Quando si cerca una VPN sul Google Play Store, un numero di download nell'ordine delle decine di milioni viene solitamente considerato il massimo sigillo di approvazione. Se 10 milioni di persone usano un'app, deve essere ben mantenuta, tecnicamente sicura e supportata da un'azienda legittima, giusto? Purtroppo, la nostra ultima analisi sulle VPN Android dimostra che metriche di download elevate e ampi cataloghi di app non equivalgono a supporto operativo, manutenzione tecnica o conformità allo store. In particolare, i nostri dati suggeriscono che i controlli automatizzati di Google Play stanno permettendo ad app con milioni di download e a reti commerciali di aggirare alcuni requisiti sui siti web degli sviluppatori. Al posto di veri portali di supporto, questi sviluppatori utilizzano segnaposto di domini vuoti, pagine di errore e file di testo per la monetizzazione pubblicitaria per ingannare il sistema.
Infrastrutture rotte nelle super-app con oltre 10 milioni di download
Quando si paga per una delle migliori VPN, si ottiene un'infrastruttura aziendale dedicata, canali di supporto 24/7 e documentazione legale trasparente. Ma su Google Play, alcune delle app più scaricate che abbiamo analizzato operano come città fantasma. La nostra analisi ha identificato 14 diverse app VPN Android con oltre 10 milioni di download ciascuna che mantengono link a siti web inesistenti, rotti o fittizi. Ad esempio, sia USA VPN - Get USA IP che VPN Indonesia - Indonesian IP indirizzano gli utenti a tap2free.net, che è una pagina completamente vuota. Altre app ad alto volume reindirizzano a errori del server attivi. AnonyTun indirizza gli utenti a un errore HTTP '403 forbidden'. Il link per v2RayTun semplicemente va in timeout, e esempi come Fast VPN portano a messaggi 'Invalid URL'. Anche quando i siti si caricano, spesso sono privi di informazioni. VPN 365 è uno dei numerosi esempi che mostrano banner di benvenuto generici di una sola riga come 'Welcome to facefaster.com!' senza altro contenuto. MTM Tunnel Lite collega a una pagina Blogspot vuota con un singolo post che dice 'there's nothing here'. Il più imbarazzante è Armada VPN, che punta a una pagina bianca che scrive erroneamente il nome del prodotto come 'Aramda VPN'. Altre inserzioni importanti omettono del tutto l'URL del sito web nelle pagine ufficiali dello store.
Sponsored Protocol
Maggiore rischio di dirottamento del dominio e utenti senza supporto
Questi link mancanti o rotti indicano risorse web abbandonate o completamente non mantenute, aumentando il rischio di un degrado silenzioso del servizio o di un futuro dirottamento del dominio. Inoltre, lascia milioni di utenti attivi senza canali ovvi o facili per cercare supporto tecnico, segnalare gravi vulnerabilità di sicurezza o richiedere legalmente la cancellazione di account e dati. Impedisce inoltre agli utenti di verificare i dettagli di registrazione dell'azienda o di leggere i termini di servizio vincolanti al di fuori del client dell'app.
Sponsored Protocol
Il problema degli anelli di sviluppatori multi-app
I link rotti sulle singole app sono già abbastanza gravi, ma l'analisi ha anche esposto enormi 'anelli di sviluppatori', singole entità che creano dozzine di app clone per inondare i risultati di ricerca e ingannare i sistemi automatizzati di Google. Uno dei modi più comuni con cui queste reti di sviluppatori aggirano le regole è lo sfruttamento di 'app-ads.txt'. App-ads.txt è un formato standard che i siti web usano per gestire gli annunci Google, e molti siti ospitano questi file gratuitamente. Gli sviluppatori devono solo incollare questi link a file di monetizzazione grezzi nei moduli di sottomissione allo store per soddisfare il requisito del sito web di Google senza dover costruire un sito reale. Questo sfruttamento avviene su scala industriale. L'account sviluppatore Karastm gestisce 39 app VPN, e 35 di esse rimandano a Google Play tramite un file app-ads generico. Un altro sviluppatore, helalik, gestisce 19 app VPN, incluse sette con oltre 1 milione di download, che puntano tutte a un singolo file adzonemax.site. Sfruttamenti simili di file pubblicitari sono stati trovati in diverse altre reti di dimensioni simili. Quando gli anelli di sviluppatori non usano file pubblicitari, usano blog fittizi. Lo sviluppatore BanglaTach gestisce 26 app VPN (incluse due con oltre 1 milione di download) che puntano tutte a naruto24.com, un modello WordPress fittizio e generico che non contiene informazioni sui servizi VPN. Reti come BD IT POINT (8 app) puntano le loro inserzioni a feed di blog vuoti, account rimossi o domini segnaposto.
