Google Play Early Access abusato: migliaia di app ingannevoli sfruttano l’assenza di recensioni

🛡️ Executive Summary

• Bitdefender individua migliaia di app Early Access ingannevoli su Google Play tra casinò, premi falsi, utility e giochi che imitano marchi noti.
• L’assenza di recensioni pubbliche e valutazioni a stelle elimina un segnale di reputazione che normalmente permette agli utenti di avvertirsi reciprocamente.
• Le campagne arrivano da TikTok e Facebook, anche con deepfake AI di celebrità, e puntano soprattutto a monetizzare attraverso pubblicità aggressive.

Il programma Early Access di Google Play viene sfruttato per distribuire migliaia di applicazioni ingannevoli senza che gli utenti possano lasciare recensioni pubbliche o valutazioni negative. Bitdefender ha individuato falsi casinò, applicazioni che promettono guadagni, premi e pagamenti in criptovalute, utility fuorvianti e giochi costruiti attorno a marchi famosi. Il problema non è una vulnerabilità tecnica del Play Store e la ricerca non descrive una nuova famiglia malware: gli operatori sfruttano invece una caratteristica legittima del programma, nato per proteggere le applicazioni ancora in sviluppo dal review bombing. La stessa assenza di recensioni che tutela gli sviluppatori elimina però uno dei primi segnali di allarme disponibili agli utenti.

Early Access elimina recensioni e reputazione proprio quando servirebbero di più

La ricerca pubblicata da Bitdefender nasce dall’analisi delle applicazioni Google Play installate dagli utenti dei prodotti di sicurezza dell’azienda. I ricercatori hanno identificato migliaia di titoli pubblicati attraverso Early Access con caratteristiche considerate ingannevoli o fortemente sospette. Il programma permette agli sviluppatori di distribuire software non ancora arrivato alla release definitiva e raccogliere feedback senza esporlo immediatamente alle normali valutazioni pubbliche. Gli utenti possono inviare commenti privati allo sviluppatore, ma non possono pubblicare recensioni visibili agli altri né assegnare stelle.

Una scelta ragionevole quando serve a evitare che bug temporanei distruggano la reputazione di un progetto ancora in sviluppo, ma estremamente conveniente anche per chi vuole mantenere a lungo sullo store un’app che, in condizioni normali, accumulerebbe rapidamente segnalazioni negative. Il problema ricorda da un’altra prospettiva Operation NoVoice, che aveva superato 2,3 milioni di download attraverso applicazioni distribuite direttamente sul Play Store: la presenza nel marketplace ufficiale riduce naturalmente la diffidenza dell’utente, anche quando la reale qualità o sicurezza del software resta da verificare.

Premi inesistenti e casinò trasformano l’app in una macchina pubblicitaria

Lo schema più ricorrente identificato da Bitdefender riguarda applicazioni che promettono denaro, accrediti PayPal, criptovalute, gift card, giri gratuiti o jackpot. L’utente arriva spesso al download dopo avere visto un annuncio su TikTok o Facebook, installa l’applicazione e nelle prime fasi riceve rapidamente grandi quantità di valuta virtuale o premi simulati. Quando si avvicina alla soglia necessaria per il prelievo, però, la progressione rallenta fino a diventare sostanzialmente impossibile e il pagamento promesso non arriva.

Nel frattempo l’app continua a mostrare pubblicità, trasformando il tempo dell’utente nella reale fonte di monetizzazione. Non si tratta quindi necessariamente di malware capace di prendere il controllo dello smartphone come StreamRat, distribuito attraverso campagne Meta Ads verso centinaia di migliaia di utenti, ma di un abuso del modello di fiducia dello store per generare ricavi attraverso software presentato in modo ingannevole.

Leggi anche: Gambling Goblin imita Google Play sui siti governativi brasiliani per spingere piattaforme di gioco

I falsi casinò sfruttano Early Access anche per confondere i vincoli regolatori

La categoria più aggressiva riguarda i giochi in stile casinò, spesso presentati come semplici puzzle, slot machine o titoli casual. Applicazioni di gioco d’azzardo reali sono normalmente soggette, a seconda del Paese, a requisiti su licenze, geofencing, limiti di età e distribuzione. Le app osservate da Bitdefender cercano invece di apparire come giochi ordinari che promettono premi, evitando di presentarsi apertamente come servizi regolamentati di gambling.

Tra i temi ricorrenti figurano giochi “Chicken Road” o “Ice Fishing”, nei quali l’utente dovrebbe moltiplicare somme virtuali attraverso meccaniche estremamente semplici. La distribuzione attraverso un marketplace riconoscibile aumenta la credibilità dell’offerta e riduce l’attrito rispetto a un APK scaricato da un sito sconosciuto. È una strategia differente rispetto ai trojan bancari che utilizzano falsi Google Play Services o app TikTok per ottenere Accessibility, ma sfrutta lo stesso principio: costruire una catena di fiducia sufficientemente plausibile da portare l’utente alla fase successiva.

