¿Puede haber aplicaciones maliciosas en Google Play?

¿Debo preocuparme por las aplicaciones maliciosas en Google Play o puedo confiar en todo lo que instalo, siempre y cuando lo instale desde Google Play?

Y si necesito preocuparme, ¿qué señales de alerta debo buscar: número de descargas, calificaciones, antigüedad de la aplicación, qué permisos requiere?

A nivel práctico, ¿diría que es tan seguro como la App Store de Apple?

En pocas palabras: ningún servicio de distribución de software es 100 % seguro. Cada aplicación debe evaluarse individualmente.
@dotVezz Gracias. Entonces, ¿Android es tan seguro como la App Store de Apple? Tuve un iPad, recientemente compré un Xperia S y me preguntaba.
Como dijo Izzy, "No comparamos manzanas con duraznos" (o algo así). Es probable que Play Store tenga más aplicaciones maliciosas que App Store en cualquier momento. Pero eso no hace que ninguno sea más peligroso que el otro. La mera presencia de una aplicación maliciosa no socava la seguridad de un sistema de distribución. Al final, usted es responsable de investigar todo lo que instale en su dispositivo.
@dotVezz es técnicamente correcto, pero esta es una buena pregunta porque es útil para tener una idea de su exposición al riesgo. Por ejemplo, es más seguro instalar una aplicación de Play Store que alguna aleatoria .apkque haya encontrado en las redes. Esta pregunta podría ayudar a las personas a comprender cuánto más seguro es.
Oh, @Reid ¡Tienes toda la razón! Gracias por señalar eso.

Respuestas (4)

No comparamos manzanas con duraznos. Pero siempre es una buena idea tener cuidado con lo que instalas. Es cierto que Google Play debe considerarse una de las fuentes más seguras para las aplicaciones de Android. Aún así, algún malware se cuela de vez en cuando. Por lo tanto, debe usar algo de sentido común antes de presionar el botón "Instalar".

Las cosas a considerar incluyen (pero pueden no estar restringidas a):

  • ¿Qué permisos se requieren?
    Aunque no siempre es fácil decidir, hay algunas cosas que pueden contar como indicadores, por ejemplo, si usa una aplicación de calculadora simple, ciertamente no necesita acceder a sus contactos, calendarios, configuraciones del sistema, etc.
  • ¿Cómo se califica?
    No estoy hablando de "números desnudos", pero revisa los comentarios. Es posible que le den consejos útiles sobre si es seguro instalarlo. Además, una aplicación instalada varios miles de veces sin rastros de malicia en los comentarios debería ser considerablemente más segura que una aplicación casi sin instalaciones y sin comentarios.
  • ¿Debería ser una aplicación muy popular, pero solo tiene pocas instalaciones?
    Eso es en la mayoría de los casos un indicador claro de malware, que se esconde detrás de un nombre popular. Mejor mantén tus manos fuera de eso.

Aparte de eso: en caso de que todavía no estés seguro, elige un buen foro y pregunta. Otra buena idea es verificar otras aplicaciones del mismo desarrollador (solo siga el enlace en su nombre) y use los criterios anteriores en ellas.

Tenemos algunos buenos "¿Es esta aplicación malware?" preguntas sobre ASE ya. Creo que podemos alentar razonablemente más preguntas como esa, en lugar de dirigir a los usuarios a otros sitios.
Gracias por la pista, @DanHulme. No estaba seguro de si recomendar eso. Actualizaré mi respuesta en consecuencia (neutralizando;) ¿Mejor? (si es así, podríamos eliminar nuestros comentarios;)
Su tercer punto es tan excelente que posiblemente no podría recomendar esta respuesta lo suficiente. Play Store está plagado de clones no oficiales de diferentes niveles de dudoso y se debe hacer todo lo posible para evitarlos.
Otro consejo importante: si la aplicación tiene muchas reseñas de 5 estrellas, léelas y comprueba si son reseñas legítimas. Es demasiado fácil recopilar reseñas en estos días, y muchas aplicaciones falsas lo hacen para obtener una clasificación alta en Play Store.
@Munim lo mismo se aplica a los comentarios de baja calificación. Además de los falsos ("comprados por la competencia"), también hay estúpidos (en los que los usuarios no entendían para qué era la aplicación o tenían problemas con la descarga de Google Play que no tienen nada que ver con la aplicación). A estos dos juntos me refería con mi segundo punto: revisar los comentarios (nota: revisar, no contar ;)
Para aquellos que todavía creen que Google Play es "absolutamente seguro": Scareware: las aplicaciones falsas de Minecraft asustan a cientos de miles en Google Play . Extracto: ESET ha descubierto más de 30 aplicaciones de scareware disponibles para descargar desde la tienda Google Play. Las aplicaciones maliciosas, que pretendían ser trampas para el popular juego Minecraft, han sido instaladas por más de 600.000 usuarios de Android. (5/2015)

Es posible que haya aplicaciones maliciosas en Google Play. Sin embargo, hay una serie de cosas que puede hacer para protegerse:

  1. Comprueba los permisos que solicita una aplicación al instalarla. Si parece excesivo para lo que hace la aplicación, puede enviar un correo electrónico al desarrollador y preguntarle por qué necesita los permisos que solicita. La mayoría de los desarrolladores deberían estar felices de hacer esto, aunque puede llevar un tiempo obtener una respuesta.
  2. Mira la cantidad de descargas y reseñas. Si no tiene muchas descargas, tenga más cuidado. Sin embargo, no significa que la aplicación sea maliciosa, solo que necesita verificar más usted mismo. Si tiene muchas reseñas de 1 a 2 estrellas, entonces probablemente también me mantendría alejado.
  3. Si se trata de una aplicación popular (como Need For Speed, Riptide GP, etc.) que normalmente es una aplicación de pago, pero encuentra una versión gratuita, tenga mucho cuidado. Una táctica común de los autores de malware es hacerse pasar por aplicaciones populares, pero en realidad instalan malware en su dispositivo.