Sponsored Protocol
Perché tutto questo è preoccupante per la privacy
Queste reti multi-app creano una pericolosa illusione di varietà di software. Ingannano gli utenti facendogli credere di scegliere tra fornitori di privacy distinti e concorrenti, quando in realtà stanno scaricando app clone rivestite. Queste flotte white-label condividono infrastruttura identica, bug identici e pratiche di registrazione dei dati identiche, il tutto eludendo con successo gli obblighi di trasparenza operativa e supporto di Google. Quando si considera che la privacy è il motivo principale per cui si usa una VPN, la mancanza di trasparenza è particolarmente allarmante. Inoltre, il fatto che queste app abbiano decine di milioni di installazioni significa che un numero enorme di utenti potrebbe essere esposto a rischi senza saperlo.
Sponsored Protocol
Consigli pratici per gli utenti Android
A causa dei modi in cui Google Play permette alle app di entrare nello store, e delle debolezze in questi, gli utenti devono diventare i propri auditor di sicurezza per navigare il negozio in sicurezza. Iniziate ignorando completamente le metriche di download. Trattate i numeri elevati di download solo come indicatori di popolarità di distribuzione passata, non come prova di sicurezza attuale, manutenzione tecnica o legittimità. Prima di scaricare, cliccate sempre sul nome dello sviluppatore nella pagina dell'app per controllare il suo portfolio. Se vedete che gestisce dozzine di app clone identiche con nomi generici, evitate del tutto il suo software. Infine, prestate molta attenzione agli URL forniti. Non scaricate un'app se il link al sito ufficiale nello store termina con '/app-ads.txt' o punta a un dominio di blogging gratuito come Blogspot. In definitiva, le aziende di privacy legittime investono e possiedono i propri domini web.
La conclusione dell'analisi indipendente
I nostri dati mostrano che, attualmente, i metodi di verifica delle app di Google Play offrono abbastanza manovrabilità per consentire alle app di usare link morti, pagine vuote e file di monetizzazione pubblicitaria per registrare le loro app al posto di hub informativi veramente utili per gli utenti. Fino a quando i controlli automatizzati di sottomissione allo store non saranno sostituiti da una verifica aziendale genuina, i consumatori dovrebbero valutare audit di sicurezza indipendenti e una chiara proprietà dei domini aziendali piuttosto che assumere che la popolarità nello store rifletta l'affidabilità dello sviluppatore. Google, contattata in merito ai nostri risultati, ha risposto dicendo 'Stiamo esaminando la questione. Quando veniamo a conoscenza di un'app che viola le nostre politiche, esamineremo le app in questione e intraprenderemo le azioni appropriate.' Abbiamo anche contattato tutte le VPN menzionate in questo articolo per un commento sui problemi riscontrati. Al momento della pubblicazione, nessuna ha risposto, anche se aggiorneremo con eventuali risposte quando arriveranno. Nel frattempo, se state pensando di acquistare una VPN, vi consigliamo di leggere la nostra guida alle migliori VPN per vedere quali servizi superano i test di sicurezza e trasparenza. Inoltre, per restare aggiornati sulle ultime notizie di tecnologia, potete seguire le nostre notizie su Best Buy back-to-school o su i prossimi prodotti Apple.
Sponsored Protocol
