App Android ingannevoli sfruttano Google Play Early Access per nascondere gli avvisi degli utenti

Migliaia di applicazioni Android ingannevoli stanno abusando del programma Early Access di Google Play per attirare installazioni senza esporre gli utenti a recensioni pubbliche o valutazioni in stelle. Segnalata il 10 settembre 2026, l'attività si basa su pubblicità fuorvianti sui social media, ricompense inventate e, in alcuni casi, endorsement di celebrità generati dall'IA.

I ricercatori di Bitdefender hanno scoperto che queste applicazioni si comportano generalmente più come trappole pubblicitarie che come malware tradizionali. Promettono denaro, trasferimenti PayPal, criptovalute, buoni regalo, premi da casinò o contenuti premium, ma tengono gli utenti a guardare pubblicità invece di fornire i vantaggi promessi.

La portata del fenomeno è considerevole. Alcune inserzioni hanno accumulato migliaia di installazioni, mentre un'imitazione di Grand Theft Auto avrebbe superato un milione di download prima di scomparire da Google Play.

Early Access elimina un segnale fondamentale sulla reputazione

Google Play Early Access è pensato per le applicazioni non ancora rilasciate che gli sviluppatori vogliono far testare agli utenti prima del lancio completo. I tester possono inviare feedback direttamente agli sviluppatori, ma non possono pubblicare le recensioni, le valutazioni o gli avvisi disponibili nelle normali inserzioni del marketplace.

Gli sviluppatori ingannevoli stanno trasformando questa limitazione in un vantaggio.

Un'applicazione fraudolenta o fuorviante può accumulare installazioni senza mostrare i feedback negativi che normalmente metterebbero in guardia i potenziali utenti. L'assenza di recensioni non significa che nessuno abbia riscontrato problemi. In Early Access, è una conseguenza del funzionamento stesso del programma.

Bitdefender ha individuato un numero elevato di inserzioni sospette in diverse categorie, tra cui giochi da casinò, applicazioni che promettono ricompense in denaro, giochi casual, lettori PDF, scanner di codici QR, app per localizzare il telefono e utility generiche. Alcune usano marchi riconoscibili o imitano giochi commerciali affermati.

La tecnica ostacola anche le verifiche di base che un consumatore dovrebbe effettuare. Un utente che segue una pubblicità fino a Google Play può trovarsi davanti a una pagina apparentemente ufficiale del marketplace, senza però poter consultare le esperienze di altri utenti prima di installare il software.

Non sono state identificate versioni specifiche del sistema operativo Android interessate. Non si tratta di una vulnerabilità del codice Android legata a una determinata release, ma dell'abuso di una funzionalità di distribuzione di Google Play. All'attività segnalata non si applicano CVE, punteggi CVSS o voci nel catalogo CISA Known Exploited Vulnerabilities.

Le pubblicità sui social alimentano un circuito di ricavi pubblicitari

Le campagne iniziano al di fuori di Google Play. Gli operatori acquistano o diffondono pubblicità su TikTok, Facebook e altri social network, usando promesse di ricompense economiche facili per indirizzare gli utenti verso inserzioni Early Access.

Tra le offerte più comuni figurano pagamenti PayPal, guadagni in criptovaluta, buoni regalo, giri gratuiti al casinò e jackpot. Alcune promozioni mostrano video sintetici di atleti, attori o altri personaggi pubblici. Questi deepfake creano l'impressione di un endorsement che la celebrità non ha mai fornito.

Altre pubblicità mostrano utenti apparentemente comuni che affermano di aver guadagnato denaro. La tecnica persuasiva di fondo è la stessa: presentare l'applicazione come un modo semplice per ottenere una ricompensa concreta.

Una volta installata, l'app può assegnare quantità generose di valuta virtuale nelle fasi iniziali. Quando il saldo visualizzato si avvicina alla soglia minima per il prelievo, i progressi rallentano bruscamente, compaiono nuove condizioni oppure la funzione di incasso smette di funzionare.