Esencialmente tienes que usar el sentido común. En caso de duda, no instale la aplicación. Google tiene un sistema llamado Bouncer que escanea todas las aplicaciones cargadas en Play Store, lo que ha reducido la cantidad de aplicaciones maliciosas, pero no está 100 % garantizado.

Me encanta el tercer punto, pero creo que los ejemplos utilizados son un poco engañosos. Es importante tener en cuenta que Angry Birds en realidad es oficialmente gratis en Play Store. Sin mencionar que PvZ2 ha adoptado el modelo free-to-play.
Buen punto. He reemplazado los ejemplos con aplicaciones que normalmente no son gratuitas.
@bmdixon Además, puede verificar el nombre del proveedor para ver si es el mismo que el nombre del proveedor de la aplicación oficial.

Cualquiera que tenga experiencia programando y trabajando en aplicaciones de Android e iOS puede decirle que ciertamente hay aplicaciones maliciosas en Play Store. Aquí está el trato:

Para publicar su aplicación en la tienda de aplicaciones de Apple, debe enviarla a Apple para su revisión. Ah, y también tienes que pagarles $ 99 por año y pasar por otros aros. De cualquier manera, Apple revisa el código de su aplicación línea por línea (o al menos eso es lo que afirman) y verifica que no haya código malicioso. Como muchos desarrolladores pueden decirle, no es difícil que rechacen una aplicación y no es tan raro tener que volver a enviarla. El resultado final es que la App Store de Apple es lo más segura posible. No es perfecto, pero en cuanto a la seguridad, no hay nada más seguro.

Ahora, si desarrollo una aplicación para Android, básicamente puedo subirla a Play Store. Tendré que crear una cuenta de desarrollador, pero eso es todo lo que tengo que hacer. Si mi aplicación contiene virus o malware conocidos, Google eventualmente lo detectará y lo eliminará de la tienda de aplicaciones.

Lo importante a tener en cuenta acerca de Android es que realmente está más cerca de Windows en el sentido de que puede perder el tiempo fácilmente y descargar una aplicación o aplicaciones que pueden robar su información personal, ralentizar su sistema debido a un diseño o anuncios deficientes, y cualquier número de otras cosas. Mi mejor consejo es prestar mucha atención a los permisos de las aplicaciones y, en caso de duda, simplemente no las instale. Además, incluso si normalmente no lee reseñas en dispositivos iOS, le recomendaría que al menos eche un vistazo a las reseñas de cualquier aplicación de Android menos conocida que esté considerando instalar. Puede averiguar con bastante rapidez si la aplicación ha estado causando problemas a otros usuarios con sus dispositivos.

Por esta razón, no recomendaría simplemente descargar indiscriminadamente todas las aplicaciones que parecen interesantes en Android. Realmente deberías ser lo suficientemente inteligente como para prestar atención y protegerte. Además de la programación, también he trabajado durante algunos años en la industria móvil y puedo decir que odiaba ver a los usuarios mayores obtener Android porque terminarían con tanta basura en su teléfono y luego se preguntarían por qué no funcionó. la forma en que querían. Si este es usted, entonces tal vez debería ir con Apple. Si no te importa prestar atención a lo que estás haciendo, ¡Android te tratará muy bien! Espero que esto ayude.

Sin embargo, ¿qué pasa con los permisos? Quería instalar una aplicación de Sudoku, y la aplicación superior en Google Play requiere acceso a mi "Conexión de red", "Llamadas telefónicas" y "Herramientas del sistema", entre otras. Esta aplicación tiene 100 000 descargas, por lo que tiene que ser legítima, pero si las aplicaciones legítimas quieren estos permisos, ¿cómo distingo los virus?
Sin embargo, Apple no verifica el código fuente; consulte stackoverflow.com/a/3188649/492336 para obtener más detalles sobre cómo funciona su proceso de revisión.
Eso es correcto. La respuesta de Roan contiene bastantes errores: Apple no puede verificar el código fuente (cómo deberían hacerlo, solo carga la aplicación binaria), también debe pagar una tarifa para obtener una cuenta de desarrollador de Android. Play Store tiene verificaciones automáticas de malware que pueden ser una verificación de seguridad tanto como el proceso de Apple (las pruebas humanas tendrán que centrarse en la apariencia y la sensación allí, ya que puede hacer que una aplicación se comporte normalmente durante la revisión...).

Es completamente posible que una aplicación maliciosa esté disponible a través de ella. Sin embargo, lo mismo puede decirse de cualquier otro sistema de distribución de software. La App Store tampoco es inmune a los desarrolladores engañosos.

Nunca asuma que cualquier distribuidor de software ofrece software 100% seguro . Ya sea que esté utilizando Windows, OSX, iOS, Android, Linux, Unix, FreeBSD o cualquier sistema operativo, la única persona responsable de su seguridad es usted mismo .

Al instalar el software, asegúrese de confiar en el proveedor y en la propia aplicación , independientemente de cuánto confíe en el proveedor . Si confía en Rovio, Angry Birds será tan seguro en iOS como en Android o en cualquier otra plataforma en la que esté disponible.

Este consejo es difícil de poner en práctica. ¿Cómo vas a evaluar un dato dado .apk en el vacío ? El canal de distribución es parte de la evaluación de riesgos. Ignorarlo porque no da el 100% de confianza es innecesariamente pedante y no muy útil.