Un falso WhatsApp con 500mila download sul Play Store: come Google ha lasciato passare il clone

Se negli ultimi giorni avete scaricato un'app che vi prometteva di essere WhatsApp dal Google Play Store, potrebbe non essere quella vera. Un'applicazione fraudolenta che si spaccia per il celebre servizio di messaggistica ha superato i 500mila download prima di essere scoperta e rimossa dalla piattaforma di Google. Non è un episodio isolato: solo pochi giorni prima, un falso Chrome aveva raggiunto risultati simili. La domanda che tutti si pongono è la stessa: come è possibile che il Play Store, con i suoi sistemi di verifica, lasci passare questi cloni?

L'app contraffatta è stata caricata da uno sviluppatore sconosciuto e ha circolato indisturbata per oltre un mese prima di essere identificata e rimossa. Durante questo periodo, ha accumulato mezzo milione di installazioni, il che significa che decine di migliaia di utenti potrebbero aver fornito i loro dati di accesso a malintenzionati. Questo non è un semplice bug di moderazione: è un buco di sicurezza che espone milioni di utenti Android a rischi concreti.

Come funziona il raggiro

I cloni di app popolari sfruttano una strategia semplice ma efficace. Utilizzano nomi molto simili all'originale, icone identiche o quasi, e descrizioni che copiano il testo ufficiale. Su uno store dove ogni giorno vengono caricate migliaia di applicazioni, distinguere un falso da un'app legittima diventa difficile per gli algoritmi automatici, soprattutto se l'utente non sa esattamente cosa cercare.

Nel caso di WhatsApp, l'app falsa prometteva le stesse funzionalità dell'originale: messaggistica, chiamate, condivisione di file. Una volta installata, però, richiedeva il numero di telefono e il codice di verifica — esattamente come farebbe l'app autentica. Qui sta il pericolo: l'utente fornisce le credenziali pensando di accedere al suo account WhatsApp legittimo, ma in realtà le sta dando ai truffatori. Con quelle informazioni, gli aggressori possono prendere il controllo dell'account reale, accedere alle chat, ai contatti e alle informazioni personali.

Perché i controlli di Google non funzionano

Google Play Store dispone di sistemi di sicurezza automatici e di team di revisori umani, ma entrambi hanno limiti evidenti. Gli algoritmi faticano a riconoscere le varianti minime di un'app legittima, specialmente quando lo sviluppatore usa tecniche di offuscamento del codice. I revisori umani, dal canto loro, non possono controllare manualmente ogni singola app caricata: il volume è troppo grande.

Un precedente significativo è quello delle nove app Android scaricate 5,8 milioni di volte che rubavano le credenziali di Facebook. Quelle app offrevano servizi legittimi — fotoritocco, fitness, oroscopi — ma nascondevano un trojan che intercettava i dati di login. Furono rimosse solo dopo essere state scoperte da ricercatori di sicurezza, non dai sistemi di Google.

Il problema è strutturale: il Play Store deve bilanciare l'apertura (permettere agli sviluppatori di pubblicare) con la sicurezza (bloccare i malintenzionati). Questo equilibrio si sta rivelando fragile.

I rischi concreti per gli utenti

Chi installa un falso WhatsApp non rischia solo di perdere l'accesso al proprio account. I dati rubati possono essere usati per truffe ben più sofisticate. Recentemente a Hong Kong, truffatori hanno dirottato account WhatsApp di dipendenti aziendali, clonato i gruppi di lavoro e ingannato i colleghi per rubare criptovalute. In un caso, la perdita è stata di oltre 4 milioni di dollari di Hong Kong (circa 500mila dollari). I criminali avevano creato una copia perfetta del gruppo di lavoro originale, con lo stesso nome, la stessa immagine, gli stessi membri, e nessuno se n'era accorto fino al momento della transazione.

Per un utente privato, i rischi includono il furto di identità, l'accesso ai contatti personali, la possibilità di essere usato come tramite per truffe verso amici e familiari, e l'installazione di malware aggiuntivo sul dispositivo.

Cosa fare se avete scaricato l'app falsa

Se sospettate di aver installato un clone, la prima cosa è disinstallarlo immediatamente. Poi, accedete al vostro account WhatsApp dal sito ufficiale (web.whatsapp.com) e controllate i dispositivi collegati. Se vedete un dispositivo sconosciuto, disconnettetelo. Cambiate la password del vostro account Google e, se usate lo stesso numero di telefono per altri servizi, verificate che nessun altro account sia stato compromesso.

Cosa aspettarsi

Google ha rimosso l'app falsa dal Play Store e ha bandito lo sviluppatore, ma questo non risolve il problema di fondo. Nuovi cloni continueranno a comparire, con nomi leggermente diversi e strategie di elusione sempre più sofisticate. La piattaforma dovrà rafforzare i controlli, probabilmente introducendo verifiche più rigorose per le app che imitano servizi popolari.

Un indicatore da osservare è se Google implementerà un sistema di "app verificate" simile a quello di iOS, dove solo gli sviluppatori ufficiali possono pubblicare versioni di servizi noti. Nel frattempo, l'unica difesa rimane l'attenzione dell'utente: verificare il nome esatto dello sviluppatore, leggere le recensioni recenti, e scaricare sempre dall'account ufficiale dell'azienda quando possibile.

Questo episodio dimostra che nemmeno i giganti della tecnologia riescono a garantire la sicurezza totale. La responsabilità ricade ancora su di noi.