No es nuevo el dato pero es una “enfermedad” que crece cada vez más en la tienda de Google Play, aplicaciones falsas siempre habrá pero la cantidad y variedad actual es enorme y un caso que dio vueltas por las redes esta semana es el de las falsas WhatsApp y hasta Messenger de Facebook.
Entendamos esto, tal vez vos, yo y varios más no se vean nunca afectados por estas apps falsas porque “somos vivos” (o eso es lo que la mayoría pretende/cree de sí mismos) así que puede ser que les parezca trivial, pero el universo de usuarios es MUCHO más grande que nuestro propio ombligo y mucha gente cae fácilmente en cualquier falsificación.
Y así como existen los sitios de Phishing y son un éxito a la hora de robar credenciales algunos apuntan a duplicar Apps o agregar supuesta funcionalidad para, en cambio, tomar datos, agregar publicidad o sencillamente espiar comportamiento de los usuarios.
WhatsApp y del Unicode a las funciones adicionales
El tema aquí es el Unicode, el formato de caracteres pensado para abrir el juego a todos los idiomas en un sistema operativo pero que, por su propia naturaleza, ofrece caracteres que se parecen a alguno occidental pero que no lo es. Es más, hasta hay espacios, caracteres vacíos, que no son el espacio normal pero se ven como éste. De esta forma Facebook Messenger puede ser el original o tener una s cambiada por un símbolo que en sánscrito se ve igual.
En muchas ocasiones el truco está en ofrecer una actualización o efecto extra, por ejemplo:
Esta app logró meterse en 1 millón de equipos y no es la única, miren el listado de clones:
Miren los nombres de las “firmas”, agregan espacios, comas, símbolos, con trucos casi de primaria “engañan” a Google, no habla bien de ellos sino más bien mal de Google y su poco o nulo control de cosas tan obvias. El uso del ícono con pequeñas modificaciones es norma.
Nótese como la mayoría logra colarse en las búsquedas ofreciendo adicionales para el WP de siempre.
Los peores son los updates, como si WP no lo hiciera automáticamente, y esto es ingeniería social pura, quienes instalan estas falsas apps son de una generación y una formación donde los parches de seguridad o upgrades no provenían de un repositorio central sino bajando una aplicación y ejecutándola.
También Messenger
Otro que sufre del mismo tipo de abuso es el Facebook Messenger
Forbis s.r.o. claramente no es Facebook Inc., esta empresita no sólo creó el falso WP, también este Messenger, hacen un wrapper a la otra App, agregan publicidad:
Y lo mejor, 10 millones de instalaciones, el creador es un eslovaco que hace apps y, al parecer, encontró en estos wrappers una forma de amplificar sus ganancias sin cometer delito alguno. Tal vez no respete algún términos y condiciones, pero en Eslovaquia dudo que esto sea un problema grave (todavía) y le debe estar generando grandes ingresos.
Ahora bien, no es que Google no dispone de información para detectarlos, basta ver las críticas de la app:
Y la app aparece como sugerida en la misma pantalla de Facebook por encima del Messenger habitual:
Si tenés algún pariente mayor que utiliza un smartphone desde hace poco es un claro objetivo de este tipo de falsas apps, está a merced de este tipo de creadores que falsifican cosas útiles con tal de obtener un poco de beneficios (con ads) hasta los que quieren hacer puro phishing (tomando usuarios y contraseñas).
Google está permitiendo esta perversión de su tienda y no es que no dispone de herramientas para controlarlo, son capaces de identificar en un video una pequeña porción de material con copyright, identificar rostros en todas tus fotos y hasta situaciones, animales, plantas, etc. Tan sólo con los nombres de las apps, de los creadores y el ícono es suficiente para encontrar clones de apps conocidas. Es MUY FÁCIL de solucionar, crear alertas y estar bien despierto para atajar esta contingencia.
Okey, en pocos días luego de ver esto y que crezca en todas las redes sociales Google reacciona y lo cierra. El problema es que durante meses varios millones de usuarios cayeron en la trampa.
Con el actual criterio de filtro no es nada difícil para un atacante crear una app falsa para un banco local, donde hay menos control por parte de Google todavía.
Esto a su vez dá por tierra aquel argumento de que los "Stores" son más seguros para descargar aplicaciones. De hecho, sería más seguro descargarse el apk desde "whatsapp punto com".
En GooglePlay, la version original está al lado de la trucha, sin modo evidente de identificarla. Y eso que estamos hablando de aplicaciones recontra conocidas. Como bien decís, si se les ocurre truchar alguna aplicacion de un banco o empresa local, andá a averiguar cuál es la original y cual la trucha.
Por cierto, eso de que la aplicación se "auditaba" antes de habilitarla en el store, era puro verso no? 😀
Tambien entonces era puro verso aquello de que "eras expulado de whatsapp sino usabas una version oficial"