WhatsApp falso chegou a 500 mil instalações: a análise do Google Play não é selo de segurança

Como a cópia de um dos aplicativos mais populares do mundo consegue meio milhão de instalações na loja em que mandaram você confiar? Foi o que aconteceu com um WhatsApp falso no Google Play. Na nossa opinião, isso acaba com a ideia de que "está na loja oficial" significa "é seguro".

O que aconteceu, em resumo

Segundo o Techbook, o falso usava o mesmo ícone e o mesmo nome do original. Aparentemente, também copiou as capturas de tela e o texto da descrição. O que o entregava era o campo do desenvolvedor: ali estava "Agment Assets sallu", e não WhatsApp LLC. O Mashable India, citando o Android Authority, acrescenta que a página tinha apenas cerca de um mês. O desenvolvedor não havia publicado mais nada, e o app verdadeiro tem mais de 10 bilhões de downloads.

Dois detalhes pioram o quadro. Capturas de tela compartilhadas no Reddit sugerem que o falso aparecia como resultado de busca patrocinado para alguns usuários. E, segundo relatos, ele usava o programa de acesso antecipado do Google Play, no qual as avaliações públicas ficam desativadas. Assim, as vítimas não tinham como alertar ninguém. O que o app realmente faz com os dados não é explicado nas reportagens que vimos.

A culpa é dividida, mas não por igual

Os usuários devem conferir o nome do desenvolvedor. É um hábito de dez segundos e, aqui, teria exposto a fraude. Quem instala um app chamado WhatsApp de uma empresa que ninguém conhece assume um risco. Mesmo assim, não achamos que culpar o usuário seja uma resposta satisfatória. Quem procura WhatsApp espera que a loja mostre o WhatsApp primeiro. Um espaço patrocinado parece um aval, mesmo que ninguém tenha tido essa intenção.

Aliás, o falso não aparecia em todas as buscas. De acordo com o Mashable, o app verdadeiro às vezes vinha primeiro. Achamos que isso torna a armadilha mais difícil de perceber, não mais fácil. Duas pessoas podem pesquisar a mesma coisa e ver resultados diferentes. Aí ninguém pode dizer com segurança: "Eu olhei, estava tudo certo".

O Google tem a maior responsabilidade, porque controla as três coisas que fizeram o golpe funcionar. Ele vende o espaço de anúncio. Ele comanda a análise que deixou a página passar. E projetou um programa que esconde avaliações de apps novos. Cada um desses recursos é razoável isoladamente. Combinados, deram a uma conta novinha e desconhecida um palco, um megafone e um botão de silenciar para seus críticos. O Mashable também lembra que a Bitdefender já havia avisado que apps em acesso antecipado não necessariamente oferecem avaliações que ajudem o usuário a julgar se o app é legítimo. O risco era conhecido.

Verificar o publicador, pelo menos para os grandes nomes

Não é um caso isolado. O Mashable observa que um Chrome falso teria sido baixado mais de 100 mil vezes e removido poucos dias antes. Quando o mesmo truque funciona duas vezes em poucos dias, chamamos isso de padrão.

Nossa proposta é simples. Se um app usa o nome ou a marca de uma grande empresa, a loja deveria checar se o publicador é essa empresa antes de a página ir ao ar. Também antes de qualquer anúncio rodar com esse nome. Isso parece viável e barato diante do estrago. Apps em acesso antecipado que imitam uma marca conhecida também poderiam ser proibidos de esconder avaliações, ou ao menos exibir um aviso bem visível.

Não sabemos como são as verificações internas do Google. Mas uma página que ficou no ar por mais de um mês e juntou 500 mil instalações indica que elas não funcionaram aqui. Um punhado de nomes, como WhatsApp ou Chrome, concentra uma enorme parcela do que as pessoas buscam. Proteger esses nomes é o trabalho de segurança de maior retorno que uma loja pode fazer. E também o mais fácil de medir.

O que fazer agora

Confira se o desenvolvedor é WhatsApp LLC antes de instalar. Trate resultados patrocinados e publicadores desconhecidos como sinais de alerta. Não tome o número de downloads como prova de legitimidade. Se você instalou o falso, desinstale e baixe o app verdadeiro. O conselho é sensato, mas não deveria ser a única linha de defesa. Nosso veredito: os usuários devem ficar atentos, e o Google deve parar de tratar a verificação de identidade como opcional para as marcas que todo mundo tenta imitar.