L'application sans aucun avis comptait un million de téléchargements. C'était précisément l'idée.
Google Play a un recoin appelé Accès anticipé. Il existe pour que les développeurs puissent mettre quelque chose d'inachevé sous les yeux de vrais utilisateurs et recueillir leurs retours, et il s'accompagne d'une particularité : ces fiches n'affichent aucune note publique ni aucun avis. Bitdefender vient d'y trouver des milliers d'applications trompeuses garées là, qui exploitent exactement cette faille.
Le schéma se répète. Une publicité sur TikTok ou Facebook, parfois portée par une célébrité recréée en deepfake, promet de l'argent : versements PayPal, gains en cryptomonnaie, cartes cadeaux, jackpots de casino, tours gratuits. Le lien aboutit sur une fiche en Accès anticipé. Vous installez, les gains virtuels s'accumulent généreusement au début, puis la progression ralentit à mesure que vous approchez du seuil de retrait, et le versement n'arrive jamais. Ce qui arrive, c'est de la publicité, encore et encore, ce qui a toujours été le modèle économique. Une des applications signalées par Bitdefender, un sosie de Grand Theft Auto appelé Vice Streets: Open World, a dépassé le million de téléchargements avant de disparaître de la boutique. D'autres s'appelaient Chicken Road et Ice Fishing, et certaines ont été renommées après leur indexation par Google, si bien qu'une recherche pour un vrai produit menait discrètement ailleurs.
Le résumé du problème par Bitdefender est la partie gênante : la fonction même qui protège les développeurs des critiques injustes prive aussi les utilisateurs du tout premier signal qu'une application n'est pas fiable. Les notes en étoiles sont grossières et facilement manipulées, et restent la première chose que la plupart des gens regardent. Retirez-les, et la page n'offre plus rien à quoi se raccrocher. Google n'avait pas réagi au moment de la publication de l'étude, et au moins une des applications a depuis disparu.
L'habitude qui survit à tout cela consiste à considérer une publicité comme la pire raison possible d'installer quoi que ce soit. Côté Windows, le module de mise à jour des applications de Tendvane passe par winget, le catalogue de paquets de Microsoft, de sorte que ce qu'il récupère vient d'une source connue plutôt que de ce qu'un lien vous a promis.