Aplikacja bez żadnych opinii miała milion pobrań. O to właśnie chodziło.

Google Play ma zakątek o nazwie Wczesny dostęp. Istnieje po to, żeby deweloperzy mogli pokazać coś niedokończonego prawdziwym użytkownikom i zebrać opinie, i ma jedną nietypową cechę: te wpisy nie pokazują żadnej publicznej oceny ani żadnych recenzji. Bitdefender właśnie znalazł tam tysiące zwodniczych aplikacji, które korzystają dokładnie z tej luki.

Schemat się powtarza. Reklama na TikToku albo Facebooku, czasem z celebrytą odtworzonym deepfakiem, obiecuje pieniądze: wypłaty z PayPala, zarobek w kryptowalutach, karty podarunkowe, kasynowe kumulacje, darmowe spiny. Link prowadzi do wpisu we Wczesnym dostępie. Instalujesz, wirtualne wygrane na początku hojnie się piętrzą, potem postęp zwalnia do zera, kiedy zbliżasz się do progu wypłaty, a wypłata nigdy nie przychodzi. Przychodzą za to reklamy, jedna za drugą, co od początku było modelem biznesowym. Jedna z aplikacji wskazanych przez Bitdefendera, podróbka Grand Theft Auto o nazwie Vice Streets: Open World, przekroczyła milion pobrań, zanim zniknęła ze sklepu. Inne nazywały się Chicken Road i Ice Fishing, a część zmieniono po tym, jak Google je zaindeksowało, więc wyszukiwanie prawdziwego produktu dyskretnie prowadziło gdzie indziej.

Podsumowanie problemu przez Bitdefendera to ta niewygodna część: ta sama funkcja, która chroni deweloperów przed niesprawiedliwą krytyką, odbiera też użytkownikom najwcześniejsze ostrzeżenie, że aplikacji nie można ufać. Oceny w gwiazdkach są prymitywne i łatwe do podkręcenia, a i tak pozostają pierwszą rzeczą, na którą większość ludzi zerka. Zabierz je, a strona nie oferuje już niczego, na co można zareagować. Google nie skomentowało sprawy do momentu publikacji badania, a co najmniej jedna z aplikacji od tego czasu zniknęła.

Nawyk, który przetrwa to wszystko, to traktowanie reklamy jako najgorszego z możliwych powodów, żeby cokolwiek instalować. Po stronie Windowsa aktualizator aplikacji w Tendvane działa przez winget, czyli katalog pakietów samego Microsoftu, więc to, co pobiera, pochodzi ze znanego źródła, a nie z tego, co obiecywał jakiś link.