¿Qué es Transfermóvil?

Transfermóvil es la app de ETECSA y los bancos cubanos (BANDEC, BPA, Metropolitano) para pagar la corriente, el agua, el gas y el teléfono, hacer transferencias, recargar el móvil y la cuenta Nauta, y consultar el saldo de tus tarjetas.

Última versión

La última versión publicada que conocemos es la 1.260122, de enero de 2026. Cambió el nombre de la operación para pagar la factura telefónica. Si sale una nueva, la ponemos aquí: avisa en las respuestas.

Dónde descargarla (solo fuentes oficiales)

1. Sitio de ETECSA: www.etecsa.cu, en la sección de aplicaciones.
2. Apklis: la tienda cubana apklis.cu. Busca "Transfermóvil".
3. Desde la app: cuando hay una versión nueva, la propia app suele avisar al abrirla.

No instales Transfermóvil de grupos de WhatsApp o Telegram ni de páginas de APK desconocidas. Una APK modificada puede robar tu PIN y tus datos bancarios.

Cómo instalar la APK en Android

1. Descarga el archivo .apk.
2. Ábrelo desde Descargas. Si Android lo pide, permite "Instalar apps desconocidas" para el navegador o el gestor de archivos.
3. Pulsa Instalar. Si ya tienes Transfermóvil, se actualiza encima y no pierdes tu registro.
4. Abre la app y comprueba la versión en el menú > Acerca de.

Problemas frecuentes

• "La aplicación no se instaló": libera espacio. Si bajaste la APK de otro sitio, puede estar firmada distinto que la que tienes: bájala de ETECSA o Apklis.
• No llega el SMS o la respuesta de una operación: revisa el centro de mensajes (guía de SMS en Cubacel) y que tienes cobertura.
• iPhone: no hay versión oficial de Transfermóvil para iOS.

Cuidado con las estafas

Nadie de ETECSA ni del banco te va a pedir el PIN, la contraseña de Transfermóvil ni los datos de tu tarjeta por teléfono, SMS o WhatsApp. Si alguien te los pide para "verificar", "desbloquear" o "darte un premio", es una estafa. No los des nunca.

Más temas: Transfermóvil · Recargas en USD con Transfermóvil

¿Tienes otra versión o un problema con la app? Escríbelo abajo con el modelo de tu teléfono.

Lucien

KZKG^Gaara

@Lucien es idea mía o no hay opción de Bloquear? ... 🤔 a alguien que tenía bloqueado acá (porque me interesa /dev/null lo que dice) ahora noto que sus posts los veo, entro a su perfil y no veo opción de bloquear ... entonces, 2 cosas:

1. No se migró o mantuvo la data de cuentas bloqueadas?
2. No hay opción para bloquear y no leer a alguien?

Ahora mismo no pero no se perdio, simplemente no esta implementada en esta version, en la prima actualizacion todos esos datos se migran, y este bloquear es de verdad,no como el de xenforo, aqui si no hay forma de que la otra persona vea tus cosas tampoco, es de doble sentido

Ya existe esta función:

https://fcuba.net/threads/34927?ref=6#post-478422

26 de octubre

0.1.296 El motor del sitio se actualiza a sus últimas versiones, con arreglos de seguridad.
0.1.298 El panel del equipo tiene buscador: pulsa Ctrl+K, escribe un ajuste o un permiso y llegas directo a él.
0.1.299 «Ignorar» pasa a ser «Bloquear»: tú no ves a esa persona y ella no te ve a ti, en ningún lugar del foro. Los mensajes directos entre los dos desaparecen para ambos. Lo tienes en su tarjeta y en su perfil, y tu lista está en Privacidad.
0.1.299 Quien ya tenías ignorado pasa a estar bloqueado, pero los mensajes directos de antes se quedan.

