Trovare un’app apparsa senza preavviso tra i componenti del proprio smartphone mette in allarme chiunque, e la cosa peggiora quando il nome parla di verifiche e controlli. È proprio quello che sta succedendo con Android Developer Verifier, tradotto in italiano come Verifica dello sviluppatore Android, un servizio firmato Google riconoscibile dal nome pacchetto com.google.android.verifier e distribuito poco alla volta tramite gli aggiornamenti del sistema Google Play. Molti se ne sono accorti solo scorrendo l’elenco completo delle applicazioni installate, e la reazione istintiva è stata provare a disattivarlo o a rimuoverlo.
La sua comparsa anticipa un cambiamento ben più grande, che tocca da vicino la gestione dei file APK esterni al Play Store. Da sempre Android permette il sideloading, cioè l’installazione di app da fonti non ufficiali. A partire da settembre 2026, però, Google comincerà ad aggiungere un livello di controllo sui dispositivi Android certificati, partendo da Brasile, Indonesia, Singapore e Thailandia. L’estensione al resto del mondo, Italia inclusa, è attesa dal 2027. Questo nuovo servizio, in pratica, prepara il terreno a quel passaggio. Non analizza il contenuto di un APK e non prende il posto di Google Play Protect. Il suo lavoro è un altro: capire se l’app che si vuole installare è collegata a uno sviluppatore registrato e identificato da Google. Distinzione tutt’altro che banale, perché avere un’identità verificata non vuol dire automaticamente scrivere software sicuro.
Perché il servizio compare senza un aggiornamento completo
Android Developer Verifier è un componente di sistema che Google distribuisce sui dispositivi dotati di Google Mobile Services. Il pacchetto può arrivare anche senza un aggiornamento completo del firmware, perché Google sfrutta i Google Play System Updates per aggiornare moduli e servizi critici senza aspettare i tempi dei produttori.
Il meccanismo nasce da Project Mainline, introdotto con Android 10 e poi ampliato. Alcune parti del sistema operativo vengono fornite come moduli aggiornabili, spesso in formato APEX o APK, attraverso l’infrastruttura di Google Play. Così un nuovo servizio può spuntare tra le app installate anche se il telefono non ha ricevuto una nuova versione di Android. Per trovarlo basta aprire la sezione App delle impostazioni e cercarlo. La verifica, va detto chiaro, riguarda lo sviluppatore, non la qualità dell’app. Il sistema lega un’applicazione a un profilo del quale Google ha controllato l’identità. Chi pubblica su Google Play passa dalla Play Console, mentre chi distribuisce tramite siti o store indipendenti userà l’Android Developer Console. Google chiede dati che permettano di collegare l’account a una persona o a un’organizzazione reale: nome legale, recapiti, informazioni societarie, documenti e prove sul possesso delle chiavi con cui gli APK risultano firmati.
Un profilo verificato, comunque, non è una garanzia. Uno sviluppatore identificato può subire il furto della chiave di firma, infilare librerie pubblicitarie invadenti o pubblicare software fatto male. La verifica aumenta la tracciabilità e rende più faticoso creare identità usa e getta a ripetizione, ma non equivale a un controllo completo del codice.
Frodi telefoniche, procedura avanzata e la via d’uscita di ADB
Il problema che Google dice di voler affrontare è quello delle truffe basate sull’ingegneria sociale. Lo schema è sempre lo stesso: un finto operatore bancario, un sedicente agente, qualcuno che parla di un familiare nei guai. La vittima riceve un link, autorizza l’installazione di app sconosciute e supera gli avvisi seguendo le istruzioni al telefono. Da lì l’app malevola chiede l’accesso all’accessibilità, legge le notifiche, intercetta codici e controlla il dispositivo da remoto.
Per spezzare questi attacchi arriva la procedura avanzata. Quando entreranno in vigore le regole, in Italia probabilmente nel 2027, le app di sviluppatori verificati continueranno a installarsi normalmente. Per un APK attribuito a uno sviluppatore non verificato servirà invece attivare le Opzioni sviluppatore, confermare di non agire sotto coercizione, autenticarsi con PIN o biometria e riavviare il telefono. Poi 24 ore di attesa, un nuovo accesso alle impostazioni e la scelta se consentire l’installazione in modo temporaneo o senza scadenza. Il riavvio serve a interrompere sessioni di controllo remoto in corso, le 24 ore a togliere quell’urgenza artificiale su cui campano tante truffe.
Resta poi una porta diretta per chi sa cosa fa. Le installazioni tramite ADB, l’Android Debug Bridge, sono escluse dall’attesa obbligatoria. Dopo aver attivato il debug USB e autorizzato il computer, un APK si installa col comando adb install nomefile.apk. L’opzione -r sostituisce un’app mantenendo i dati, -d in certi casi permette un downgrade, -g concede in automatico le autorizzazioni runtime. Un’esenzione necessaria, perché imporre una pausa di un giorno a ogni build renderebbe impossibile testare rapidamente. E per fortuna ADB richiede un computer e una certa dimestichezza, quindi poco adatto a una truffa telefonica. Per ora, per la gran parte degli utenti, il servizio resta inattivo e invisibile. La fase obbligatoria parte il 30 settembre 2026 solo nei quattro Paesi indicati da Google. Rimuovere il pacchetto oggi non serve granché: un comando come adb shell pm uninstall –user 0 com.google.android.verifier non lo cancella dalla partizione di sistema, ne toglie l’installazione solo per l’utente principale, quello con numero 0. Un aggiornamento di sistema, un ripristino o una nuova configurazione lo riporterebbero comunque al suo posto.