Ventotto applicazioni fraudolente, oltre sette milioni di download e una promessa che avrebbe dovuto far scattare l’allarme fin dal primo istante: CallPhantom è il nome dato alla campagna di truffe scoperta sul Google Play Store, capace di mietere vittime su larga scala prima che qualcuno tirasse il freno. Le app coinvolte giuravano di poter recuperare la cronologia delle chiamate, degli SMS e persino i registri di servizi come WhatsApp, semplicemente digitando il numero di telefono della persona da “spiare”. Roba che, detta così, suona già abbastanza assurda. Eppure milioni di persone ci sono cascate.
Il meccanismo era tanto semplice quanto efficace. Nonostante piccole differenze estetiche tra le varie interfacce, tutte le 28 applicazioni funzionavano allo stesso modo. L’utente inseriva un numero di telefono e, a quel punto, veniva richiesto un pagamento per “sbloccare” i dati. Peccato che quei dati, nomi, orari e durata delle chiamate, fossero completamente inventati. Generati in modo casuale dal codice interno dell’app e confezionati per sembrare credibili. Nessun accesso reale a informazioni private di terzi, perché su Android una cosa del genere non è tecnicamente possibile.
Come funzionava il modello economico di CallPhantom
Il vero cuore della truffa stava nel sistema di abbonamenti ricorrenti. I costi variavano parecchio: si andava da pochi euro fino a cifre decisamente più pesanti, anche nell’ordine di decine di euro a settimana o al mese. Un giro d’affari costruito interamente sulla curiosità delle persone e sulla voglia, francamente discutibile, di spiare le comunicazioni altrui. Una volta effettuato il pagamento, l’app restituiva risultati fasulli ma confezionati con cura sufficiente da non destare sospetti immediati.
La campagna CallPhantom sembra essere stata pensata soprattutto per utenti di aree geografiche specifiche. L’India e la regione Asia Pacifico erano i target principali: in diversi casi le applicazioni mostravano già preimpostato il prefisso telefonico di quei Paesi e integravano sistemi di pagamento molto diffusi in quelle zone, il che rendeva il tutto ancora più convincente agli occhi delle potenziali vittime.
La rimozione dal Play Store e la questione dei rimborsi
Dopo la segnalazione da parte dei ricercatori di sicurezza che hanno individuato la campagna, Google ha verificato la situazione e rimosso tutte le applicazioni dal Play Store. Per chi ha effettuato pagamenti tramite i sistemi ufficiali di Google esiste la possibilità di richiedere un rimborso, mentre per chi ha utilizzato metodi di pagamento esterni la faccenda si complica e dipende dai singoli servizi coinvolti.