Copias de seguridad con candado de juguete

Cualquiera que tenga una copia de seguridad de toDus y sepa el nombre de usuario de su dueño puede leerla. La clase se llama AESUtils, aunque usa Blowfish:

// cu/todus/android/backup/AESUtils.java:31-37
public AESUtils(String KEY) {
    this.KEY = KEY;
    this.ALGORITHM = "Blowfish";
    this.MODE = "Blowfish/CBC/PKCS5Padding";
    this.IV = "abcdefgh";      // siempre el mismo
}

La clave es el nombre de usuario seguido de un texto fijo:

// cu/todus/android/backup/Exporter.java:110 y :349
aESUtils = new AESUtils(str3 + "9ABCDEF");
// ManageBackupViewModel$export$1.java:67-70
String username = ((Owner) mainRepository.getOwner().invoke()).getUsername();
obj = exporter.export(username, this);

Con una clave así, quien encuentre la copia en un teléfono, una memoria USB o una computadora la descifra sin esfuerzo.

Permisos: pide 45 y usa bastantes menos

Revisé uno por uno los 45 permisos del manifiesto para ver si el código de toDus los usa. Varios no aparecen en ninguna parte. Pedir permisos de más es mala práctica, pero no demuestra espionaje.

• Ubicación precisa y aproximada: se usa, en lo que conté arriba.
• Ubicación en segundo plano: está declarada y nunca se le pide al usuario.
• Contactos: se usa, y la agenda se sube al servidor.
• Leer y recibir SMS: solo durante el registro, para leer el código de verificación.
• Micrófono y cámara: notas de voz, fotos y llamadas.
• Instalar aplicaciones: para las actualizaciones que se descargan de s3.todus.cu.
• Lista de apps instaladas: la usa un ayudante de ahorro de batería.
• Calendario, lectura y escritura: no encontré ningún uso.
• Sensores corporales: no se usa. Durante las llamadas solo lee el sensor de proximidad, que no necesita permiso.
• Estado del teléfono (IMEI, número de la SIM): no encontré llamadas a esos identificadores.
• Acceso a todo el almacenamiento: está declarado, y lo relaciono con los adjuntos y las copias de seguridad.

Con los SMS el código es claro. El receptor solo se registra en la pantalla de registro y descarta cualquier mensaje que no venga de "toDus":

// cu/todus/android/utils/SMSReceived$register$1.java:79-80
if (y.d(str, "toDus")) {
    String extractCode = SMSReceived.this.extractCode(...);

Lo que no encontré

Busqué una forma oculta de que el servidor le ordene al teléfono recoger datos, y no la hay. Revisé los cerca de 100 espacios de nombres XMPP que la app define, y todos corresponden a funciones visibles: grupos, canales, estados, bloqueos, contactos, llamadas, actualizaciones y "Personas cerca".

El push de Firebase solo muestra una notificación y no interpreta órdenes. La analítica de Firebase está apagada en el propio código y no hay ninguna llamada a logEvent. Hay un módulo llamado "sentry", pero es un registro de errores que la app le enseña al usuario como un chat llamado "Registro de Errores", con un aviso. Todo el tráfico va a dominios de toDus (*.todus.cu), de la tienda Apklis (apklis.cu) o de Google Firebase.

Una función se llama allowAllCertificated(), y al verla pensé que la app aceptaba cualquier certificado. Me equivoqué: lo que hace es comparar la conexión con dos certificados de todus.cu que vienen dentro de la app.

Lo que sí quedó como descuido es la configuración de red. Permite tráfico sin cifrar hacia nueve direcciones privadas 10.37.41.x y acepta para ellas certificados instalados por el usuario. Parecen servidores de una red interna, quizás de desarrollo, y esa configuración no debería estar en la versión pública.

Mi conclusión

Empecé preguntándome si toDus espía desde el teléfono o desde el servidor, y el código apunta al servidor. Para vigilar no hace falta un programa espía en el cliente, porque el operador del servicio ya recibe:

1. el contenido de todos los mensajes, sin cifrado de extremo a extremo;
2. la agenda de contactos de cada usuario, con números y nombres;
3. la ubicación del usuario en cada sesión, siempre que el servidor responda is_show_in=1;
4. lo que conoce cualquier servidor XMPP: quién habla con quién, cuándo y desde qué dirección IP.

El código no me dice qué hace el operador con esos datos ni quién accede a ellos. La app está firmada por la UCI, una universidad del Estado cubano. Yo, desde ahora, doy por hecho que todo lo que se escribe en toDus lo puede leer quien controle im.todus.cu.

