Play Store: come riconoscere un’app pericolosa prima di installarla

Il Play Store non è un negozio sorvegliato ventiquattro ore su ventiquattro. Davanti a milioni di applicazioni c’è un filtro automatico, poi una revisione che nella maggior parte dei casi dura pochi giorni e che, per ammissione di Google, non è pensata per verificare quello che lo sviluppatore dichiara. Il risultato è che ogni tanto qualcosa passa.

Nelle ultime settimane due app false hanno superato i controlli e insieme hanno raccolto più di 600.000 download prima di essere rimosse. Una si spacciava per Chrome, l’altra per WhatsApp.

La parte utile è che quasi tutti i segnali si vedono prima del tap su Installa. Bastano cinque minuti sulla scheda dell’app, nella posizione giusta, per capire se qualcosa non torna. Questa è la checklist che uso, nell’ordine in cui la applico.

Perché la scheda dell’app è la prima difesa

Il punto debole del modello di Google è che la fiducia si basa su autodichiarazioni. Lo sviluppatore paga 25 dollari per aprire un account, carica l’app, dichiara quali dati raccoglie e aspetta la revisione. In produzione la revisione richiede dai tre ai sette giorni e controlla soprattutto che l’app funzioni e rispetti le policy.

Quello che non fa è verificare se le dichiarazioni sono vere. Google lo scrive nelle sue pagine di supporto: il processo di revisione non è progettato per validare le informazioni sulla sicurezza dei dati. Tradotto: la scheda Sicurezza dei dati è quello che lo sviluppatore dice di fare, non quello che fa.

Se la scheda è una promessa e non una certificazione, restano i dettagli difficili da falsificare: chi è lo sviluppatore, da quanto pubblica, che numeri porta.

Chi pubblica davvero l’app

Apri la scheda dell’app e tocca Informazioni sull’app. Scorri fino a “Offerta di” o “Sviluppatore” e guarda il nome. Poi toccalo: si apre il profilo con tutte le app pubblicate da quello stesso account. È il controllo più veloce che esista e quasi nessuno lo fa.

Chrome arriva da Google LLC, WhatsApp da WhatsApp LLC, Instagram da Instagram. Se sotto un’app che sembra WhatsApp trovi un nome tipo “Hizbartech” o una sequenza di lettere casuali, hai già la risposta. Un account con una sola app pubblicata la settimana scorsa e nessun altro prodotto è un altro segnale, non una prova, ma un segnale.

Il secondo livello è il nome del pacchetto, visibile dopo l’installazione in Impostazioni, App. Quella stringa è unica: WhatsApp è com.whatsapp, la copia era com.AgmentAssetssallu.DeadPixelTriPulse. Il sistema vieta di riusare un pacchetto esistente, quindi i truffatori giocano sulle varianti, con una lettera in più o un prefisso diverso.

Numeri, recensioni e date: come si leggono

Le installazioni non sono tutte uguali. Il Play Store le mostra a scaglioni: 1+, 100+, 10.000+, 1 milione+, 10 miliardi+. Un’app che dichiara mezzo milione di download in poche settimane e non ha recensioni non è popolare, è stata spinta con la pubblicità. Gli annunci comprano installazioni molto più in fretta del passaparola.

Il confronto con l’originale è brutale. WhatsApp vero: pubblicata nel 2010, 10 miliardi di download, 241 milioni di recensioni, 4,6 stelle. La copia: 500.000 download, zero recensioni, nessun voto.

Poi ci sono le recensioni. Leggi quelle da una a tre stelle: i recensori pagati raramente si abbassano a scriverle, perché abbassano il voto. Cerca le parole “pubblicità”, “non funziona”, “dati” e guarda se lo sviluppatore risponde. Chi gestisce un prodotto serio risponde, chi gestisce una truffa sparisce.

Guarda anche la data di ultimo aggiornamento: un’app ferma da tre anni, con permessi sensibili, è un rischio anche quando è onesta.

I permessi rispetto a quello che l’app promette

La lista delle autorizzazioni è nella scheda. La trovi in Informazioni sull’app, sezione Informazioni app, alla voce Autorizzazioni app, con “Vedi altro” per l’elenco completo. Le autorizzazioni sono raggruppate per categoria e in fondo c’è il gruppo Altro, dove finiscono quasi tutte quelle che contano.

Il confronto da fare è semplice: cosa chiede l’app rispetto a cosa promette di fare. Una torcia che chiede accesso agli SMS non ha motivo di esistere. Un gioco che chiede il permesso di disegnare sopra altre app, di leggere le notifiche o di amministrare il dispositivo sta chiedendo le chiavi di casa per un motivo che non ha niente a che vedere con il gioco.

Tre permessi meritano un’attenzione particolare. Il primo è Accessibilità: serve a leggere lo schermo e simulare tocchi, ed è lo strumento con cui i trojan bancari compilano moduli al posto tuo. Il secondo è Visualizza sopra altre app, che permette di sovrapporre finestre finte a quelle vere. Il terzo è Amministratore del dispositivo, che rende l’app difficile da disinstallare. Se un’app che non è un gestore di accessibilità, un launcher o un antivirus chiede uno di questi tre, la risposta è no.

Il dettaglio che frega molte persone è che Android non mostra tutti i permessi al momento dell’installazione. Molti vengono chiesti solo quando l’app usa la funzione, mesi dopo, quando la fiducia è già stata costruita. Per questo la lista va letta prima, non dopo. Sul sito abbiamo una guida su quali permessi Android concedere e come controllarli uno per uno.