Le pubblicità continuano per tutta la procedura. Ogni sessione aggiuntiva, cambio di schermata o tentativo di ottenere una ricompensa genera nuove opportunità per mostrare annunci e produrre ricavi per l'operatore.

L'attenzione dell'utente è l'asset monetizzato. Non è previsto alcun pagamento confermato.

Le piattaforme social possono rimuovere singole promozioni, ma l'infrastruttura è facile da ricreare. Gli sviluppatori possono pubblicare un'altra inserzione, cambiare titolo o lanciare nuovi contenuti pubblicitari rivolti a un pubblico diverso.

Le app di casinò mascherano il proprio scopo per aggirare i controlli

Le applicazioni a tema casinò rappresentano una parte rilevante dell'operazione. I prodotti legittimi legati al gioco d'azzardo possono essere soggetti a licenze, restrizioni geografiche, verifica dell'età e altri controlli normativi, a seconda del luogo in cui operano.

Le inserzioni ingannevoli tentano di aggirare queste barriere presentandosi come normali giochi di puzzle, intrattenimento casual in stile slot o utility prive di collegamento. Alcune indirizzano gli utenti verso un'app Early Access, mentre altre li inviano a un sito di gioco d'azzardo esterno.

Queste cosiddette app di casinò fantasma non offrono necessariamente un'esperienza di gioco funzionante. Alcune esistono principalmente per distribuire pubblicità, mentre altre usano immagini legate al gioco d'azzardo e vincite promesse per mantenere alta l'attenzione degli utenti.

Due temi ricorrenti sono “Chicken Road”, con un pollo animato che attraversa un percorso pericoloso, e “Ice Fishing”, presentato come un gioco da casinò con croupier dal vivo e ritmo serrato. Sono comparse anche varianti di entrambi i nomi.

Le implicazioni normative dipendono da ciò che ogni applicazione offre realmente e dal luogo in cui viene distribuita. Gli elementi disponibili non dimostrano che tutte le app elencate offrano gioco d'azzardo con denaro reale o che i loro operatori abbiano commesso uno specifico reato. Documentano però una presentazione fuorviante e tentativi di attirare utenti con vantaggi che non vengono forniti.

L'indicizzazione nei motori di ricerca e l'abuso dei marchi fanno sembrare autentiche le inserzioni

Alcuni uploader sfruttano le modifiche ai metadati delle applicazioni dopo che un'inserzione è comparsa nei risultati di Google Search. Un'app può inizialmente presentarsi con un nome riconoscibile come “Grand Theft Auto V (Early Access)”, ottenere visibilità nei risultati di ricerca e poi essere rinominata.

Il nuovo titolo, gli screenshot e le funzionalità pubblicizzate possono avere ben poco a che vedere con il software che gli utenti ricevono realmente. I ricercatori hanno inoltre trovato screenshot che sembravano generati dall'IA anziché acquisiti durante un gameplay reale.

Una delle imitazioni più note si chiamava “Vice Streets: Open World”. Il suo identificativo del pacchetto Android era:

com.gamblechaos.withfriends.game

L'applicazione avrebbe superato un milione di download e non aveva recensioni né valutazioni pubbliche. Non è più disponibile su Google Play, anche se non è noto se sia stata rimossa da Google o ritirata dall'uploader. La distribuzione segnalata e lo stato dell'inserzione nel marketplace non dimostrano che l'app contenesse malware.

I marchi riutilizzati aiutano le inserzioni ingannevoli a prendere in prestito la credibilità di brand affermati. Nel frattempo, l'etichetta Early Access giustifica l'assenza di feedback della community, facendo apparire l'inserzione semplicemente incompleta anziché potenzialmente fuorviante.

Google non ha annunciato una misura correttiva specifica per le campagne individuate. Inoltre, non è stata confermata alcuna azione di enforcement oltre alla scomparsa di singole inserzioni.

