Una nuova campagna di truffe sul Google Play Store ha riportato al centro dell’attenzione il tema delle app malevole su Android, capaci di ingannare milioni di utenti prima di essere individuate e rimosse. La minaccia, identificata dai ricercatori di sicurezza di ESET, è stata ribattezzata CallPhantom e si è diffusa attraverso una serie di applicazioni che promettevano funzionalità solitamente impossibili e, soprattutto, illegali.
Le app coinvolte sono in totale 28 e sostenevano di poter recuperare la cronologie delle chiamate, degli SMS e persino i registri delle chiamate di servizi come WhatsApp semplicemente inserendo il numero di telefono che si voleva “spiare”. Nonostante alcune differenze nell’interfaccia, tutte le applicazioni condividevano la stessa promessa ingannevole. In realtà, però, i dati mostrati non avevano alcun fondamento: venivano generati in modo completamente casuale dall’app stessa e non corrispondevano a informazioni reali.
Segui TuttoAndroid su Google Discover
Come funziona la truffa del CallPhantom
L’idea di un’applicazione che possa risalire a dati sensibili come i registri delle chiamate e degli SMS di un’altra persona dovrebbe suonare già di per sé come sospetta, poiché su Android l’accesso a questo tipo di informazioni non è possibile. Le applicazioni identificate dai ricercatori di ESET, però, hanno totalizzato oltre sette milioni di download nel mondo, dimostrando come la diffusione della truffa sia stata tutt’altro che marginale.
Questo risultato è stato ottenuto sfruttando la curiosità degli utenti e un modello di business basato su abbonamenti ricorrenti, con costi variabili che andavano da pochi dollari fino a cifre decisamente più elevate, anche nell’ordine di decine di dollari a settimana o al mese. Una volta scaricata l’applicazione e inserito il numero di telefono da spiare, viene richiesto il pagamento di una somma (una tantum o in abbonamento) per sbloccare i dati richiesti: nomi, orari e durata delle chiamate venivano però estratti dai dati già presenti nel codice dell’applicazione e riformulati in modo da apparire legittimi, dando l’illusione di accedere a informazioni private di terzi.
Fortunatamente per noi europei, la campagna sembra essere stata pensata soprattutto per utenti di alcune aree geografiche specifiche, con particolare attenzione all’India e alla regione Asia-Pacifico. In diversi casi, le applicazioni mostravano già preimpostato il prefisso telefonico di questi Paesi e integravano sistemi di pagamento molto diffusi in quelle zone, aumentando così la credibilità del servizio.
I ricercatori di ESET hanno subito segnalato la cosa a Google che, dopo aver fatto le opportune verifiche, ha rimosso tutte le applicazioni dal Play Store. Gli utenti che hanno effettuato i pagamenti tramite i sistemi ufficiali di Google possono tentare di chiedere un rimborso, mentre per chi ha utilizzato metodi esterni la situazione è più complessa e dipende dai singoli servizi di pagamento.
Anche se questa truffa non ha toccato in prima persona noi occidentali, ha riaperto una riflessione importante sulla sicurezza dello store ufficiale di Android. Anche se Google interviene regolarmente per rimuovere le app dannose, episodi di questo tipo dimostrano come alcune campagne riescano comunque a superare i controlli iniziali e ad accumulare milioni di download e di vittime prima di essere bloccate. Il consiglio, in questo caso, è quello di evitare app che sembrano promettere funzionalità troppo belle per essere vere, e di fare sempre le opportune ricerche prima di pagare per un servizio fittizio.