Sebastian Juul
Sikkerhedsfirmaet McAfee har afsløret over 1.900 falske apps i Googles officielle butik.
Apperne gik under navne som Netflix, PayPal, Roblox og Xbox Game Pass, og de nåede ud på omkring 500.000 Android-enheder i mere end 190 lande, oplyser McAfee Labs i en rapport om kampagnen. I stedet for at levere de funktioner, logoerne lovede, blev brugerne sendt videre til aggressive reklametragte og falske abonnementsformularer, der kunne trække op mod 49,99 dollar (cirka 350 kroner) i måneden.
McAfee har døbt kampagnen Android/RewaFake. Bagmændene stod bag flere forskellige udviklerkonti, men apperne delte den samme kode og kontaktede den samme fjernserver, der dirigerede trafikken videre. Ifølge McAfees opgørelse udgav gruppen 20 til 25 nye apps om dagen, og de ramte flest enheder i Indien, Rusland og USA.
Da McAfee havde kortlagt kampagnen, blev den rapporteret til Google ad de normale kanaler. Google har siden fjernet alle de identificerede apps fra butikken, bekræfter rapporten.
Logoer uden funktioner
Katalogbredden gjorde kampagnen effektiv. Blandt de efterabede brands var CapCut, Roblox, Zelle, PayPal, Netflix, Xbox Game Pass samt Apple-tjenester som Siri og iMessage, der slet ikke findes i en Android-udgave fra Apple. Ifølge en gennemgang hos Tech Digest stod streamingkopier, foto- og videoeditorer samt gaming-apps for de hyppigste downloads.
Når man åbnede en af apperne, var der ingen tjeneste at logge ind på. I stedet rullede reklamer og pop op-vinduer, der ledte videre til tredjeparts-betalingssider, hvor et månedligt abonnement blev sat op bag flotte knapper. Prisen kunne nå 49,99 dollar om måneden, selvom brugeren troede, han var i gang med at hente en gratis app.
Sådan genkender du en kopi-app
Når rigtige logoer og flot design kan slippe gennem kontrollen, holder de klassiske råd stadig.
McAfee peger på fire konkrete tjek, før du installerer en app. Tjek først udviklerens navn, ikke bare ikonet. En rigtig Netflix-app udgives af Netflix, Inc., ikke af en anonym konto med lignende navn. Vær mistænksom over for apps der kalder sig “guide”, “tutorial”, “helper” eller “tips” til tjenester, du allerede bruger, for de etablerede brands har sjældent brug for en tredjepart til at forklare dem.
Lad være med at stole blindt på antallet af downloads. Flere af de falske apps havde titusinder af installationer og alligevel ingen reel funktion. Og eksisterer tjenesten slet ikke på din platform, kan en app ikke levere den. Apple Pay, Siri og iMessage findes ikke til Android, så en app, der lover det, er pr. definition falsk.
Tjek dine abonnementer nu
Fordi apperne forsøgte at trække betaling ved første åbning, kan en Android-bruger have givet samtykke til et abonnement uden at vide, hvad det reelt dækkede. Betalingen stopper ikke, fordi man sletter appen, da abonnementet bor på Google-kontoen, ikke i selve appen.
Google beskriver selv fremgangsmåden i sin hjælpevejledning: Åbn Google Play på din Android-enhed, gå til Abonnementer, vælg det abonnement du vil af med, tryk Annuller abonnement, og følg trinnene. Vejledningen understreger, at man beholder adgang resten af den igangværende betalingsperiode og først derefter stopper trækningen.
Mistænker du en konkret opkrævning, kan du anmode om refusion gennem Google Plays supportsider. Trend.dk har tidligere beskrevet, hvordan en læser fik pengene tilbage, efter at et abonnement havde kørt ubemærket.
