra, el archivo no es el anunciado. En macOS, el comando shasum -a 256 nom-du-fichier en la aplicación Terminal calcula la huella SHA-256. Comparar dos huellas solo tiene sentido si el valor de referencia procede de la página oficial; una huella facilitada por un tercero no demuestra nada. [INFERENCIA: cuando la página y el archivo proceden del mismo alojamiento, la huella detecta una corrupción o un archivo sustituido en otro lugar, no una página que esté comprometida en sí misma.]
La página de descarga de Togu indica la huella SHA-256 de cada versión publicada del launcher. Compárala con la del archivo descargado; este artículo no copia esos valores, que cambian con cada versión.
Reaccionar ante un archivo inesperado
Si macOS muestra una advertencia, léela antes de actuar. Apple distingue varios casos: aplicación descargada de Internet, desarrollador no verificado, software que Apple no puede verificar, aplicación dañada o que contiene software malicioso. En este último caso, el sistema indica que la aplicación no se puede abrir y puede moverla a la papelera. Para los casos no verificados, Apple recomienda ponerse en contacto con el desarrollador y buscar una versión actualizada o una alternativa en la App Store, y recuerda que ejecutar software no firmado ni notarizado puede exponer tu ordenador y tus datos. No desactives las protecciones de tu sistema para eludir una advertencia que no entiendes.
Si has abierto un archivo del que dudas:
- Protege tus cuentas: cambia desde otro dispositivo la contraseña de los servicios en los que tenías la sesión iniciada, empezando por el correo electrónico.
- Haz un análisis: el soporte de Ankama recomienda, tras una descarga posiblemente corrupta, un análisis antivirus, antispyware y antirootkit.
- Elimina el archivo y no se lo envíes a nadie.
- Denuncia el sitio o el mensaje: Cybermalveillance.gouv.fr indica que conviene conservar el mensaje recibido y denunciar el sitio de phishing a Phishing Initiative.
Para saber más sobre las contraseñas y la autenticación en dos pasos, lee nuestra guía sobre cómo proteger una cuenta de juego. Las normas de la comunidad de Togu figuran en la página de normas.
