ESET Research opisał w czwartek 7 maja 28 aplikacji z rodziny CallPhantom, które były dostępne w Google Play i łącznie zanotowały ponad 7,3 mln pobrań. Według badaczy aplikacje pobierały opłaty za rzekome historie połączeń, a w zamian pokazywały losowo wygenerowane dane. Dla firm, które pozwalają pracownikom instalować drobne aplikacje i płacić za nie na urządzeniach służbowych, to powód, by sprawdzić, czy ocena oprogramowania obejmuje także obietnicę funkcji i sposób rozliczenia.

Pomyśl o przeciętnej firmowej zasadzie instalowania aplikacji. Jakie pytanie zadaje użytkownik, zanim stuknie „Zainstaluj” na telefonie służbowym? W wielu firmach tylko jedno: czy aplikacja jest w oficjalnym sklepie. Przypadek CallPhantom pokazuje, dlaczego ta odpowiedź nie wystarcza. Według ESET Research wszystkie 28 aplikacji było w Google Play, a ich łączna liczba pobrań przekroczyła 7,3 mln. Sklep rozwiązał więc problem dystrybucji. Nie rozstrzygnął, czy aplikacja dostarcza to, za co bierze pieniądze. Użytkownik płacił za historię połączeń, a dostawał losowe dane, które wyglądały jak wynik. Jeśli firmowa procedura kończy się na pytaniu o źródło instalacji, przepuszcza dokładnie ten scenariusz.

Płatna funkcja, która generowała losowe dane

Mechanizm opisany przez ESET Research jest prosty. Aplikacje CallPhantom obiecywały dostęp do historii połączeń i pobierały za to opłatę. Według badaczy w zamian prezentowały dane wygenerowane losowo. Opłata była prawdziwa, wynik fikcyjny.

Szczegóły techniczne i cennik zostawiamy poza tym tekstem. Nie wiadomo natomiast, ile z ponad 7,3 mln pobrań zakończyło się płatnością. Do wniosku dla firm wystarczy jednak to, co ustalili badacze: 28 aplikacji w Google Play sprzedawało funkcję, której nie wykonywały.

Dlatego samo pytanie o złośliwy kod może tu nie wystarczyć. Aplikacja, która pokazuje losowe dane zamiast historii połączeń, szkodzi przede wszystkim rozjazdem między opisem w sklepie a tym, co robi po zapłacie.

Obecność aplikacji w oficjalnym sklepie potwierdza jedynie kanał dystrybucji; wiarygodność funkcji i rozliczeń firma ocenia osobno.

Lista dozwolonych źródeł kończy się na Google Play

Bywa, że firmowe zasady dla urządzeń mobilnych sprowadzają się do zakazu instalowania aplikacji spoza oficjalnego sklepu. Ta reguła ma sens i chroni przed częścią zagrożeń. Przy CallPhantom użytkownik, który jej przestrzegał, i tak trafiał na jedną z 28 aplikacji opisanych przez ESET.

Badacze nie dokumentują, czy wśród pobierających były urządzenia służbowe ani jakie procedury obowiązywały w ich organizacjach. Zderzenie procedury z praktyką zróbmy więc u siebie. Wystarczy wziąć firmową instrukcję i sprawdzić, czy zawiera jakiekolwiek pytanie o to, co aplikacja obiecuje i za co pobiera pieniądze. Jeśli go nie ma, pracownik ocenia obietnicę sam, na podstawie opisu w sklepie i liczby pobrań.

Liczba pobrań bywa przy tym mylącym sygnałem. Łącznie ponad 7,3 mln instalacji to skala, która w oczach użytkownika uwiarygadnia produkt. Dla CallPhantom nie świadczyła o niczym poza zasięgiem kampanii.

Drobny zakup też jest decyzją o dostawcy

Z perspektywy zarządu drobna aplikacja kupiona na telefonie rzadko trafia do procesu zakupowego. Decyzję podejmuje pracownik, a rozliczenie może ominąć fakturę i ocenę dostawcy. Model opisany przez ESET Research trafiłby w tę lukę bez przeszkód: opłata za funkcję, której przed zakupem nikt by nie zweryfikował.

Ryzyka są dwa. Pierwsze to wydatek na usługę, która nie istnieje. Drugie to decyzje podjęte na podstawie fikcyjnych danych. Jeśli ktoś kupił historię połączeń, żeby coś ustalić, dostał według badaczy wynik losowy, który mógł wziąć za prawdziwy. W firmie taki wynik może trafić do notatki albo rozmowy z klientem.

Odpowiedzialność za tę decyzję przypiszmy więc wprost. Ktoś w organizacji powinien rozstrzygać, czy na urządzeniach służbowych wolno kupować aplikacje i z jakiego kanału płatności. Weryfikacja oprogramowania powinna obejmować pytanie, czy obiecana funkcja jest w ogóle możliwa do wykonania przez aplikację o takim profilu.

Gdy zakup aplikacji omija proces zakupowy, zwykle nikt nie sprawdza, czy produkt robi to, za co pobiera opłatę.

Skala w Polsce pozostaje nieznana

Ustalenia ESET Research z 7 maja nie podają, ile z ponad 7,3 mln pobrań przypada na Polskę. Nie wiemy też, czy aplikacje CallPhantom trafiły na urządzenia polskich firm. W komunikacie dla pracowników nie przedstawiajmy więc tej kampanii jako potwierdzonego incydentu w kraju.

Punktem zaczepienia dla polskiego odbiorcy jest sam mechanizm. Firmy w Polsce, które dopuszczają na telefonach służbowych instalowanie aplikacji z Google Play, opierają tę zgodę na zaufaniu do sklepu. Przypadek 28 aplikacji pokazuje granicę tego zaufania niezależnie od tego, gdzie mieszkali poszkodowani.

Co z tym zrobić w poniedziałek

  1. Przeczytaj zasadę instalowania aplikacji pod kątem obietnic. Otwórz obowiązującą politykę dla urządzeń mobilnych i sprawdź, czy poza źródłem instalacji zawiera pytanie o deklarowaną funkcję i sposób płatności. Brak takiego pytania zapisz jako zadanie do uzupełnienia.
  2. Ustal, kto zatwierdza płatne aplikacje. Sprawdź, czy na telefonach służbowych można kupować aplikacje i z jakiego kanału płatności. Wskaż osobę, która decyduje o takich zakupach, a jeśli jej nie ma, przekaż sprawę przełożonemu IT.
  3. Przygotuj krótki komunikat dla pracowników. Opisz przypadek CallPhantom w trzech zdaniach: 28 aplikacji w Google Play, ponad 7,3 mln pobrań, płatne historie połączeń z losowymi danymi. Dodaj, do kogo zgłosić wątpliwość przed zakupem aplikacji.

Oficjalny sklep z aplikacjami odpowiada na pytanie, skąd instalować, a pytanie, czy funkcja i opłata są uczciwe, zostawia organizacji. CallPhantom pokazuje, co się dzieje, gdy to pytanie nie ma właściciela. Firmowa zasada instalowania powinna mieć osobny punkt o tym, co aplikacja obiecuje i komu za to płacimy.

Źródła

Redakcja cyberinsight.pl.