Truffa CallPhantom per Android

La campagna CallPhantom ha svelato come i criminali informatici possano sfruttare la curiosità del pubblico e la disinformazione per generare enormi profitti attraverso applicazioni Android fraudolente. Distribuite tramite il Google Play Store ufficiale, queste 28 app dannose affermavano falsamente di poter recuperare registri delle chiamate, SMS e attività di WhatsApp associati a qualsiasi numero di telefono. Prima che Google rimuovesse le applicazioni, la campagna aveva già accumulato oltre 7,3 milioni di download.

Promesse impossibili mascherate da servizi legittimi

Tutte le applicazioni del gruppo CallPhantom promuovevano la stessa funzionalità ingannevole. Agli utenti veniva chiesto di inserire un numero di telefono, dopodiché le app avrebbero dovuto generare cronologie complete delle comunicazioni, inclusi registri delle chiamate, messaggi di testo e conversazioni WhatsApp.

Da un punto di vista tecnico, queste affermazioni erano del tutto impossibili. L'architettura di sicurezza e di gestione dei permessi di Android impedisce alle applicazioni di accedere ai dati di comunicazione privati di un altro utente. Invece di recuperare informazioni reali, le app mostravano risultati falsificati, generati da numeri di telefono precompilati, nomi predefiniti e timestamp assegnati casualmente e incorporati direttamente nel codice dell'applicazione.

I ricercatori hanno identificato due modelli operativi principali utilizzati durante tutta la campagna:

• Un gruppo di app mostrava immediatamente risultati falsi e limitati, per poi richiedere un pagamento per sbloccare la presunta "cronologia completa".
• Un altro gruppo raccoglieva gli indirizzi email degli utenti, prometteva di inviare report dettagliati via email e richiedeva un pagamento prima di inviare i risultati.

In entrambi i casi, le vittime hanno pagato per dati che non sono mai esistiti.

Sistemi di pagamento manipolativi progettati per evitare i rimborsi

I gestori di CallPhantom hanno utilizzato diversi meccanismi di pagamento per massimizzare i ricavi e al contempo ridurre la probabilità di ottenere rimborsi. Alcune transazioni sono state elaborate tramite l'infrastruttura di fatturazione ufficiale di Google Play, offrendo agli utenti limitate possibilità di contestare gli addebiti. Tuttavia, molte app hanno aggirato completamente il sistema di fatturazione di Google Play reindirizzando le vittime ad applicazioni di pagamento UPI di terze parti o a moduli di pagamento con carta integrati.

Queste tattiche violavano le norme di Google e complicavano notevolmente la procedura di rimborso per gli utenti interessati. Alcune varianti aumentavano la flessibilità operativa recuperando dinamicamente gli URL di pagamento dai server di Firebase. Ciò consentiva agli aggressori di cambiare gli account di pagamento a piacimento e rendeva molto più difficile il rilevamento automatico da parte dei sistemi di sicurezza.

Una variante particolarmente ingannevole integrava la manipolazione psicologica nel suo design. Se un utente tentava di chiudere l'app senza completare il pagamento, comparivano falsi avvisi in stile notifica che affermavano che i risultati della cronologia delle chiamate richiesti erano appena arrivati nella casella di posta. L'unico scopo di questi avvisi era quello di fare pressione sugli utenti affinché tornassero sull'app e finalizzassero il pagamento.

Targeting regionale e rischi finanziari

La campagna si rivolgeva principalmente agli utenti in India e in tutta la regione Asia-Pacifico. Molte applicazioni selezionavano automaticamente il prefisso internazionale indiano +91 per rafforzare l'illusione di legittimità agli occhi degli utenti locali. I piani di abbonamento variavano da circa 5 euro a 80 dollari e venivano offerti con opzioni di pagamento settimanali, mensili e annuali.

Oltre alla perdita finanziaria immediata, le vittime che hanno inserito i dati della propria carta di pagamento tramite moduli di pagamento non ufficiali all'interno dell'app potrebbero incorrere in ulteriori rischi, tra cui addebiti non autorizzati o uso improprio dei dati di pagamento.

Come CallPhantom ha sfruttato la fiducia senza autorizzazioni pericolose

Uno degli aspetti più rilevanti dell'operazione CallPhantom è stata la sua capacità di causare ingenti danni finanziari senza richiedere autorizzazioni sensibili ad Android. L'intera frode si basava sull'ingegneria sociale piuttosto che sullo sfruttamento di vulnerabilità tecniche. Gli utenti venivano convinti a credere ad affermazioni inverosimili, a pagare per informazioni false e a cedere inconsapevolmente denaro attraverso canali di pagamento scarsamente protetti.

Sebbene campagne come CallPhantom siano relativamente rare, la maggior parte delle operazioni dei criminali informatici si basa fortemente sulla paura, sull'urgenza o sull'inganno per manipolare gli utenti e indurli a scaricare software, effettuare acquisti o divulgare informazioni sensibili.

Segnali di avvertimento e misure di protezione

Tutte le applicazioni CallPhantom identificate sono state distribuite tramite il Google Play Store ufficiale utilizzando nomi fuorvianti, descrizioni inventate e valutazioni gonfiate artificialmente per apparire affidabili. Sebbene Google abbia rimosso le applicazioni, i dispositivi che le hanno installate prima della rimozione potrebbero ancora contenere il software.

Le seguenti pratiche di sicurezza possono contribuire a ridurre l'esposizione a truffe simili:

• Controlla regolarmente le applicazioni installate e rimuovi qualsiasi software associato a dichiarazioni sospette o a sviluppatori sconosciuti.
• Scarica le applicazioni solo da fonti attendibili come il Google Play Store o i siti web verificati degli sviluppatori, valutando criticamente le recensioni che appaiono eccessivamente vaghe o uniformemente positive.
• Considerate per impostazione predefinita fraudolenta qualsiasi applicazione che affermi di poter accedere alle comunicazioni private, alla cronologia delle posizioni o ai registri delle chiamate di un'altra persona.
• Mantieni aggiornati i sistemi operativi dei tuoi dispositivi mobili e utilizza soluzioni di sicurezza mobile affidabili per migliorare la protezione contro le minacce emergenti.

Un chiaro promemoria sulle frodi tramite dispositivi mobili

La campagna CallPhantom ci ricorda con forza che le applicazioni fraudolente non si basano sempre su malware o exploit avanzati per avere successo. In molti casi, la sola manipolazione psicologica è sufficiente a generare milioni di download e ingenti perdite finanziarie. Qualsiasi applicazione che prometta l'accesso non autorizzato ai dati privati di un'altra persona dovrebbe essere immediatamente considerata illegittima e potenzialmente pericolosa.