I ricercatori di ESET, il più grande produttore di software per la sicurezza digitale dell'Unione europea, hanno individuato una curiosa tecnica di frode su Google Play che sfruttava unicamente la disattenzione dell'utente: l’app Pingu Cleans Up faceva sottoscrivere agli utenti, senza il loro consenso, un abbonamento di € 5,49 a settimana per poi riscuotere le quote utilizzando il metodo di pagamento legittimo di Google Play. Il trucco funzionava sul classico presupposto che molti utenti "fanno clic" su qualsiasi finestra dall’aspetto legittimo che impedisca loro di eseguire il gioco stesso, senza prestare molta attenzione al contenuto. L'obiettivo principale della truffa erano gli utenti che hanno registrato le informazioni della carta di credito sul proprio account Google Play.
Il gioco è stato caricato su Google Play l'8 febbraio 2018 ed è stato installato tra le 50.000 e 100.000 volte prima di essere rimosso dopo la segnalazione di ESET al team di Google. Osservando la valutazione e le recensioni del gioco, sembra che molti utenti inizialmente abbiano lasciato commenti positivi, indipendentemente dall’uso fuorviante del metodo di pagamento di Google Play; tuttavia, prevalgono le valutazioni negative.
Come funziona la truffa?
Dopo essere stata eseguita, l'app consentiva agli utenti di personalizzare l’avatar del pinguino in tre passaggi. Nei primi due passaggi, per scegliere l'attributo desiderato, gli utenti dovevano cliccare "conferma" su una finestra pop-up che appariva in primo piano. Nella terza fase, gli utenti con i dettagli della carta di credito memorizzati vedevano una finestra simile alle precedenti, in cui al pulsante "conferma" era però sostituito quello "iscriviti". A questo punto, alle vittime venivano addebitati 5,49 € sulla carta collegata ai loro account. Il pagamento veniva quindi ripetuto settimanalmente fino a quando l'utente non annullava la sottoscrizione direttamente dall'app.
Agli utenti che non avevano una carta di credito collegata al proprio account veniva mostrata una finestra diversa nel terzo passaggio, in cui si richiedeva di aggiungere un metodo di pagamento per completare l'acquisto. La necessità di una partecipazione attiva rendeva tali utenti meno inclini a cadere in questo tipo di truffa.
Come stare al sicuro
Nel caso di Pingu Cleans Up, gli utenti potrebbero aver notato diversi indicatori anche prima della visualizzazione della finestra "subscribe", ovvero:
- "Termini d'uso" identici in tutte e tre le fasi
- L’immediata richiesta di pagamento dopo l’esecuzione, nonostante l'app sia elencata come gratuita
- Valutazione e recensioni negative su Google Play
Per non essere ingannati da truffe simili a questa, è necessario - prima di installare un'app - controllare attentamente le valutazioni e recensioni degli altri utenti. Inoltre, nel caso si consenta ai figli di installare e giocare sul dispositivo dei genitori, è consigliabile creare un account separato che non sia collegato ad alcuna carta di credito.
Ultimo, ma non meno importante, utilizzare una soluzione di sicurezza mobile affidabile per proteggere il dispositivo Android dalle ultime minacce.
Fonte notizia
www.welivesecurity.com 2018 03 29 pingu-cleans-subscription-scam-google-play
