Осторожно, fleeceware!

Помните, как герой «Криминального чтива» Винсент Вега захотел попробовать молочный коктейль просто потому, что тот стоил целых пять долларов? Это совершенно нормальная реакция, многие автоматически ассоциируют высокую цену с качеством. А если дорогой продукт можно попробовать бесплатно, заинтересуются даже те, кто не планирует его покупать. Просто из любопытства. И некоторые недобросовестные разработчики приложений для смартфонов этим пользуются.

Fleeceware: пробный период и платная подписка

В конце сентября ИБ-исследователи обнаружили в Google Play набор калькуляторов, сканеров QR-кодов, улучшателей фотографий и других программ с простейшими функциями, которые разработчики предлагали по подписке по явно завышенной цене — до 200 € в месяц. В общей сложности эти приложения скачали десятки миллионов человек.

Пользователям обещали три дня пробного периода. Убедившись, что ничего особенного подписка на такие приложения не дает, многие их удалили. Но несмотря на это, с пользователей списывали деньги на регулярной основе.

Как же так получилось? Во-первых, жертвы предоставили приложениям платежные реквизиты при первом запуске, иначе те отказывались работать. В результате создатели жадных программ получили возможность списывать средства без согласия пользователя.

Во-вторых, удаление приложения с устройства не означает отказ от подписки. В этом есть смысл: так вы не потеряете, например, свои плейлисты в стриминговой программе, если удалите ее по ошибке, вернете устройство к заводскому состоянию или решите воспользоваться приложением на новом телефоне. Однако многие про этот нюанс просто не знают. И даже те, кто в курсе, что подписки нужно отменять, иногда забывают это сделать, чем и пользуются создатели fleeceware.

Формально fleeceware — это не зловреды

Вы спросите, почему такие приложения вообще пропустили в Google Play? Увы, формально дорогостоящие калькуляторы и «золотые» QR-сканеры соответствуют требованиям магазина. Заявленные функции они выполняют, лишних разрешений не запрашивают, не содержат вредоносного кода. Что касается цены за подписку, то детальных правил, которые бы ее ограничивали, в Google Play в данный момент нет.

Для многих стран задан верхний предел, но он одинаков и для продвинутого видеоредактора, который действительно может стоить дорого, и для QR-сканера или приложения-фонарика. В России на момент написания статьи потолок составлял 42 тысячи рублей. Если стоимость подписки вписывается в этот лимит, магазин одобряет приложение, а дальше пользователи уже сами решают, готовы ли они столько заплатить за те или иные возможности. И сами несут ответственность, если не разобрались в том, как работают платные подписки.

Тем не менее после того, как информация о жадных приложениях дошла до Google, 14 из 15 программ удалили из Google Play — и практически сразу же исследователи обнаружили еще девять. В действительности же подобных программ в магазинах приложений, скорее всего, гораздо больше.

Fleeceware — новое имя, старый прием

Поскольку назвать такие приложения зловредами нельзя, их выделили в отдельный класс угроз — fleeceware (от английского fleece — обирать). Однако, несмотря на то что имя для них придумали только сейчас, сама уловка с бесплатным пробным периодом известна давно, и пользуются ею не только мобильные разработчики.

Например, в 2011 и 2012 годах некие дельцы распространяли среди британских женщин якобы бесплатные пробники косметики, которые нужно было заказать через Интернет. При оформлении заказа пользователей автоматически подписывали на ежемесячный платеж в размере 60–70 фунтов стерлингов. Про это сообщалось мелким шрифтом, который мало кто читал.

Fleeceware для iOS

Разработчики программ типа fleeceware не обошли вниманием и iOS. Например, в 2017 году из App Store удалили приложение Mobile Protection: Clean & Security VPN. Его загрузили 50 тысяч пользователей, и по меньшей мере 200 человек решили попробовать VPN по подписке, купившись на бесплатные три дня. Любопытство обошлось каждому из них в $400 в месяц.

Остальные функции программы были доступны без подписки, однако особого смысла в них не было. Например, приложение очищало телефон — но не от временных файлов и неиспользуемых программ, а… от дублирующихся контактов.

Еще один пример — сканер QR-кодов для iOS. При запуске приложение требовало указать платежную информацию для подписки на бесплатный пробный период, а через три дня начинало списывать по $3,99 в неделю.

После нескольких таких эпизодов в Apple стали строже относиться к приложениям, недостаточно внятно описывающим условия подписки. А в iOS 13 появились предупреждения при попытке удалить программу с активной подпиской.

Как защититься от fleeceware

Разработчики fleeceware-приложений эксплуатируют человеческие любопытство, тягу к халяве, невнимательность и нежелание вникать в условия подписки. Чтобы не попасться на их уловку, с подозрением относитесь ко всему, что выглядит необычно.

• Не скачивайте приложения, предлагающие примитивные функции втридорога или по подписке. Скорее всего, ничего эксклюзивного, кроме цены, в них нет.
• Прежде чем установить программу, поищите отзывы о ней и ее разработчике. С большой вероятностью в Сети можно найти информацию об обмане.
• Если вы подписались на бесплатный пробный период и не планируете оплачивать приложение в дальнейшем, обязательно отменяйте подписку. Сделать это можно в разделе управления подписками вашего аккаунта на Google Play, если у вас Android, или в iTunes, если у вас iPhone или iPad.