Ubicación: el servidor decide si la app la envía

Cada vez que inicia sesión, la app le pregunta al servidor si debe compartir la ubicación del usuario. Si el servidor dice que sí, la app manda latitud y longitud sin que el usuario toque nada. Antes de enviarlas, el teléfono no consulta ningún ajuste guardado en el propio teléfono.

La clase LocationDataSource se crea al arrancar la app si hay una sesión guardada (ToDusApp.java:362). Su constructor lanza un bucle que lee la posición, espera 4 segundos y vuelve a empezar:

// cu/todus/android/location/LocationDataSource.java (bytecode recuperado por jadx)
if (pe.w0.b(4000, r0) != r1) ...   // delay(4000): espera 4 segundos
if (autoUpdate(r0) == r1) ...       // vuelve a leer la posición

Cada lectura le pide datos al GPS y a la red, con requestLocationUpdates("gps", 500L, 2.0f, ...) y ("network", 1000L, 2.0f, ...). Hace falta que el usuario haya dado permiso de ubicación. En esta versión esas lecturas se quedan en memoria. No encontré código que las mande al servidor cada 4 segundos.

El envío ocurre en otro sitio. Después de autenticarse en XMPP, la app crea un LocationManager que hace esto:

// cu/todus/android/xmpp/managers/LocationManager.java:75-105 (resumido)
if (currentPosition() != null) {
    obj = getStatus(this);              // pregunta al servidor: tnearp:status:get
}
if ((Boolean) obj) {                    // respuesta del servidor
    if (getOwnerConnection() != Quality.BAD_QUALITY) {
        double latitude  = currentPosition().getLatitude();
        double longitude = currentPosition().getLongitude();
        sendNearLocation(latitude, longitude);   // envía tnearp:loc:set
    }
}

Lo que decide si se envía es un atributo que manda el servidor:

// cu/todus/android/xmpp/iq/near/NearGetStatusIQProvider.java:19-21
String attributeValue = parser.getAttributeValue("", "is_show_in");
return new NearGetStatusIQ(Integer.parseInt(attributeValue) == 1);

Y este es el paquete que sale del teléfono, con las coordenadas en los atributos lat y lon:

// cu/todus/android/xmpp/iq/near/NearSetIQ.java
public static final String NAMESPACE = "tnearp:loc:set";
xml.attribute(ExtensionLocation.TAG_LAT, String.valueOf(this.lat));
xml.attribute(ExtensionLocation.TAG_LON, String.valueOf(this.lon));
setType(IQ.Type.set);

Todo esto forma parte de la función "Personas cerca". El usuario la enciende con un interruptor que dice "Compartiendo ubicación en tiempo real", y desde ese momento la app reenvía su ubicación en cada sesión nueva sin volver a preguntar. El problema es que quien guarda y devuelve el valor is_show_in es el servidor. Si el servidor responde 1 para alguien que nunca encendió la función, el teléfono de esa persona envía su posición igual. No sé si eso pasa en la práctica. Lo que sí puedo afirmar es que el código lo permite.

La ubicación también sale del teléfono cuando el usuario la manda en un chat, cuando marca "Enviar tu ubicación actual" al publicar un producto en el catálogo, y cuando abre un mapa, porque las imágenes se descargan de map.todus.cu. En esos casos es el usuario quien actúa.

El manifiesto declara ACCESS_BACKGROUND_LOCATION, pero el código nunca le pide ese permiso al usuario. Solo pide la ubicación aproximada y la precisa.

La agenda de contactos viaja al servidor

Si el usuario da permiso de contactos, toDus sube al servidor el número y el nombre de cada persona de su agenda. Los números van en claro, sin pasar antes por un hash.

La app lee la agenda con ContactsContract y la sube en lotes, con 150 ms de pausa entre uno y otro:

// cu/todus/android/xmpp/managers/RosterManager.java (uploadContactsBatch)
for (Contact contact : list10) {
    arrayList.add(ua.z.a(contact.getPhone(), contact.getFName()));  // (teléfono, nombre)
}
RosterUpdateIQ rosterUpdateIQ = new RosterUpdateIQ(i17, arrayList, i18, null);
XMPPInlinesKt.sendIQFlow(xMPPTCPConnection, rosterUpdateIQ);

El paquete usa un espacio de nombres propio, todus:roster:update. Los pares se serializan en binario, se codifican en base64 y van al dominio im.todus.cu.