Le app sono ingannevoli, ma non sono state confermate come malware

Le applicazioni Early Access osservate non devono essere confuse con trojan Android per l'accesso remoto, malware bancari o ransomware. I ricercatori non hanno confermato furti di credenziali, esfiltrazione di dati, presa di controllo dei dispositivi o comportamenti distruttivi in questa specifica operazione.

I risultati di Bitdefender indicano invece una frode pubblicitaria su larga scala e pratiche di monetizzazione ingannevoli. I ricercatori hanno definito l'assenza del sistema pubblico di recensioni come la perdita di una fondamentale difesa a disposizione degli utenti contro i software sospetti.

Le altre minacce Android citate insieme alla ricerca, tra cui Hagaseca, Mantax Otax, StreamRat e la campagna Gigabud di GoldFactory, appartengono a operazioni separate. Non esiste alcun collegamento tecnico accertato tra queste famiglie di malware e le app Early Access.

La distinzione è importante per chi si occupa di difesa. Rimuovere un'app di ricompense con numerose pubblicità risolve il problema immediato, ma indicatori come l'attivazione non autorizzata dell'Accessibility Service, l'uso inatteso di MediaProjection, profili di lavoro non spiegati o il controllo remoto dello schermo indicano una compromissione diversa e più grave.

L'attività legata a Early Access continua comunque a provocare danni concreti. Gli utenti possono perdere tempo, consumare dati mobili, esporsi a servizi di gioco d'azzardo non regolamentati o prendere decisioni sulla base di endorsement inventati. La ripetuta comparsa di inserzioni ingannevoli indebolisce inoltre la fiducia nei controlli del marketplace di Google Play.

Come ridurre l'esposizione per utenti e organizzazioni

Gli utenti dovrebbero considerare non affidabili, fino a verifica indipendente, le applicazioni Early Access promosse tramite pubblicità che promettono ricompense economiche. Un'inserzione su Google Play conferma dove viene distribuita un'app, non che le sue promesse siano autentiche.

Prima dell'installazione, gli utenti dovrebbero confrontare il nome dello sviluppatore, l'identificativo del pacchetto, gli screenshot, la descrizione e l'eventuale titolarità dichiarata del marchio. Le discrepanze tra pubblicità, inserzione e applicazione installata sono un motivo valido per rimuovere il software e segnalarlo.

Le offerte che promettono guadagni facili tramite PayPal, criptovalute, buoni regalo, jackpot o giri gratuiti meritano particolare attenzione. Un saldo virtuale in crescita non dimostra che sia possibile prelevare il denaro.

Anche i video con celebrità dovrebbero essere considerati potenzialmente sintetici. La presenza di un volto noto in una pubblicità sui social non dimostra né l'endorsement né l'autenticità dell'offerta.

Le organizzazioni che gestiscono flotte Android possono bloccare o limitare le installazioni Early Access sui dispositivi aziendali. La telemetria dei dispositivi mobili dovrebbe essere analizzata per individuare l'avvio ripetuto di pubblicità, reindirizzamenti del browser e applicazioni inattese associate a sviluppatori sconosciuti.

I team di sicurezza dovrebbero indagare separatamente sui segnali di rischio più elevato, tra cui servizi Android Debug Bridge esposti, autorizzazioni Accessibility non autorizzate, attività di cattura dello schermo, clonazione dei profili di lavoro e comportamenti di controllo remoto non spiegati. Queste non sono caratteristiche confermate delle app Early Access ingannevoli, ma possono indicare la presenza di malware Android indipendenti.

Gli utenti che incontrano applicazioni fuorvianti dovrebbero segnalare sia l'inserzione su Google Play sia la pubblicità che li ha condotti all'app. Interrompere un solo lato del circuito lascia disponibile l'altro canale di distribuzione per un nuovo utilizzo.