Quello dei malware nascosti
nelle app pubblicate sul Google Play Store sta
diventando un problema sempre più serio e dalle dimensioni sempre più
preoccupanti. Le società di cybersicurezza ne scoprono e ne segnalano a Google,
che provvede a rimuoverle non sempre in modo tempestivo, centinaia ogni anno e la domanda che ormai si fanno tutti è: COME FANNO QUESTE APP A
PASSARE I CONTROLLI PRE-PUBBLICAZIONE SUL PLAY STORE?
La risposta è semplice:
sempre più spesso le app non contengono il malware al loro interno, ma lo scaricano e lo azionano successivamente.
Questo rende difficile persino a Google capire se una app contiene un virus.
Cosa dovrebbe fare allora
l'utente, per tutelare la propria privacy e la propria sicurezza? In teoria non
può far nulla, ma in pratica può mettersi (almeno
un po') al sicuro analizzando
bene l'app prima di scaricarla.
COME FANNO LE APP A PASSARE I CONTROLLI?
Partiamo da un
presupposto: sempre meno spesso il codice pericoloso è inglobato
direttamente in quello dell'app che l'utente scarica. La maggior parte
delle volte viene scaricato poco dopo l'installazione dell'app, che procede
a fare il download di file apparentemente innocui ma in realtà infetti. E
da questi file parte l'infezione. Altre volte la tattica è diversa: si induce
l'utente a scaricare una app assolutamente innocua e, quando la base degli
utenti è abbastanza corposa, si inserisce il malware in uno degli
aggiornamenti dell'app. Gli utenti, che hanno usato per settimane o addirittura
mesi l'app senza problemi, accettano di scaricare gli aggiornamenti e si
ritrovano lo smartphone infetto.
COME CAPIRE SE UNA APP È SOSPETTA?
Per capire se una app è
rischiosa bisogna ragionare al rovescio: dare per scontato che tutte le
app possano esserlo e, di conseguenza, tutelarsi prima del download:
- usare un buon antivirus
mobile;
- chiederci chi è lo
sviluppatore: è sempre visualizzato sotto il nome dell'app e possiamo
cercarlo su Google. Se il nome di questo sviluppatore è già legato ad app che
in passato hanno dato problemi, allora evitiamo di scaricare l'app;
- lista delle autorizzazioni richieste dall'app: spesso molte autorizzazioni sono del tutto superflue
per lo scopo che l'app dichiara di avere. Per quale motivo una beauty-app di
fotoritocco dei selfie dovrebbe avere bisogno per funzionare dell'accesso al
microfono o alla posizione GPS? Per nessun motivo, ma se gliele concediamo potrebbe
usarle successivamente per spiare il nostro comportamento e rubarci dati
personali. E qui c'è un altro campanello d'allarme al quale fare attenzione:
alcune app adottano la strategia di non chiedere permessi eccessivi subito, ma
di chiederli in seguito dopo un aggiornamento (che probabilmente
contiene un malware). Se per mesi abbiamo usato una app e l'abbiamo aggiornata,
ma non ci è mai stato chiesto di aggiornare anche le autorizzazioni, qualora
ciò dovesse succedere da un momento all'altro ci sarebbe di sicuro qualcosa che
non va.
ATTENTI ALLA PRIVACY POLICY
C'è poi una ulteriore
questione da analizzare con attenzione: la privacy policy. Non tutte le
app contengono malware, ma ciò non vuol dire che una app "pulita"
non possa essere considerata "pericolosa". Il pericolo, in
questo caso, è che sia stata sviluppata con lo scopo principale di raccogliere
i nostri dati per poi rivenderli a nostra insaputa. Di solito queste app
richiedono più autorizzazioni di quante siano realmente necessarie (vedi sopra,
il discorso è identico) e hanno privacy policy alquanto sospette.
La prima cosa che non va in una privacy policy è la sua complessità: più è lungo e
complesso il documento, meno utenti avranno la pazienza di leggerlo, più utenti
lo accetteranno senza neanche averlo letto.
La seconda cosa che non va in una privacy policy è qualsiasi tipo di consenso
implicito. Definizioni come "L'utente, usando l'applicazione, accetta
A, B, C...". Ma "usando l'applicazione" vuol dire
tutto e niente, quindi di fatto lo sviluppatore si accaparra un consenso
implicito a fare dei nostri dati ciò che vuole.
La terza cosa che non va in una privacy policy è la politica di monetizzazione
dell'app: ogni espressione generica relativa alla raccolta di dati finalizzata
all'erogazione di annunci personalizzati, se non meglio dettagliata, va
considerata come pericolosa.
copyright CULTUR-E
Commenti
Posta un commento