Muchas apps de mensajería suben la agenda para saber cuáles de tus contactos usan el servicio. Lo que me llama la atención aquí es que también se sube el nombre con el que guardaste a cada persona. Con eso el servidor puede armar la red de relaciones de cada usuario, incluida gente que nunca instaló toDus.

Descompilé toDus para saber si la app espía a sus usuarios desde el teléfono. En el cliente no encontré nada escondido. Lo que sí encontré es que el diseño le entrega al servidor casi todo: los mensajes llegan sin cifrado de extremo a extremo, la agenda de contactos se sube con nombres y números, y el servidor puede ordenarle a la app que envíe la ubicación del usuario.

Cómo lo hice

Trabajé con el archivo toDus_latest.apk, versión 2.1.2 (código de versión 30102, paquete cu.todus.android). El certificado de firma dice "ToDus Development Group", organización "UCI", La Habana. Su SHA-256 es:

c0a53eebc2db914535149bbb53162ddce4a8cae251f3da2896d20c27f6b49ce9

Descompilé la app con jadx 1.5.1 y leí el manifiesto con androguard 4.1.4. El código propio de toDus ocupa unas 400 000 líneas una vez descompilado. Las librerías vienen ofuscadas, pero las clases de toDus conservan sus nombres, y eso me permitió seguir los datos de una clase a otra.

Todo esto es análisis estático. No pude iniciar sesión, así que no vi la app funcionando ni capturé su tráfico. Lo que cuento aquí es lo que el código puede hacer. Lo que el servidor hace con los datos no lo puedo ver desde el teléfono.

Los mensajes viajan sin cifrado de extremo a extremo

El servidor de toDus recibe el texto de cada mensaje tal como lo escribe el usuario. La conexión entre el teléfono y el servidor va con TLS, y ese cifrado termina en el servidor.

La app usa XMPP, un protocolo de mensajería abierto, a través de la librería Smack. Busqué en todo el APK las librerías habituales de cifrado de extremo a extremo (OMEMO, Signal Protocol, Olm) y sus clases típicas, y no hay ninguna. El único cifrado que programaron ellos está en las copias de seguridad, y más abajo explico por qué tampoco sirve de mucho.

Así se arma un mensaje antes de salir del teléfono. El contenido va directo al cuerpo del mensaje XMPP:

// cu/todus/android/xmpp/mapper/MapperMessageToStanza.java:146-150
EntityBareJid entityBareFrom = JidCreate.entityBareFrom(
    ... message.getRoomId() + "@im.todus.cu");
org.jivesoftware.smack.packet.Message message7 = new org.jivesoftware.smack.packet.Message();
message7.setStanzaId(message.getId());
message7.setTo(entityBareFrom);
message7.setBody(message.getContent());   // texto del usuario, sin cifrar

El TLS protege el mensaje de quien mire la red, pero quien opera el servidor puede leerlo. En Signal o en WhatsApp el servidor solo ve datos cifrados. En toDus, el operador puede leer, guardar y entregar cualquier conversación.

Las llamadas de voz y vídeo usan WebRTC con DTLS-SRTP entre los dos extremos. La app le pide al servidor credenciales para un servidor de retransmisión TURN (todus:turn:cred). Sin ver el tráfico real no puedo decir si alguna llamada pasa descifrada por un servidor.

25 de octubre

0.1.282 Las citas dentro de otra cita salen plegadas: ábrelas con un clic.
0.1.283 Cabecera más limpia: sin el botón «Crear» en el PC.
0.1.284 Las páginas de entrar y registrarse muestran un animacion.
0.1.285 Al abrir un tema nuevo, cada foro sale con su imagen, y no aparecen los de solo lectura.
0.1.287 Los visitantes pueden abrir temas y responder donde el foro lo permita; su mensaje espera aprobación.
0.1.288 Si alguien borra su cuenta, sus mensajes se quedan en el foro como de invitado.
0.1.292 Cada miembro nuevo recibe un mensaje de bienvenida.
0.1.293 Modo +18: foros, temas y perfiles marcados que solo ven los mayores de edad que lo confirman.
0.1.294 Los visitantes reciben una invitación a crear su cuenta en vez de la de instalar la app.

