Em agosto, o Google anunciou que ativaria a função de verificação de aplicativos transferidos por sideload em algumas regiões a partir do próximo ano. Esse recurso exige que os desenvolvedores de aplicativos executem a autenticação de identidade e as assinaturas necessárias antes que seus aplicativos possam ser instalados por meio de sideload. Isso significa que mesmo que não sejam publicados na Google Play Store, eles devem ser verificados ou ainda não serão instalados.
A intenção original da política do Google era combater a fraude. No entanto, é surpreendente configurar tal nível de esquema de verificação para o sistema Android aberto, porque os usuários não podem instalar nenhum aplicativo de qualquer fonte à vontade, o que na verdade restringe a abertura do sistema Android disfarçado.
Para responder às críticas de um grande número de usuários e desenvolvedores, o Google revelou agora que está construindo um novo processo avançado para permitir que usuários experientes, como desenvolvedores e usuários de console, corram o risco de instalar aplicativos não verificados, ou seja, desenvolvedores e usuários de console podem carregar e instalar aplicativos sem qualquer autenticação.
No entanto, o Google não divulgou o conteúdo específico deste processo avançado. O Google promete projetar especialmente esse processo e compartilhar mais detalhes nos próximos meses. Ao mesmo tempo, no plano atual, o Google também lança tipos de contas dedicadas para estudantes e amadores, o que permite a distribuição de aplicativos para um número limitado de dispositivos sem verificação completa.
Além disso, o Google continua enfatizando a importância do trabalho antifraude:
As salvaguardas técnicas são importantes, mas ainda não conseguem resolver todas as situações em que os utilizadores são manipulados. Os golpistas usarão táticas sociais de alta pressão para induzir os usuários a contornar várias medidas de proteção.
Por exemplo, um método de ataque comum que rastreamos no Sudeste Asiático é quando os fraudadores ligam para as vítimas para alegar que suas contas bancárias foram comprometidas. Eles usam o medo e a urgência para induzir as vítimas a instalar os chamados aplicativos de verificação para proteger os fundos. Ao mesmo tempo, os fraudadores também instruem os usuários a ignorar vários avisos de segurança padrão.
Uma vez instalado, este chamado programa de verificação intercepta notificações e mensagens de texto. Quando o usuário faz login no aplicativo bancário real, o fraudador pode roubar o código de autenticação de dois fatores e transferir fundos da conta da vítima.
Os mecanismos de verificação forçam os fraudadores a usar identidades reais para espalhar malware, o que aumenta significativamente a dificuldade e o custo de escalar os ataques. Os requisitos de verificação do desenvolvedor já estão em vigor na Google Play Store.
É claro que a declaração do Google não pode ser considerada completamente errada, mas é impossível para os fraudadores usarem identidades reais para verificação. As gangues fraudulentas comprarão inevitavelmente informações de identidade por meio de vários canais para registrar um grande número de contas. Isto irá certamente aumentar os custos, mas pode ser um pouco exagerado esperar que esta medida reduza o número de aplicações maliciosas. O preço é que um grande número de usuários enfrentará a situação embaraçosa de não conseguir fazer o sideload e instalar aplicativos não verificados diretamente.