Rzecznik Google ogłosił na Reddicie , że firma rozpoczęła wdrażanie pierwszej wersji Advanced Flow , mającego na celu zwiększenie bezpieczeństwa instalowania aplikacji pochodzących od niezweryfikowanych programistów.
Wyjaśnijmy, czym jest pobieranie boczne, dlaczego Google Play nie jest w 100% bezpieczne, na co zwrócić uwagę podczas pobierania bocznego, aby było ono bezpieczniejsze, oraz w jaki sposób Google Advanced Przepływ w tym pomaga.
Czym jest sideloading?
Boczne ładowanie pozwala Android Użytkownicy instalują aplikacje spoza Google Play. Może to być przydatne, ale stwarza również możliwości oszustw i infekcji złośliwym oprogramowaniem.
Android Otwartość to jedna z jego trwałych zalet. Nie jesteś ograniczony do jednego sklepu z aplikacjami: możesz instalować aplikacje ze strony internetowej dewelopera, alternatywnego sklepu, portalu firmowego lub pliku udostępnionego bezpośrednio Tobie.
To się nazywa sideloading. Nie jest to automatycznie niebezpieczne, ale eliminuje niektóre zabezpieczenia konwencjonalnej dystrybucji w sklepach z aplikacjami. Samo pobieranie aplikacji ze sklepu Google Play nie gwarantuje bezpieczeństwa, ale przynajmniej istnieje pewien rodzaj weryfikacji. Google twierdzi, że w 2025 roku zablokowało publikację ponad 1,75 miliona aplikacji naruszających zasady i zablokowało ponad 80 000 kont deweloperów powiązanych ze szkodliwymi aplikacjami.
Istnieje kilka powodów, dla których warto dokonywać bocznego ładowania:
- Deweloper dystrybuuje aplikację bezpośrednio ze swojej witryny internetowej
- Aplikacja jest niedostępna w Twoim kraju lub w Google Play
- Alternatywne repozytorium aplikacji oferuje to, czego szukasz, na przykład oprogramowanie typu open source
- Potrzebujesz aplikacji korporacyjnej, beta lub specjalistycznej
- Chcesz zainstalować wersję, która nie jest obecnie oferowana w Google Play
Twórcy złośliwego oprogramowania i oszuści internetowi wykorzystują jednak tę samą elastyczność. Mogą podszywać się pod banki , firmy kurierskie, agencje rządowe, platformy kryptowalutowe, serwisy informacyjne lub rekruterów, a następnie namawiać ofiary do zainstalowania aplikacji w celu „zabezpieczenia” konta, otrzymania płatności lub rozwiązania wymyślonego problemu.
Google Play nie jest darmową przepustką
Google Play oferuje procesy weryfikacji, egzekwowania zasad, kontroli deweloperów oraz usługę Google Play Protect . Przeprowadza również ciągłe kontrole po opublikowaniu aplikacji. Te środki znacząco zmniejszają ryzyko, ale nie gwarantują, że każda oferta jest bezpieczna, a każdy deweloper godny zaufania.
Zagrożenia, które nadal mogą pojawić się za pośrednictwem oficjalnych kanałów, obejmują:
- Trojany podszywające się pod przydatne narzędzia, gry lub aplikacje finansowe
- Oprogramowanie reklamowe i aplikacje, które fałszywie przedstawiają swoje zachowanie
- Pułapki subskrypcji i oszukańcze praktyki rozliczeniowe
- Aplikacje zbierające dane, które żądają dostępu do większej liczby danych, niż jest to konieczne
- Aplikacje uśpione, które zmieniają zachowanie po przejściu wstępnej kontroli
Google Play Protect sprawdza aplikacje ze Sklepu Play przed pobraniem, a także skanuje aplikacje z innych źródeł. Może ostrzegać przed potencjalnie szkodliwymi aplikacjami, wyłączać je lub usuwać, ale należy traktować go jako jedną warstwę zabezpieczeń, a nie jako substytut kontroli aplikacji przed jej zainstalowaniem.
