Aplikacja, która jest aplikacją pogodową, dopóki nią nie przestanie być

Opublikowane 17 lipca śledztwo serwisu 9to5Mac wykazało ponad 60 aplikacji w App Store, które robią dokładnie to, co pokazują ich wpisy w sklepie, pod warunkiem że nie jesteście w Brazylii. Otwórzcie jedną z brazylijskiego adresu IP, a narzędzie nawigacyjne, przewodnik turystyczny albo widżet pogodowy rozwija się w platformę zakładów online.

Nie kryły się też w cieniu. Brazylijscy użytkownicy przeglądający rankingi sklepu w kategoriach Nawigacja, Podróże i Pogoda zauważali rosnącą liczbę niechlujnie zrobionych pozycji blisko szczytu, wiele z ikonami zwierząt wytworzonymi przez generatory obrazów. Przynajmniej jedna z nich osiągnęła pierwsze miejsce w kategorii Pogoda.

Weryfikacja oglądała aplikację z niewłaściwego kraju

Dlaczego to ważne: kontrola, która miała to wychwycić, jest przypisana geograficznie, a zachowanie, które miała wychwycić, wyzwalane jest geograficznie. Weryfikacja aplikacji ogląda zgłoszenie stamtąd, gdzie siedzi weryfikator. Aplikacja ogląda użytkownika i decyduje odpowiednio. Te dwa fakty się nie spotykają.

To cały mechanizm i warto powiedzieć to wprost, bo wniosek sięga poza hazard. Znaczek zatwierdzenia przy wpisie w sklepie poświadcza, że weryfikator w jednym miejscu i w jednej chwili widział zachowanie akceptowalne. Nie poświadcza, co oprogramowanie robi dla użytkownika gdzie indziej. Każda zasada egzekwowana w chwili weryfikacji, a nie w sposób ciągły w praktyce, dziedziczy ten sam martwy punkt.

Wzorzec był widoczny w metadanych

Pouczające w tej sprawie jest to, jak czytelne było oszustwo z zewnątrz. Aplikacje pochodziły w większości z kont deweloperskich mających jedną pozycję, z nazwami sprawiającymi wrażenie pochodzących z Wietnamu i innych krajów spoza Brazylii. Dzieliły niemal identyczne polityki prywatności. Skupiały się wokół rozmiaru 15 MB. Żadna nie odnotowała aktualizacji po publikacji.

Metoda budowy była udokumentowana publicznie. Repozytorium kodu zawierało instrukcje składania prostych, szybko wytworzonych aplikacji z ikonami zwierząt, smoków, wołów, królików, szczurów i tygrysów, zdolnych zdalnie kierować użytkowników na strony bukmacherskie, pokazując weryfikacji niewinne oblicze. Nie było to wyrafinowane naruszenie łańcucha dostaw. To był przepis, realizowany masowo.

Regulator ruszył przed platformami

Sedno sprawy: presja egzekucyjna przychodzi od państwa, nie od sklepu. 15 lipca brazylijskie Ministerstwo Sprawiedliwości powiadomiło zarówno Apple, jak i Google, dając im pięć dni roboczych na odpowiedź na trzy pytania: jak wykrywają aplikacje ukrywające lub zmieniające funkcje bukmacherskie po zatwierdzeniu, jak sprawdzają, czy operatorzy mają zezwolenie federalne, i jak zapobiegają docieraniu małoletnich do usług hazardowych. Apple nie odpowiedziało na pytania śledztwa do chwili jego publikacji.

To drugi raz w tym roku, gdy brazylijskie władze naciskają Apple w sprawie aplikacji bukmacherskich, po powiadomieniach dotyczących kontroli wieku w kwietniu i aktualizacji zasad w maju. Platforma, która już raz zmieniła swoją politykę i otrzymuje ponownie ten sam rodzaj pytania, to platforma, w której kwestionowana jest jej zdolność wykrywania, a nie jej polityka.

Co europejski operator powinien z tego wynieść

Dwie praktyczne uwagi. Po pierwsze, jeśli publikujecie oprogramowanie przez sklepy z aplikacjami, nie przedstawiajcie zatwierdzenia sklepu jako kontroli zgodności we własnej dokumentacji. Dowodzi ono, że zgłoszenie przeszło sprawdzenie w danym momencie, a regulatorzy na kilku rynkach publicznie pokazują, że znają tę różnicę.

Po drugie, jeśli wasza polityka urządzeń traktuje oficjalne sklepy jako zaufane źródło, które zwalnia z troski o instalowanie poza sklepem, to założenie wymaga zastrzeżenia. Zaufanie jest realne, lecz częściowe: dobrze odfiltrowuje oczywiste szkodliwe oprogramowanie, a słabo zachowanie zależne od lokalizacji. W Unii, gdzie rozporządzenie o usługach cyfrowych nakłada na platformy obowiązki dotyczące ochrony małoletnich, ta sama technika maskowania, która ukryła kasyno za ikoną pogody, równie skutecznie ukryłaby przed weryfikatorem cokolwiek innego. Zakładajcie, że sklep wyłapuje to, co może zobaczyć, i umieszczajcie własne kontrole tam, gdzie nie może.

Czytaj dalej: Apple podniósł ceny na cztery różne sposoby  |  Jeden telefon, inna AI za każdą granicą