El viernes Rubio publicó esto en X:

"Para quienes buscan un cambio positivo en Cuba, este es el momento... aprovechen esta oportunidad para crear el cambio que desean mediante una colaboración discreta con la CIA."

La CIA ya había publicado videos de reclutamiento dirigidos a rusos, chinos, iraníes y norcoreanos. Lo nuevo es que el llamado lo firme el secretario de Estado en persona, por escrito y con nombre propio.

Ese mismo día, en un mitin en Fort Myers, Trump dijo que al volver de Irán los barcos pasarán frente a Cuba, que uno se detendrá a unos 45 metros de la costa, que "levantarán las manos" y que después manda a Rubio a cerrar el trato.

La Habana respondió con burla. Fernández de Cossío escribió que Estados Unidos ahora recurre a reclutamientos públicos de la CIA y habló del desespero de Washington. El canciller Bruno Rodríguez rechazó cualquier amenaza sobre las ambiciones de Estados Unidos hacia Cuba.

Lo que pesa más que el tuit es lo que vino después. La CIA subió un video en español explicando cómo contactarla. Pide usar un correo temporal no vinculado a datos personales e indicar ciudad, empleo, nivel de acceso a la información y forma de contacto. Ese nivel de detalle sugiere que el anuncio no era solo retórica.

Y está el contexto: bloqueo energético desde principios de año, sanciones a las adquisiciones militares, una orden de arresto en Florida contra Raúl Castro por el derribo de las avionetas de Hermanos al Rescate en 1996, y el precedente de Venezuela, donde la imputación de Maduro acabó justificando una acción militar.

Puede ser reclutamiento real. Puede ser presión psicológica, para que dentro del sistema nadie sepa quién habla con quién. O una señal para Moscú y Pekín. Lo más probable es que sea las tres cosas a la vez: una convocatoria pública capta a quien ya estaba dispuesto, siembra desconfianza dentro del aparato y manda un mensaje hacia afuera.

Lo que sí tengo claro es que el costo no lo paga el que tuitea. En Cuba, la Ley 88 y los delitos contra la seguridad del Estado del Código Penal castigan la colaboración con servicios extranjeros con penas muy severas, y el riesgo cae entero sobre el que responde al llamado.

¿Qué creen?

KZKG^Gaara

@Lucien es idea mía o no hay opción de Bloquear? ... 🤔 a alguien que tenía bloqueado acá (porque me interesa /dev/null lo que dice) ahora noto que sus posts los veo, entro a su perfil y no veo opción de bloquear ... entonces, 2 cosas:

1. No se migró o mantuvo la data de cuentas bloqueadas?
2. No hay opción para bloquear y no leer a alguien?

Ahora mismo no pero no se perdio, simplemente no esta implementada en esta version, en la prima actualizacion todos esos datos se migran, y este bloquear es de verdad,no como el de xenforo, aqui si no hay forma de que la otra persona vea tus cosas tampoco, es de doble sentido

¿Qué es esto?
Foros Cuba funciona con Sermo, un software de foros propio, hecho a la medida de esta comunidad y de código abierto. Cada cambio que llega al sitio es un parche con su número de versión, y en este tema iremos anotando los más interesantes, en orden de fecha, para que siempre sepas qué hay de nuevo.

¿Te gusta curiosear? Todo el código está a la vista en GitHub: github.com/albertgmz/Sermo

Este tema es de solo lectura. Si encuentras un fallo o tienes una idea, abre un tema en este mismo foro.

17 de octubre

• 0.1.131 Cabeceras de seguridad en todas las páginas.
• 0.1.133 Los temas, foros y perfiles muestran una tarjeta bonita al compartirlos.
• 0.1.135 Imágenes más livianas (WebP) que cargan antes en el móvil.
• 0.1.139 Selector de idioma en el pie de página: español o inglés.

18 de octubre

• 0.1.142 Las páginas con fotos cargan más rápido.
• 0.1.143 Cada actualización hace antes una copia de seguridad y vuelve atrás sola si algo falla.

