Dove si insinua la frode digitale dell’azienda The We Purchase Apps
Il modello di business consolidato di varie aziende nel mercato del mobile e del software scritto per esse, leggasi app, è fondamentalmente di tre tipologie:
- compri l’app per usufruire del 100% delle sue specifiche o usi una versione limitata della stessa
- scarichi un applicazione gratuita, all’interno della quale sono presenti degli acquisti (l’unlock della versione pro, la rimozione delle pubblicità, l’assistenza da remoto…)
- infine, determinate aziende guadagnano dalle visualizzazioni delle pubblicità all’interno delle proprie app. In questo modello di business, la rendita maggiore è data dalle utenze dell’app che visualizzano l’annuncio (anche detto ad), ma soprattutto vi cliccano. Cosa accada dopo, poco interessa ai fini di questo articolo.
Quest’ultimo meccanismo rappresenta il modello di business di tantissime aziende, che dunque guadagnano sempre e solo dagli ad, per visualizzazione e soprattutto click.
Sicurezza e Bot di Exploit
Semplificherò il più possibile. Chi gestisce la rotazione degli annunci sulle proprie piattaforme e store, come Apple, Google e così via, adotta tecniche di rilevamento delle truffe sempre più affinate contro i cosiddetti exploit dei bot.
Questi particolari bot sono software automatizzati che ripetono complesse procedure per eludere le sopra citate misure di sicurezza e simulare azioni umane.
Nel caso specifico, la visualizzazione del banner, dell’annuncio ed in particolare il click su uno di essi.
Il punto è che un’indagine di BuzzFeed News ha messo in evidenza come i geni dietro The We Purchase Apps (il loro sito era wepurchaseapps.com, ma non è naturalmente più disponibile) avessero trovato il modo di prendersi gioco delle misure di sicurezza di Google. Una frode digitale per milioni di dollari.
Dettagli della geniale frode digitale di The We Purchase Apps
La gente dietro The We Purchase Apps ha nel tempo contattato diverse piccole aziende per acquisire le loro app e divenirne i proprietari al 100%.
Per fare ciò, i medesimi signori hanno utilizzato compagnie prestanome e pagato le aziende venditrici in Bitcoin.
Hanno poi modificato le relative pagine del Google PlayStore per riferire i cambi di proprietà, indicando aziende Russe, Bulgare, Croate, Inglesi e varie altre. Compagnie di facciata, prestanome per l’appunto.
Questi geni del male hanno quindi potuto registrare le interazioni degli utenti sulle app appena acquisite, tramite gli account developer ad esse associate. Una cosuccia fattibile sia sotto Android che sotto iOS.
Infine, i ragazzi di The We Purchase Apps hanno scritto il software di alcuni bot che era in grado di simulare alla perfezione quelle interazioni nelle app e nei siti web di atterraggio delle varie pubblicità. Ovvero, hanno fatto in modo che i bot clickassero centinaia di volte simulando comportamenti perfettamente umani e mescolando il loro traffico nel mezzo di quello di utenti reali. Evadendo quindi le misure di sicurezza di Google, nel caso specifico.
Poichè il tutto ha funzionato bene e senza che nessuno – apparentemente – si accorgesse di nulla, questo modello di truffa è stato ripetuto centinaia di volte, comprando sempre più app e coinvolgendo un numero esponenzialmente maggiore di siti Web.
Come ciliegina sulla torta, infine, parrebbero esserci stati accordi con i più grossi player dell’ad echo-system di Google. In sostanza, queste aziende avrebbero avuto percentuali di guadagno dal falso traffico generato dai bot fraudolenti.
E’ evidente che chi ha orchestrato questa frode digitale dovesse avere conoscenze specifiche dell’ecosistema pubblicitario di Google e, contemporaneamente, delle tecniche di protezione del medesimo.
Questa truffa digitale ha coinvolto (travolto?!?) un numero enorme di app (più di un centinaio), ciascuna delle quali era stata scaricata più di 110 milioni di volte su telefoni Android tramite PlayStore di Google. La sola EverythingMe sarebbe stata installata più di 20 milioni di volte.
Si tratta di un vero e proprio bombardamento del network pubblicitario di Google.
Il morale della storia
Google asserisce di aver messo in blacklist tutte le app (800000 circa) incriminate ed i siti web collegati alla truffa, ovvero quelli compromessi. Man mano che manda avanti le proprie indagini interne, la lista cresce.
Pare si parli di oltre 10 milioni di dollari americani fraudolentemente rubati. Secondo BuzzFeed è probabile che Google non si sia mossa per tempo, quando avvisata agli albori della allora probabile truffa.
La cosa comica in tutto questo è che se i truffatori avessero domato la propria fame di soldi, probabilmente nessuno li avrebbe mai scoperti.
Consiglio fortemente la lettura dell’approfondita inchiesta di BuzzFeed News.
Segui @andymnc (Andrea Manconi) su Twitter per essere sempre aggiornato su guide ed articoli.
