诈骗 Android 应用在 Google Play 上获得了数百万下载，源自令人毛骨悚然的推销

Source: Android Authority

TL;DR

• 研究人员发现了数十款欺诈性的 Google Play 应用，这些应用声称可以为任何号码提供通话、短信和 WhatsApp 历史记录。
• 这些应用在被 Google 移除之前累计下载量超过 730 万。
• 这些应用向用户收费，却返回了伪造的数据。

你是否在 Android 上遇到过诈骗广告？

ESET 研究人员在一篇WeLiveSecurity 报告中详细说明了该诈骗，并统一将这些应用称为 “CallPhantom”。 虽然各应用的外观不同，但套路相同：用户输入电话号码，付费解锁所谓的通信记录，随后收到的是捏造的数据。

应用行为

• 有些应用会随机生成电话号码，并将其与已经写入代码中的姓名和通话详情配对。
• 另一些则要求用户提供电子邮件地址，所谓的“检索”历史记录会发送到该邮箱。
• 这些应用 没有请求侵入性权限，也 没有真正获取所需数据的能力。

支付机制

• 少数应用使用 Google Play 官方计费系统，受害者可能可以申请退款。
• 其他则引导用户使用第三方支付应用或在应用内直接填写信用卡表单。
• 在某个案例中，当用户尝试退出应用时，会弹出伪装成新邮件的欺骗性提示，声称通话记录已送达，并将用户重新导向订阅页面。

Google 的响应

ESET 于 12 月 16 日 向 Google 举报了这 28 款应用，报告发布时所有应用均已从 Google Play 下架。虽然侧载（sideloading）常因诈骗防护受到更多批评，但此事件提醒我们，一旦不良应用逃过审查，Play 商店仍然可以 为其提供庞大的用户群（来源）。