Ochrona urządzeń mobilnych – zawsze i wszędzie.
Krótko mówiąc, „dostępne w Google Play” to pozytywny sygnał, a nie ocena bezpieczeństwa.
Dlaczego boczne ładowanie wymaga uwagi
Główną różnicą między instalacją z uznanego sklepu a pobraniem pliku APK z innego źródła nie jest sam format pliku. Chodzi o łańcuch zaufania.
W przypadku przesyłania danych z boku możesz mieć mniej pewności co do:
- Kto stworzył aplikację
- Czy plik został zmieniony lub ponownie spakowany
- Czy witryna pobierania podszywa się pod legalnego programistę
- Czy otrzymasz prawdziwe aktualizacje
- Czy oszust manipuluje Tobą, aby wyłączyć zabezpieczenia
Socjotechnika często jest decydującym czynnikiem. Przekonujący rozmówca, wyskakujące okienko, SMS lub wiadomość na czacie mogą nalegać, że instalacja aplikacji jest pilna. Celem atakującego jest często nakłonienie ofiary do ominięcia ostrzeżeń, zanim zdąży ona zakwestionować prośbę.
Traktuj każdą nieoczekiwaną prośbę o zainstalowanie aplikacji jako podejrzaną, zwłaszcza jeśli jest pilna, ma charakter tajny, zawiera obietnicę zapłaty pieniędzy lub twierdzenie, że wymaga tego Twój bank, rząd, pracodawca lub dostawca urządzenia.
Legalny bank, agencja rządowa, organ ścigania lub dostawca pomocy technicznej nie powinien do Ciebie dzwonić ani wysyłać wiadomości z instrukcjami dotyczącymi instalacji pakietu APK lub osłabiania zabezpieczeń. Android ustawienia zabezpieczeń.
Jak bezpieczniej przewozić rzeczy
Prześlij dane osobowe tylko wtedy, gdy masz ku temu konkretny powód i upewnij się, że decyzja wyszła od Ciebie, a nie na podstawie nieoczekiwanej wiadomości lub telefonu.
- Zacznij od oficjalnej strony dewelopera. Nie korzystaj ze sponsorowanych wyników wyszukiwania, losowych portali pobierania, linków wysyłanych przez nieznajomych ani domen o podobnych nazwach.
- Zweryfikuj programistę niezależnie. Sprawdź oficjalną stronę wydawcy, dokumentację, publiczne repozytorium kodu i zaufane kanały społecznościowe. Same informacje podane na stronie pobierania nie wystarczą.
- Preferuj uznane repozytoria. Jeśli aplikacja jest dystrybuowana poza Google Play, korzystaj ze źródła o ugruntowanej reputacji pod względem pochodzenia i weryfikacji podpisu, o ile to możliwe. Dla zaawansowanych użytkowników przydatne może być porównanie certyfikatu podpisu lub skrótu kryptograficznego pliku APK z wartością opublikowaną przez dewelopera. Nie jest to praktyczne dla każdego, ale może pomóc w wykrywaniu podróbek.
- Nie instaluj aplikacji pod presją. Zakończ połączenie, zamknij czat i samodzielnie sprawdź rzekomą organizację, korzystając z danych kontaktowych, które sam znajdziesz.
- Włącz funkcję Google Play Protect. Skanuje ona aplikacje podczas instalacji i okresowo po niej, w tym aplikacje zainstalowane spoza Google Play.
- Sprawdź uprawnienia przed i po instalacji. Zachowaj szczególną ostrożność, jeśli prosta aplikacja chce uzyskać dostęp do usług ułatwień dostępu, wiadomości SMS, powiadomień, zarządzania urządzeniem, kontaktów lub nagrywania ekranu.
