Un falso WhatsApp da 500.000 installazioni: il controllo di Google Play non è un sigillo di sicurezza

Come fa la copia di una delle app più popolari al mondo a raccogliere mezzo milione di installazioni nello store di cui ti hanno detto di fidarti? È quello che è successo con un falso WhatsApp su Google Play. A nostro avviso, manda in frantumi l'idea che "è sullo store ufficiale" significhi "è sicuro".

Cos'è successo, in breve

Secondo Techbook, il falso usava la stessa icona e lo stesso nome dell'originale. A quanto pare ha anche copiato screenshot e testo della descrizione. A tradirlo era il campo dello sviluppatore: c'era scritto "Agment Assets sallu" invece di WhatsApp LLC. Mashable India, citando Android Authority, aggiunge che la scheda aveva solo circa un mese. Lo sviluppatore non aveva pubblicato nient'altro, mentre l'app vera supera i 10 miliardi di download.

Due dettagli peggiorano il quadro. Gli screenshot condivisi su Reddit suggeriscono che il falso comparisse come risultato di ricerca sponsorizzato per alcuni utenti. E, stando alle segnalazioni, sfruttava il programma di accesso anticipato di Google Play, dove le recensioni pubbliche sono disattivate. Le vittime, quindi, non potevano avvisare nessuno. Cosa faccia davvero l'app con i dati non è spiegato negli articoli che abbiamo letto.

La colpa è condivisa, ma non in parti uguali

Gli utenti dovrebbero controllare il nome dello sviluppatore. È un'abitudine da dieci secondi e qui avrebbe smascherato la truffa. Chi installa un'app chiamata WhatsApp da un editore che nessuno conosce si prende un rischio. Eppure non crediamo che dare la colpa agli utenti sia una risposta soddisfacente. Chi cerca WhatsApp si aspetta che lo store metta WhatsApp al primo posto. Uno spazio sponsorizzato sembra un'approvazione, anche se nessuno lo voleva.

Tra l'altro, il falso non compariva in tutte le ricerche. Secondo Mashable, a volte veniva prima l'app vera. Pensiamo che questo renda la trappola più difficile da individuare, non più facile. Due persone possono cercare la stessa cosa e ottenere risultati diversi. Allora nessuno può dire con sicurezza: "Ho controllato, era tutto a posto".

Google ha la responsabilità maggiore, perché controlla le tre cose che hanno fatto funzionare la truffa. Vende gli spazi pubblicitari. Gestisce la revisione che ha lasciato passare la scheda. E ha progettato un programma che nasconde le recensioni delle app nuove. Ognuna di queste funzioni, da sola, è ragionevole. Insieme hanno dato a un account nuovo di zecca e sconosciuto un palco, un megafono e un tasto muto per i suoi critici. Mashable ricorda anche che Bitdefender aveva già avvertito che le app in accesso anticipato non offrono necessariamente recensioni utili a capire se un'app sia legittima. Il rischio era noto.

Verificare l'editore, almeno per i grandi nomi

Non è un episodio isolato. Mashable osserva che un falso Chrome sarebbe stato scaricato oltre 100.000 volte e rimosso appena pochi giorni prima. Quando lo stesso trucco funziona due volte in pochi giorni, parliamo di uno schema.

La nostra proposta è semplice. Se un'app usa il nome o il marchio di una grande azienda, lo store dovrebbe verificare che l'editore sia quell'azienda prima che la scheda vada online. E anche prima che possa partire qualsiasi annuncio su quel nome. Sembra fattibile e poco costoso rispetto al danno. Le app in accesso anticipato che imitano un marchio noto potrebbero inoltre non poter nascondere le recensioni, o almeno mostrare un avviso ben visibile.

Non sappiamo come siano i controlli interni di Google. Ma una scheda rimasta online per oltre un mese e capace di raccogliere 500.000 installazioni suggerisce che qui non abbiano funzionato. Una manciata di nomi, come WhatsApp o Chrome, copre una quota enorme di ciò che la gente cerca. Proteggere quei nomi è il lavoro di sicurezza più redditizio che uno store possa fare. Ed è anche il più facile da misurare.

Cosa fare adesso

Controlla che lo sviluppatore sia WhatsApp LLC prima di installare. Considera i risultati sponsorizzati e gli editori sconosciuti come segnali d'allarme. Non prendere il numero di download come prova di legittimità. Se hai installato il falso, disinstallalo e scarica l'app vera. Il consiglio è sensato, ma non dovrebbe essere l'unica linea di difesa. Il nostro verdetto: gli utenti devono restare vigili e Google deve smettere di trattare la verifica dell'identità come facoltativa per i marchi che tutti cercano di imitare.