Deepfake AI e social advertising costruiscono il traffico verso le app

Il Play Store rappresenta soltanto l’ultimo anello della distribuzione. Bitdefender ha osservato pubblicità su TikTok, Facebook e altre piattaforme social, alcune delle quali utilizzano video generati con intelligenza artificiale e volti di celebrità per sostenere falsamente l’efficacia dei giochi o l’esistenza dei pagamenti. Gli annunci conducono direttamente alla scheda Early Access oppure a siti esterni dedicati al gambling. L’uso dei deepfake non aggiunge capacità tecniche all’applicazione, ma aumenta l’efficacia del social engineering: un volto conosciuto, un video apparentemente testimoniale e la presenza finale sullo store ufficiale compongono una sequenza di segnali che può sembrare sufficiente a un utente meno esperto.

Lo stesso ecosistema pubblicitario viene sfruttato in campagne molto più invasive: Mirax RAT utilizza annunci sponsorizzati per portare le vittime verso false app IPTV e trasformare gli smartphone in proxy residenziali. Nel caso Early Access l’obiettivo può essere meno distruttivo, ma la meccanica di acquisizione della vittima è sostanzialmente identica.

Un falso GTA supera il milione di download senza una singola recensione pubblica

La ricerca documenta anche l’abuso di marchi e proprietà intellettuali note. Alcune applicazioni sono state inizialmente caricate con nomi riconducibili a Grand Theft Auto V per essere successivamente rinominate una volta ottenuta l’indicizzazione sui motori di ricerca. Uno degli esempi, “Vice Streets: Open World”, package com.gamblechaos.withfriends.game, avrebbe superato un milione di download pur non mostrando né recensioni né rating. Gli screenshot promettevano un’esperienza vicina a un videogioco di fascia alta, mentre Bitdefender descrive un prodotto dominato dalla pubblicità e molto lontano dal materiale promozionale.

Il titolo non risulta più disponibile, ma non è noto se sia stato rimosso da Google o direttamente dallo sviluppatore. I ricercatori hanno inoltre osservato applicazioni quasi identiche ripubblicate da sviluppatori apparentemente differenti, insieme a PDF reader, QR scanner, phone tracker e utility riproposti con variazioni minime.

Google indaga mentre la verifica degli sviluppatori entra nella fase operativa

Bitdefender afferma di avere comunicato i risultati a Google, che avrebbe confermato di stare indagando sul fenomeno. Il caso arriva inoltre a poche settimane dall’avvio della nuova verifica degli sviluppatori Android. Google ha fissato al 30 settembre 2026 l’inizio dell’enforcement in Brasile, Indonesia, Singapore e Thailandia per Google Play e gli store partner. La misura richiede che le applicazioni siano associate a sviluppatori verificati, con l’obiettivo di rendere più difficile per operatori malevoli tornare continuamente nell’ecosistema sotto nuove identità. Non risolve però direttamente il problema individuato da Bitdefender: un’identità verificata non garantisce che un’app sia corretta, trasparente o priva di pratiche ingannevoli, e Google stessa distingue esplicitamente la verifica dello sviluppatore dalla revisione del contenuto software. Il nuovo sistema migliora quindi l’attribuzione, ma non sostituisce controlli sul comportamento delle app e segnali reputazionali accessibili agli utenti.

Continua con:

• Android cambia il sideloading e prepara la verifica obbligatoria degli sviluppatori
• ToxicPanda 2.0 prepara nuovi attacchi Android con ADB Wireless e 167 comandi

Early Access mostra che uno store sicuro non può affidarsi soltanto allo scanning

La ricerca non dimostra che Google Play Early Access sia diventato un canale malware su larga scala e non attribuisce automaticamente alle migliaia di applicazioni osservate un comportamento tecnicamente malevolo. Il problema individuato è più sottile: un meccanismo pensato per aiutare gli sviluppatori legittimi crea contemporaneamente un’area nella quale reputazione pubblica e feedback tra utenti vengono temporaneamente disattivati, permettendo a software ingannevole di accumulare installazioni senza lasciare il normale tracciato di recensioni negative. La mitigazione non può quindi limitarsi alla scansione del codice. Un’app può rispettare molte verifiche tecniche e continuare comunque a promettere premi inesistenti, abusare di marchi, mostrare pubblicità aggressive o utilizzare campagne deepfake per ottenere installazioni. Google Play deve valutare anche il comportamento economico e promozionale delle applicazioni, non soltanto la presenza di payload malevoli, mentre gli utenti dovrebbero considerare l’assenza totale di recensioni su un’app con numeri elevati di download come un segnale da verificare, soprattutto quando il prodotto promette denaro facile, criptovalute o vincite. Early Access resta uno strumento utile per il software in sviluppo, ma proprio per questo la sua etichetta non dovrebbe trasformarsi in una zona di fiducia automatica.