La app que es una app del tiempo hasta que deja de serlo
Una investigación de 9to5Mac publicada el 17 de julio encontró más de 60 apps en la App Store que hacen exactamente lo que muestran sus fichas de tienda, siempre que usted no esté en Brasil. Abra una desde una dirección IP brasileña y la herramienta de navegación, la guía de viaje o el widget del tiempo se convierte en una plataforma de apuestas en línea.
Tampoco se escondían en la oscuridad. Los usuarios brasileños que revisaban las clasificaciones de la tienda en Navegación, Viajes y Tiempo venían notando un número creciente de entradas toscamente hechas cerca de lo más alto, muchas con iconos de animales generados por modelos de imagen. Al menos una de ellas alcanzó el primer puesto en la categoría Tiempo.
La revisión miró la app desde el país equivocado
Por qué importa: el control que debía detectar esto está fijado geográficamente, y el comportamiento que debía detectar se activa geográficamente. La revisión de apps inspecciona el envío desde donde se sienta el revisor. La app inspecciona al usuario y decide en consecuencia. Esos dos hechos no se encuentran.
Ese es todo el mecanismo, y conviene decirlo con claridad porque la conclusión va más allá del juego. Un sello de aprobación en una ficha de tienda certifica que un revisor, en un lugar, en un momento, vio un comportamiento aceptable. No certifica lo que hace el software para un usuario en otra parte. Cualquier norma aplicada en el momento de la revisión, en lugar de de forma continua sobre el terreno, hereda el mismo punto ciego.
El patrón era visible en los metadatos
Lo instructivo de este caso es lo legible que era el fraude desde fuera. Las apps procedían en su mayoría de cuentas de desarrollador con un único listado, con nombres que parecían originarse en Vietnam y otros países fuera de Brasil. Compartían políticas de privacidad casi idénticas. Se agrupaban en torno a los 15 MB de tamaño. Ninguna registraba actualizaciones tras su publicación.
El método de construcción estaba documentado públicamente. Un repositorio de código contenía instrucciones para montar apps simples y generadas con rapidez, con iconos de animales, dragones, bueyes, conejos, ratas y tigres, capaces de dirigir a los usuarios de forma remota a sitios de apuestas mientras mostraban una cara inocente a la revisión. No fue un compromiso sofisticado de la cadena de suministro. Fue una receta, seguida en volumen.
El regulador se movió antes que las plataformas
La conclusión: la presión de cumplimiento llega del Estado, no de la tienda. El 15 de julio el Ministerio de Justicia de Brasil notificó tanto a Apple como a Google y les dio cinco días hábiles para responder a tres preguntas: cómo detectan apps que ocultan o alteran la funcionalidad de apuestas tras la aprobación, cómo verifican que los operadores tienen autorización federal y cómo impiden que los menores accedan a servicios de juego. Apple no había respondido a las consultas de la investigación cuando esta se publicó.
Es la segunda vez este año que las autoridades brasileñas aprietan a Apple por apps de apuestas, tras notificaciones sobre controles de edad en abril y una actualización de reglas en mayo. Una plataforma que ya ha revisado su política una vez y a la que se le vuelve a plantear el mismo tipo de pregunta es una plataforma en la que lo cuestionado es su detección, no su política.
Qué debería llevarse de esto un operador europeo
Dos puntos prácticos. Primero, si publica software a través de tiendas de aplicaciones, no presente la aprobación de la tienda como un control de cumplimiento en su propia documentación. Demuestra que un envío superó una comprobación en un momento dado, y los reguladores de varios mercados están demostrando en público que conocen la diferencia.
Segundo, si su política de dispositivos trata las tiendas oficiales como la fuente de confianza que hace innecesario preocuparse por la instalación externa, esa suposición necesita un matiz. La confianza es real pero parcial: filtra bien el malware evidente y mal el comportamiento condicionado por la ubicación. En la UE, donde la Ley de Servicios Digitales impone obligaciones a las plataformas en torno a la protección de menores, la misma técnica de ocultación que escondió un casino tras un icono del tiempo escondería cualquier otra cosa de un revisor con igual eficacia. Suponga que la tienda atrapa lo que puede ver, y ponga sus propios controles donde no puede.
Leer a continuación: Apple subió precios de cuatro maneras distintas | Un telefono, una IA distinta tras cada frontera