19 de octubre

• 0.1.147 Los enlaces viejos del foro anterior te llevan a su página nueva.
• 0.1.150 Las fotos grandes del móvil se reducen solas en vez de rechazarse.
• 0.1.151 Puedes ocultar tu estado en línea si lo prefieres.
• 0.1.153 El tema claro es el predeterminado; el oscuro sigue a un clic.
• 0.1.154 Nuevo tema oscuro azul grisáceo, como el estilo oscuro de siempre.
• 0.1.159 Pega o arrastra imágenes directamente en el editor.
• 0.1.161 Los trofeos ahora se ordenan por categorías.
• 0.1.169 Notificaciones en el móvil y el PC, que puedes activar o apagar.
• 0.1.171 Instala el foro como una app en tu móvil.

20 de octubre

• 0.1.177 La portada es ahora la lista de foros; el feed se muda a Novedades.

21 de octubre

• 0.1.183 Los mensajes se ven como en el foro de siempre, con la marca «Nuevo» en lo que no has leído.
• 0.1.186 Un mensaje directo nuevo te avisa con alerta y notificación.
• 0.1.201 Los subforos aparecen arriba de los temas.
• 0.1.206 Estadísticas del foro con pestañas: últimos mensajes, más respondidos, más vistos…
• 0.1.208 Emojis por código: escribe «:» y dos letras.
• 0.1.212 Cumpleaños, nuevos miembros, mejores referidos y el miembro del mes en la portada.
• 0.1.215 Responde a un mensaje directo citándolo, igual que en un tema.
• 0.1.226 Las páginas de los temas pesan unos 40 KB menos.
• 0.1.228 Tu tema claro u oscuro se guarda en tu cuenta y te sigue en todos tus dispositivos.
• 0.1.230 Videos de YouTube, X, Instagram, TikTok, Spotify y más se ven dentro del mensaje.
• 0.1.232 Selector de emojis en todos los editores, y los smilies del foro como emoji.

22 de octubre

• 0.1.234 Las imágenes se ven en el editor y puedes cambiarles el tamaño.
• 0.1.235 El editor recupera el aspecto del foro de siempre.

23 de octubre

• 0.1.243 El miembro del mes respeta a los miembros excluidos.
• 0.1.244 El mes de la clasificación se elige de una lista con los nombres de los meses.

24 de octubre

• 0.1.246 Abrir las alertas las marca como vistas.
• 0.1.248 Las notificaciones dicen quién hizo qué y dónde.
• 0.1.250 Los enlaces a un tema te llevan al primer mensaje que no has leído.
• 0.1.251 Paginación numerada en los temas, como antes.
• 0.1.253 Selecciona un trozo de un mensaje y cita solo eso.
• 0.1.256 Ctrl+Enter envía el mensaje.
• 0.1.257 Edita tus mensajes y temas sin salir de la página.
• 0.1.260 La página de nuevo tema, rediseñada y con vista previa.
• 0.1.263 «Visitantes actuales»: mira quién está en línea y qué página está viendo.
• 0.1.265 Paginación numerada también en la búsqueda, los miembros, las alertas y los marcadores.
• 0.1.266 Pestañas, filtros y «Cargar más» cambian solo su parte, sin recargar la página.
• 0.1.273 Borrar y denunciar se abren en una ventana sobre la página.
• 0.1.276 Un solo botón «Seguir» y una fila de acciones del tema con el menú «•••».
• 0.1.277 Compartir copia el enlace al instante, y las reacciones tienen su propia barra.
• 0.1.278 Las citas muestran a su autor arriba, también en los mensajes viejos.

KZKG^Gaara

@Lucien por que no haces una campaña de email marketing? ... tomas por ejemplo, 5000 emails que no estén registrados acá y sepas que son de Cuba, y por medio de alguna plataforma les envías un email promocionando el foro?

BTW dónde hago sugerencias para próximas implementaciones de esto, he intentado poner ":think" (sin las comillas) para que pusiera el emoji de la carita pensante (como en cualquier app de mensajería) y ni puto caso ...y también cuando puse la arroba para mencionarte, no está muy user fiendly eso, estaría cool que diferencie los usuarios que coinciden so far con la búsqueda/filtro que se ha escrito, que los diferencie por color o algo así, si el 1er Lucien que eres tú eres administrador, que salga en negrita y con el color del grupo al que perteneces.

Implementados

Soma Kurusu

Cuando entras a un foro, no aparecen los subforos, ejemplo, entras a música, y solo aparecen los temas sueltos, no los foros (rock, pop, hip hop, etc).

Adjunto

Arreglado