L'app che è un'app meteo finché non lo è più

Un'inchiesta di 9to5Mac pubblicata il 17 luglio ha trovato oltre 60 app sull'App Store che fanno esattamente ciò che mostrano le loro schede, purché non vi troviate in Brasile. Aprendone una da un indirizzo IP brasiliano, lo strumento di navigazione, la guida di viaggio o il widget meteo si risolve in una piattaforma di scommesse online.

Non si nascondevano nemmeno nell'oscurità. Gli utenti brasiliani che scorrevano le classifiche dello store in Navigazione, Viaggi e Meteo avevano notato un numero crescente di voci fatte rozzamente vicino alla cima, molte con icone di animali generate da modelli di immagini. Almeno una di queste ha raggiunto il primo posto nella categoria Meteo.

La revisione ha guardato l'app dal paese sbagliato

Perché conta: il controllo che avrebbe dovuto intercettare tutto questo è fissato geograficamente, e il comportamento che avrebbe dovuto intercettare si attiva geograficamente. La revisione ispeziona la richiesta da dove si trova il revisore. L'app ispeziona l'utente e decide di conseguenza. Questi due fatti non si incontrano.

È tutto qui il meccanismo, e vale la pena dirlo chiaramente perché la conclusione va oltre il gioco d'azzardo. Un bollino di approvazione su una scheda certifica che un revisore, in un luogo, in un momento, ha visto un comportamento accettabile. Non certifica cosa fa il software per un utente altrove. Qualsiasi regola applicata al momento della revisione, invece che in modo continuo sul campo, eredita lo stesso punto cieco.

Lo schema era visibile nei metadati

Ciò che rende istruttivo questo caso è quanto la frode fosse leggibile dall'esterno. Le app provenivano per lo più da account sviluppatore con una sola pubblicazione, con nomi che sembravano originare dal Vietnam e da altri paesi fuori dal Brasile. Condividevano informative sulla privacy quasi identiche. Si raggruppavano intorno ai 15 MB di dimensione. Nessuna registrava aggiornamenti dopo la pubblicazione.

Il metodo di costruzione era documentato pubblicamente. Un archivio di codice conteneva istruzioni per assemblare app semplici e generate in fretta, con icone di animali, draghi, buoi, conigli, ratti e tigri, capaci di indirizzare da remoto gli utenti a siti di scommesse mostrando un volto innocuo alla revisione. Non è stata una compromissione sofisticata della catena di fornitura. È stata una ricetta, seguita su larga scala.

Il regolatore si è mosso prima delle piattaforme

In sintesi: la pressione di applicazione arriva dallo Stato, non dallo store. Il 15 luglio il Ministero della Giustizia brasiliano ha notificato sia Apple sia Google dando loro cinque giorni lavorativi per rispondere a tre domande: come individuano app che occultano o alterano la funzionalità di scommessa dopo l'approvazione, come verificano che gli operatori abbiano autorizzazione federale e come impediscono ai minori di accedere a servizi di gioco. Apple non aveva risposto alle richieste dell'inchiesta al momento della pubblicazione.

È la seconda volta quest'anno che le autorità brasiliane incalzano Apple sulle app di scommesse, dopo le notifiche sui controlli dell'età ad aprile e un aggiornamento delle regole a maggio. Una piattaforma che ha già rivisto la propria politica una volta e a cui viene rivolta di nuovo la stessa categoria di domanda è una piattaforma in cui a essere in discussione è la sua capacità di rilevamento, non la sua politica.

Cosa dovrebbe trarne un operatore europeo

Due punti pratici. Primo, se pubblicate software tramite app store, non presentate l'approvazione dello store come un controllo di conformità nella vostra documentazione. Dimostra che una richiesta ha superato una verifica in un dato momento, e i regolatori di più mercati stanno mostrando pubblicamente di conoscere la differenza.

Secondo, se la vostra politica sui dispositivi tratta gli store ufficiali come la fonte affidabile che rende inutile preoccuparsi dell'installazione esterna, quell'assunto ha bisogno di una riserva. La fiducia è reale ma parziale: filtra bene il malware evidente e male il comportamento condizionato dalla posizione. Nell'UE, dove il regolamento sui servizi digitali impone alle piattaforme obblighi sulla tutela dei minori, la stessa tecnica di occultamento che ha nascosto un casinò dietro un'icona meteo nasconderebbe qualsiasi altra cosa a un revisore con pari efficacia. Presumete che lo store intercetti ciò che può vedere, e mettete i vostri controlli dove non può.

Da leggere ora: Apple ha alzato i prezzi in quattro modi diversi  |  Un telefono, un'IA diversa dietro ogni confine