Come gli hacker utilizzano le app Android per rubare le password di Facebook

Sempre più spesso le applicazioni Android vengono utilizzate come strumento per rubare le password di Facebook. La peculiarità di questa nuova tipologia di phishing dei dati è quella di passare attraverso il canale ufficiale del Google Play Store.

Infatti, se da un lato l'installazione di applicazioni con file apk provenienti da siti di terze parti è altamente sconsigliata, dall'altro molti utenti tendono a considerare sicuri tutti gli applicativi presenti sul negozio di Google. Purtroppo così non è. In particolare, esistono alcune applicazioni in cui i creatori hanno aggiunto trojan pensati proprio per rubare le password di Facebook. Ecco come funzionano e come proteggersi.

Seppur possano sembrare a un primo sguardo innocue, le applicazioni Android create per rubare le password di Facebook riescono a ottenere i dati di accesso tramite un approccio molto subdolo. Il filo conduttore di tutte queste è quello di mostrare annunci pubblicitari altamente invasivi. Al fine di rimuoverli, l'utente viene invitato ad accedere con il proprio account Facebook.

Utilizzare accessi di terze parti come metodologia di login è un’abitudine che si sta mano a mano diffondendo, visto il crescente numero di siti e applicazioni in cui si effettua il login tramite modulo Single Sign On (SSO). Tuttavia, nelle app Android in questione è presente un codice nascosto che registra le credenziali di Facebook e ruba il token della sessione, ovvero lo strumento che consente di mantenere attiva la connessione con il social network.

L’attacco avviene nel seguente modo: queste app caricano una pagina web legittima in WebView e solo successivamente caricano un codice JavaScript ricevuto da un server esterno, che ha come scopo quello di dirottare le credenziali di accesso immesse.

Teoricamente, questa metodologia di attacco potrebbe essere estesa e utilizzata per rubare accessi e password di qualsiasi servizio online, in quanto l'utente viene incentivato a inserire i propri dati per la rimozione della pubblicità e il furto si compie in modo totalmente trasparente.

Pertanto, ogni volta che si scarica un'applicazione è bene non inserire dati personali in pagine web mostrate all'interno di essa. Essendo nota questa metodologia di furto dati, con il passare del tempo potrebbe essere leggermente modificata e replicata in ulteriori app pubblicate sul Play Store.

Teoricamente non esiste un metodo esatto per scoprire se le applicazioni scaricate dal Google Play Store contengano o meno un trojan creato per rubare i dati di Facebook. Tuttavia, rispetto all'App Store di Apple, il negozio di app di Mountain View nasconde un maggior numero d'insidie, in quanto Google non esamina attentamente il codice di ogni singola applicazione presente.

Per tutti i cyber criminali basta, infatti, iscriversi come sviluppatori e superare l'ostacolo minimo: una tantum di 25 dollari. A quel punto possono pubblicare l'app con codice malevolo e rubare i dati degli utenti.

Verificare lo sviluppatore

Il primo consiglio per individuare le applicazioni che potrebbero rubare i dati è quello di verificare la loro autenticità.

Per far ciò è necessario controllare che lo sviluppatore non sia sconosciuto, anche nel caso in cui l'app sia già stata scaricata da centinaia di migliaia di utenti.

Ovviamente, tutte le applicazioni possono avere qualche bug o falla che potrebbe essere utilizzata dagli hacker. Proprio per questo motivo, per essere sicuri che le app sullo smartphone non contengano codice malevolo è necessario andare oltre con ulteriori controlli e approfondimenti.

Controllare i permessi

Una volta scaricata l'app desiderata, tra gli step per minimizzare potenziali rischi vi è quello di abilitare solamente i permessi strettamente necessari. Capita spesso che le applicazioni scaricate chiedano accesso a calendario, fotocamera, contatti, posizione, microfono, telefono, SMS, archiviazione, sensori e molto altro.

Accettare tutti questi permessi potrebbe permettere ad app malevoli, ad esempio, di ascoltare le nostre conversazioni o rubare dati presenti tra gli SMS o nel calendario. Attraverso una corretta abitudine di verifica e controllo dei permessi dati alle applicazioni è possibile diminuire potenziali attacchi e furti di dati.

Con Android Q, questo aspetto sarà ulteriormente potenziato in quanto Google limiterà le autorizzazioni delle app e gli utenti saranno in grado di controllare l'accesso a foto, video e file audio. Una vera e propria stretta a livello di privacy.

Google Play Protect

Non solo, Google mette a disposizione dei propri utenti uno strumento che consente di svolgere la scansione delle app presenti sullo smartphone e identificare quelle potenzialmente pericolose che possono rubare le password di Facebook. Lo strumento in questione si chiama Google Play Protect ed è accessibile all'interno di Impostazioni, alla voce Sicurezza. Attivando Play Protect è possibile, quindi, controllare regolarmente se le applicazioni scaricate siano o meno pericolose.