Un editor per foto, un filtro della fotocamera, giochi e altre app promosse tramite i canali Instagram e TikTok, per un totale di 151. Tutte fake, o peggio ancora tutte foriere di truffa. Tutte sul Play Store di Android. 
La scorsa settimana sono state segnalata, in un colpo solo, 80 applicazioni appartenenti a una campagna di truffe SMS premium, che iscrive le vittime a costosi servizi, per estorcere denaro a ignari utenti, togliendogli soldi dalle loro carte di crediti, Poste Pay, e simili.
Tutte le applicazioni fanno parte della campagna UltimaSMS, composta da 151 app disponibili per il download sul Google Play Store, già scaricate da 10,5 milioni di utenti, quasi identiche per struttura e funzionalità.
Fake app, l’iter per estorcere denari ai malcapitati utenti
Sono essenzialmente copie della stessa fake-app utilizzata per diffondere la campagna di truffa SMS premium. “Questo mi porta a credere che dietro l’intera campagna ci sia un cattivo attore o gruppo”. Scrive così blog.avast.com, che ha segnalato 80 delle 151 applicazioni in questione. “Ho soprannominato la campagna “UltimaSMS”, perché una delle prime app che ho scoperto si chiamava Ultima Keyboard 3D Pro. Le app false che ho trovato presentano una vasta gamma di categorie come tastiere personalizzate, scanner di codici QR, editor di video e foto, blocchi di chiamate spam, filtri per fotocamere e giochi, tra gli altri”.
UltimaSMS sembra essere una campagna globale, poiché secondo gli approfondimenti di Sensor Tower, una società di marketing intelligence e approfondimenti di app mobili, le applicazioni capaci di estorcere denaro agli internauti sono state scaricate da utenti di oltre 80 paesi, soprattutto in Medio Oriente: Egitto, Arabia Saudita, Pakistan, ma anche Stati Uniti e Polonia.
Avast ha tracciato i primi campioni di UltimaSMS a maggio 2021 e nuovi campioni della campagna sono stati rilasciati all’inizio di questo mese, il che significa che la truffa è ancora in corso. Un classico iter.
Quando un utente installa una delle app, l’applicazione in questione ne verifica la posizione, l’IMEI (International Mobile Equipment Identity) e il numero di telefono per determinare quale prefisso e lingua del paese utilizzare per la truffa. Una volta che l’utente apre l’app, una schermata, localizzata nella lingua in cui è impostato il dispositivo, richiede di inserire il proprio numero di telefono e, in alcuni casi, l’indirizzo e-mail per accedere allo scopo pubblicizzato dell’app.
“Le applicazioni scoperte sono essenzialmente identiche nella struttura – rimarcano i ricercatori di avast – i profili presentano foto accattivanti e descrizioni di applicazioni allettanti, con recensioni altissime”. A guardar bene, però, le dichiarazioni sulla privacy e i profili di sviluppatori di base, sono tutti fin troppo generiche. “Tendono anche ad avere numerose recensioni negative da parte di utenti che hanno identificato correttamente le app come truffe – conclude avast – sono caduti nella truffa”. Google ne ha rimosse 151, ma chissà quante ce ne potrebbero essere. Occhi aperti dunque, e mani in alto: prima di spingere ok leggere bene le informative.