Non esiste un’app che ti consenta di visualizzare la cronologia delle chiamate di qualcun altro. Non c’è mai stato, e quasi certamente non ci sarà mai: gli operatori non espongono tali dati e nessuno sviluppatore di terze parti ha l’accesso necessario per recuperarli. Questa non è una zona grigia; semplicemente non è possibile. Eppure, 7,3 milioni di persone, secondo welivesecurity ho scaricato app che affermavano di fare esattamente questo.
I ricercatori di sicurezza di ESET hanno trascorso mesi a districare una vasta famiglia di 28 app Android fraudolente che hanno collettivamente soprannominato CallPhantom, app che promettevano agli utenti una finestra sull’attività telefonica di chiunque: registri delle chiamate, file degli SMS e persino la cronologia di WhatsApp. Inserisci un numero, paga una piccola tassa e presumibilmente i segreti di chiunque stavi cercando verrebbero fuori. Ciò che in realtà è venuto fuori period finzione: numeri di telefono casuali vestiti con nomi e timestamp codificati, generati dall’app stessa, progettati per sembrare abbastanza convincenti da sembrare reali. Il vantaggio è che gli utenti hanno visto questi dati falsi solo dopo aver già pagato. Quella sequenza non è stata casuale.
Google Play Retailer aveva un serio punto cieco qui
Tutte le 28 app sono rimaste sul Google Play Retailer abbastanza a lungo da accumulare milioni di obtain. Uno di questi è stato pubblicato con il nome “Indian gov.in”, un nome dello sviluppatore che implicava la legittimità del governo che non aveva il diritto di rivendicare. Molti avevano sezioni di recensione piene di utenti che scrivevano esplicitamente di essere stati truffati, e quegli avvertimenti coesistevano con gruppi di recensioni a cinque stelle sospettosamente entusiaste che mantenevano le valutazioni rispettabili.
ESET ha segnalato l’intero set a Google nel dicembre 2025 e le app sono state rimosse. Ma la rimozione è arrivata da un rapporto esterno, non dal fatto che Google abbia rilevato qualcosa in sé. Per una piattaforma che ha investito molto nel rilevamento automatizzato delle minacce e nel framework App Protection Alliance, lasciare che 28 varianti della stessa truffa – tutte che promettono la stessa funzionalità tecnicamente impossibile – accumulino milioni di obtain è un divario significativo.
Alcune app hanno peggiorato le cose bypassando completamente l’infrastruttura di pagamento di Google, indirizzando gli utenti a transazioni UPI di terze parti o ai campi di immissione diretta della carta incorporati nell’app. Questa è una violazione della politica del Play Retailer, ma significa anche che Google non può emettere rimborsi a tali utenti. Chi ha pagato al di fuori del sistema di fatturazione ufficiale deve dare la caccia direttamente al fornitore del pagamento o agli sviluppatori, che ovviamente non sono particolarmente motivati advert aiutare.
Le app hanno funzionato perché la presentazione period irresistibile
La parte più scomoda di questa storia è ciò che ha portato in primo luogo a 7,3 milioni di obtain. Queste app non offrivano spazio di archiviazione nel cloud o un nuovo modo per modificare le foto. Offrivano qualcosa che la gente desiderava davvero tanto da pagare: la possibilità di spiare qualcuno: un associate, un ex, un adolescente o un contatto d’affari. Qualunque sia la ragione, c’period chiaramente un pubblico numeroso e disponibile advert accogliere l’thought.
Le app si sono appoggiate a quel desiderio con spietata precisione. Hanno preselezionato il codice paese +91 dell’India per impostazione predefinita e hanno supportato i pagamenti UPI, il che indica che i truffatori hanno compreso bene il loro goal demografico. I livelli di abbonamento variavano da pochi euro a settimana a 80 dollari all’anno, offrendo agli utenti opzioni che sembravano un servizio legittimo e in grado di soddisfare esigenze numerous. Un’app, quando un utente tentava di uscire senza pagare, inviava una falsa notifica push in modo da sembrare che fosse appena arrivata un’e-mail con i risultati: un’ultima spinta che riportava direttamente al paywall.
Ha funzionato perché la curiosità è una cosa potente e le app sono state progettate da persone che lo hanno capito. Togli l’impalcatura tecnica e quello che ottieni è una vecchia truffa: fai pagare a qualcuno qualcosa che desidera disperatamente, dagli un nulla che sembri plausibile e conta sull’imbarazzo per impedirgli di lamentarsi a voce troppo alta.
Per chiunque sia coinvolto in questo, gli abbonamenti elaborati tramite il sistema ufficiale di Google Play possono essere annullati – e potenzialmente rimborsati – tramite le impostazioni di pagamento del Play Retailer. Tutto il resto è una conversazione più difficile con chiunque abbia elaborato il pagamento.