La scheda Sicurezza dei dati

Nella parte bassa della scheda c’è la sezione Sicurezza dei dati. Dice quali informazioni l’app raccoglie, se le condivide con terzi, se sono cifrate durante il trasferimento e se puoi chiederne la cancellazione. È obbligatoria per tutte le app del Play Store e deve essere coerente con l’informativa privacy.

Il problema è che è autodichiarata. Un’app può scrivere “nessun dato raccolto” e comportarsi diversamente e la revisione automatica non se ne accorge. Però le incongruenze si vedono lo stesso: un’app che nella scheda dice di non raccogliere nulla e nella descrizione promette sincronizzazione cloud, backup o account personale si sta contraddicendo da sola.

Controlla anche il link all’informativa privacy e aprilo. Se manca o è una pagina generica copiata, è un elemento da mettere sulla bilancia. Da solo non basta, sommato agli altri chiude la pratica.

I segnali tipici di un’app civetta

Ci sono combinazioni che ricorrono. L’icona copiata dall’originale, magari con una sfumatura diversa. Il nome con un carattere strano o una lettera raddoppiata. La descrizione tradotta male, con frasi che sembrano uscite da un traduttore automatico e che nessun madrelingua scriverebbe. Gli screenshot rubati, sgranati o palesemente di un’altra app.

Poi ci sono i segnali strutturali. L’app è in Accesso anticipato, quindi non ha recensioni pubbliche. Lo sviluppatore ha pubblicato solo quella. La dimensione del file è assurdamente piccola per quello che promette: spesso è un guscio WebView che dopo l’installazione scarica il vero contenuto. È la strada usata da trojan bancari come Anatsa, nascosti dentro lettori PDF e file manager innocui.

Ultimo indizio: la posizione nei risultati di ricerca. Se l’app compare tra i primi con l’etichetta Sponsorizzato e non ha recensioni, non è lì perché è la migliore, ma perché qualcuno ha pagato.

Cosa fa Play Protect e dove si ferma

Play Protect è il sistema di scansione di Google. Controlla le app installate, analizza le nuove e avvisa quando rileva codice noto come dannoso. La scansione in tempo reale, attiva per impostazione predefinita, esamina anche le app che arrivano da fuori dal Play Store.

Il limite è nel metodo. Play Protect riconosce firme e comportamenti noti, non intenzioni. Un’app nuova, scritta per l’occasione e senza cronologia, può passare indisturbata. Può anche essere pulita al momento dell’installazione e diventare altro dopo un aggiornamento, perché la revisione guarda il pacchetto caricato, non quello che scaricherà in seguito.

Play Protect si può anche disattivare e diverse guide lo suggeriscono per guadagnare prestazioni. Farlo significa rinunciare all’unico controllo automatico che hai. Ne abbiamo parlato nella guida su Play Protect e su cosa fare quando non basta.

Cosa fare se l’hai già installata

Se hai dubbi dopo l’installazione, disinstalla l’app e revoca le autorizzazioni concesse. Poi apri le impostazioni dell’account Google e controlla dispositivi collegati e app con accesso. Se l’app leggeva SMS, notifiche o account, cambia le password e attiva la verifica in due passaggi.

Vale anche per le app installate da tempo: un’app legittima due anni fa può essere stata venduta e trasformata con un aggiornamento. Il controllo periodico della lista app, ordinata per data di aggiornamento, è noioso ma funziona.

E se l’app non è sul Play Store? Il rischio sale, non scende. Fuori dal negozio ufficiale non c’è nessuna revisione, nessuna scheda Sicurezza dei dati e nessun Play Protect che interviene prima dell’installazione. Ne abbiamo parlato anche nella guida su come trovare app Android fuori dal Play Store, dove il criterio è sempre lo stesso: la fonte prima del prodotto.

Domande frequenti

Play Protect basta a proteggermi dalle app pericolose?

No. Riconosce il malware noto e blocca molte installazioni rischiose, ma non può valutare un’app nuova scritta per l’occasione. Va tenuto attivo, però non sostituisce il controllo sulla scheda.

Come riconosco una copia di un’app famosa?

Tre controlli: nome dello sviluppatore, download confrontati con l’originale, recensioni recenti. Se lo sviluppatore ha pubblicato una sola app e i numeri non tornano, è quasi certamente una copia.

Un’app con molti download può essere comunque pericolosa?

Sì. I download si comprano con la pubblicità e un’app pulita può diventare dannosa dopo un aggiornamento o dopo essere stata venduta. Il numero è un indizio, non una garanzia.

Cosa significa il gruppo di permessi “Altro”?

È la categoria dove finiscono i permessi fuori dai gruppi principali e spesso è lì che si nascondono quelli più invasivi. Va aperta per ultima ma letta per prima.

Devo disinstallare un’app che chiede l’accessibilità?

Dipende da cosa fa. Un’app di automazione, un launcher o un gestore di accessibilità possono averne bisogno. Un gioco, una torcia o un filtro foto no. In quel caso il permesso non si concede e l’app si disinstalla.

Perché le app sponsorizzate compaiono in cima ai risultati?

Perché hanno pagato per quella posizione. La sponsorizzazione non implica una verifica di qualità o sicurezza: significa solo che lo sviluppatore ha comprato visibilità. Vale la pena guardare anche i risultati organici.

Cinque minuti sulla scheda, il nome dello sviluppatore, il confronto dei numeri e uno sguardo ai permessi. Serve a evitare la maggior parte delle fregature, senza app di sicurezza aggiuntive.