App nudify su Apple e Google: 400 app e domini nascondono deepfake sessuali

🛡️ Executive Summary

• Rete di oltre 400 app e domini: WIRED e ricercatori indipendenti individuano servizi che nascondono strumenti per creare deepfake sessuali dietro applicazioni apparentemente innocue.
• 350.000 download e pubblicità su Meta: il sistema utilizza server remoti per mostrare funzionalità differenti agli utenti e collegare applicazioni, annunci e pagamenti.
• Apple rimuove 19 app: Google aveva già eliminato gran parte dei prodotti individuati, mentre Meta dichiara interventi su migliaia di account e inserzioni collegate alla rete.

Oltre 400 applicazioni e domini collegati a una rete di deepfake sessuali hanno aggirato, secondo un’inchiesta di WIRED pubblicata il 2 novembre 2026, i controlli di Apple App Store, Google Play e delle inserzioni pubblicitarie di Meta. Le applicazioni si presentavano come generatori di ritratti di animali, tutor linguistici o strumenti per l’allenamento, ma potevano mostrare funzioni nascoste per produrre immagini intime non consensuali, anche attraverso fotografie caricate dagli utenti. L’indagine, sostenuta dalle analisi di AI Forensics e Infoblox, ricostruisce una filiera commerciale composta da app intercambiabili, siti web, annunci e pagamenti. Non tutte le oltre 400 entità individuate sono applicazioni scaricabili: il numero comprende anche domini collegati. Il problema, però, è più ampio di una singola app sfuggita alla moderazione: riguarda l’incapacità delle piattaforme di verificare cosa diventa un prodotto dopo l’approvazione.

La funzione nascosta appare solo dopo che l’app supera i controlli

L’inchiesta originale di WIRED descrive un meccanismo bait-and-switch, cioè la sostituzione del comportamento dell’app dopo la revisione. Viefur, per esempio, sembrava un servizio per trasformare foto di animali domestici in ritratti generati dall’intelligenza artificiale. Il software, tuttavia, comunicava con un server remoto che poteva decidere quale interfaccia mostrare. Secondo il ricercatore Paul Bouchaud di AI Forensics, la selezione considerava informazioni come provenienza dell’utente, lingua e identificativi; fra i possibili segnali per attivare la versione nascosta compariva l’arrivo attraverso una pubblicità Meta. Le funzionalità abusive erano quindi caricate da pagine web controllate a distanza, senza apparire necessariamente durante la revisione ordinaria degli store. I siti associati potevano presentarsi come pagine vuote a chi li visitava direttamente. Il controllo iniziale del pacchetto installato non bastava a rilevare ciò che il servizio avrebbe mostrato successivamente.

Leggi anche: Bufera su Google: scandalo nudify sul Play Store, causa antitrust di Aptoide e l’ira della EFF sui dati privati

Una rete commerciale di centinaia di domini e 350mila download

Il ricercatore Maël Le Touz di Infoblox ha individuato quasi 500 domini collegati, mentre AI Forensics ha esaminato la diffusione delle app nei negozi ufficiali. In settembre risultavano 27 applicazioni sul Play Store, con oltre 350.000 download complessivi; una sola, DiffAI, superava le 100.000 installazioni. Gli operatori utilizzavano nomi differenti, politiche privacy generiche e servizi web riconfigurabili. WIRED ha individuato collegamenti tecnici e amministrativi con sviluppatori di lingua cinese e con KeLing Technology Limited, società registrata a Hong Kong. Questi elementi costituiscono indizi investigativi e non una sentenza che attribuisca responsabilità penali alla società. Il modello economico prevedeva acquisti di crediti e contenuti digitali, mentre gli annunci conducevano gli utenti alle applicazioni distribuite dagli store ufficiali. Il fenomeno amplia quanto già documentato nella precedente inchiesta sulle app nudify e sulle debolezze dei controlli Apple: la presenza su un negozio apparentemente verificato diventa essa stessa un elemento di credibilità commerciale.

Apple rimuove 19 app, Google e Meta affrontano una rete pubblicitaria

Dopo le segnalazioni di WIRED, Apple ha rimosso 19 applicazioni, compresa Viefur, spiegando che gli sviluppatori avevano sostituito i contenuti web approvati con funzionalità vietate. Google aveva già rimosso la maggior parte delle app individuate prima della richiesta di commento, senza fornire alla testata una risposta specifica. Meta ha dichiarato di aver vietato a KeLing Technology Limited di acquistare pubblicità nel 2025 e di aver successivamente adottato misure contro 11.600 account pubblicitari, oltre 4.700 pagine aziendali e 209 app collegate alla rete. Sono dati forniti dalle piattaforme e riportati dalla testata, non una verifica indipendente dell’efficacia complessiva delle rimozioni. Apple aveva già aggiornato il 16 ottobre le proprie App Review Guidelines contro immagini intime non consensuali e funzioni nascoste, mentre Google aveva rafforzato le regole Play per le applicazioni generative. La distanza fra norme dichiarate e servizi realmente distribuiti resta il punto centrale: revisione, pubblicità e monetizzazione devono essere controllate insieme, non separatamente.

Continua con:

Apple stringe l’App Store sui minori, OpenAI finisce sotto accusa

Google Play Early Access abusato: migliaia di app ingannevoli sfruttano l’assenza di recensioni

Deepfake sessuali e minori: il problema arriva anche nelle cronache italiane

L’inchiesta include riferimenti a pubblicità per immagini sessualmente abusive, anche relative a minori, e a strumenti in grado di usare foto di persone reali senza il loro consenso. La disponibilità di un’app non rende lecito l’utilizzo di fotografie altrui, né i sistemi di pagamento integrati garantiscono la legittimità dei contenuti venduti. In Italia, il caso del minorenne denunciato a Rimini per immagini manipolate con l’AI mostra come la produzione di immagini sessualizzate possa tradursi in conseguenze concrete per le vittime, anche fuori dalle grandi piattaforme internazionali. L’indagine sulla rete nudify documenta soprattutto una catena di responsabilità ancora da chiarire: chi sviluppa gli strumenti, chi distribuisce le app, chi vende gli annunci e chi incassa commissioni dalle transazioni. Le rimozioni riducono l’accessibilità dei singoli prodotti, ma non dimostrano che l’infrastruttura sia stata disattivata. La vera prova per Apple, Google e Meta sarà impedire che lo stesso servizio riappaia con un nome diverso, conservando server, pubblicità e meccanismi di pagamento.