- Aktualizuj Android i aplikacje. Poprawki bezpieczeństwa chronią zarówno przed lukami w systemie operacyjnym, jak i znanymi złośliwymi zachowaniami aplikacji.
- Używaj renomowanego oprogramowania zabezpieczającego urządzenia mobilne . Oddzielna warstwa zabezpieczeń może pomóc w identyfikacji ryzykownych zachowań i zapewnić dodatkową widoczność potencjalnie niechcianych lub złośliwych aplikacji.
- Usuń uprawnienia i odinstaluj aplikacje, którym już nie ufasz lub których już nie używasz. Aplikacja, która wydawała się nieszkodliwa podczas instalacji, może stać się zagrożeniem, jeśli jej twórca ją porzuci lub zmieni kierunek rozwoju.
Jak nowy Google Advanced Przepływ pomaga
Google wprowadza Advanced Flow do instalowania aplikacji od deweloperów, którzy nie ukończyli procesu Android Nowy proces weryfikacji tożsamości. Funkcja ta jest przeznaczona dla użytkowników, którzy rozumieją ryzyko związane z instalacją niezweryfikowanego oprogramowania, ale nadal potrzebują takiej elastyczności.
Projekt jest godny uwagi, ponieważ jest ukierunkowany zarówno na ataki socjotechniczne, jak i złośliwe oprogramowanie. Zamiast umożliwiać natychmiastowe obejście problemu jednym dotknięciem, przepływ wymaga od użytkowników:
- Włącz tryb programisty w ustawieniach systemu. To dość proste i pomaga zapobiegać przypadkowym lub jednorazowym obejściu zabezpieczeń, często stosowanym w oszustwach na dużą skalę.
- Przeprowadź szybką kontrolę bezpieczeństwa , aby upewnić się, że nikt nie namawia Cię do wyłączenia zabezpieczeń. Oszuści często naciskają na ofiary, aby dezaktywowały zabezpieczenia.
- Uruchom ponownie urządzenie. Odetnie to wszelki zdalny dostęp i aktywne połączenia telefoniczne, których oszust mógłby używać, aby Cię instruować.
- Odczekaj jeden dzień, a następnie potwierdź zmianę za pomocą danych biometrycznych, takich jak odcisk palca, odblokowanie twarzą lub kod PIN urządzenia. To jednorazowe, jednodniowe opóźnienie przełamuje pośpiech, na którym opierają się oszuści, dając Ci czas na zastanowienie.
Po zakończeniu procesu możesz zezwolić na instalacje aplikacji od niezweryfikowanych programistów przez siedem dni lub na czas nieokreślony.
Advanced Flow nie oznacza, że Google Play jest wolne od ryzyka, ani nie sprawia, że niezweryfikowane aplikacje są z natury złośliwe. Weryfikacja programisty ustanawia odpowiedzialność: łączy aplikację ze zweryfikowaną tożsamością programisty, ale nie gwarantuje, że każda aplikacja jest nieszkodliwa lub odpowiednia dla każdego użytkownika.
Ostatecznie to Ty decydujesz. Instaluj aplikacje, ponieważ wybrałeś je po sprawdzeniu źródła, a nie dlatego, że ktoś inny wywołał awarię.
Niezależnie od tego, czy aplikacja pochodzi z Google Play, czy ze źródła zewnętrznego, wstrzymaj się z instalacją. Sprawdź, kto ją stworzył, dlaczego potrzebuje uprawnień, o które prosi, czy ścieżka pobierania jest godna zaufania i odrzuć ją, gdy ktoś próbuje Cię poganiać. To drobne tarcie to cecha, a nie tylko uciążliwość.
Oszuści wiedzą o tobie więcej, niż ci się wydaje.
Malwarebytes Mobile Security Cię przed phishingiem, oszukańczymi wiadomościami tekstowymi, złośliwymi stronami internetowymi i nie tylko. Dzięki wbudowanej funkcji Scam Guard opartej na sztucznej inteligencji, działającej w czasie rzeczywistym.
