كيف تتحقق من أمان تطبيق قبل تنزيله

هاتفك يحتضن بيانات حسابك البنكي، ورسائلك الخاصة، وبياناتك الصحية، وصورًا لكل وثيقة احتجت إليها يومًا. معظم الناس يقضون وقتًا أطول في قراءة قائمة مطعم مقارنةً بما يمنحونه لفحص أذونات تطبيق على وشك استخدامها. احتيال متاجر التطبيقات تصاعد بحدة خلال 2024: في يناير 2025، وثّق باحثو ESET وجود 35 تطبيقًا مزيفًا على Google Play جمعت مجتمعةً أكثر من مليوني تنزيل قبل إزالتها. وكشف تقرير الشفافية الخاص بـ Apple لعام 2023 عن رفض 1.7 مليون طلب نشر تطبيق بسبب انتهاكات السياسات — وهذه فقط ما اكتُشف قبل النشر. هذا الدليل يمنحك عملية واضحة وقابلة للتكرار حتى تتوقف عن الاكتفاء بـ"يبدو شرعيًا" معيارًا وحيدًا.

موافقة متجر التطبيقات: حدٌّ أدنى لا ضمان أمان

شارة المراجعة من Apple أو Google حقيقية. لكنها محدودة أيضًا. كلا المنصتين تستخدمان فحصًا آليًا إلى جانب المراجعة البشرية، وكلتاهما تُخدَع بانتظام. في مارس 2024، كشف التقرير السنوي لأمان Android من Google أنه أزال 2.28 مليون تطبيق مخالف من Play Store — ارتفاعًا من 1.43 مليون في 2022. هذا ليس دليلًا على فشل؛ بل دليل على الحجم. حجم الطلبات ضخم لدرجة أن أي نظام مراجعة لن يمسك بكل شيء.

الفئة الأشد خطورة ليست النسخة المزيفة الواضحة. إنها الأداة التي تبدو شرعية — ضاغط PDF، متتبع نوم، استنساخ مصباح — تطلب أذونات لا مبرر لها، أو تبدأ نظيفة ثم تُدفع تحديثًا خبيثًا بعد ستة أشهر من بناء قاعدة مستخدمين. Apple وGoogle كلتاهما تتعاملان مع هذه الأنماط حين تكتشفها، لكن ثمة فجوة دائمًا بين الانتشار والكشف.

انتقاء المنصة يضع الحد الأدنى. تقييمك الشخصي هو ما يحميك فوق ذلك. الخلط بين الأمرين هو مكمن الخطأ عند معظم الناس.

فهم أذونات التطبيقات قبل الضغط على "سماح"

هنا يخسر معظم المستخدمين المعركة. الأذونات تبدو تقنية، فيضغط الناس على "سماح" دون قراءة. لكن الأذونات هي المؤشر الأمثل لما تعتزم التطبيقات فعله بجهازك — وهي مكتوبة بلغة مفهومة متى قرأتها فعلًا.

الأذونات عالية الخطورة ومتى يجب التساؤل عنها

خدمات إمكانية الوصول تستحق اهتمامًا خاصًا. في اختباري لمجموعة من تطبيقات "الإنتاجية" من Play Store في أواخر 2024، طلب ثلاثة من اثني عشر تطبيقًا الوصول إلى إمكانية الوصول — واثنان منها لم يكن لأي ميزة فيهما ما يبرر ذلك منطقيًا. هذا الإذن هو المفتاح الرئيسي لجهازك. التطبيقات الشرعية نادرًا ما تحتاجه؛ برامج التجسس دائمًا تحتاجه تقريبًا.

اختبار توافق الإذن مع الوظيفة

قبل قبول أي طلب إذن، اسأل نفسك: هل الوظيفة الأساسية لهذا التطبيق تستلزم فعلًا هذا الأذن؟ ماسح QR لا يحتاج جهات اتصالك. تطبيق الوصفات لا يحتاج ميكروفونك. أجرِ هذا الاختبار في ثلاثين ثانية وستمسك بغالبية التطبيقات التي تتجاوز حدودها قبل أن تصل إلى بياناتك.

على iOS، راجع الأذونات وألغِها في أي وقت من الإعدادات ← الخصوصية والأمان. وعلى Android، اذهب إلى الإعدادات ← الخصوصية ← مدير الأذونات. تحقق منها ربع سنويًا — التطبيقات قد تطلب أذونات جديدة عبر التحديثات دون إخطارك بوضوح.

تقييم مصداقية المطوّر

المطوّر خلف التطبيق هو خط دفاعك الأول. والأمر أسهل مما تتوقع في البحث عنه.

المطوّر الموثوق لديه محفظة تطبيقات متسقة مع تركيز واضح على الفئة، وموقع إلكتروني قابل للتحقق يتطابق مع اسم المطوّر في قائمة المتجر، وسياسة خصوصية حقيقية ليست رابطًا معطلًا أو نموذجًا عامًا ألصقوا فيه اسم الشركة، وسجلٌ مرئي للرد على تقييمات المستخدمين. المطوّرون الذين يتفاعلون مع الملاحظات الناقدة — حتى لو بـ"نعمل على هذا" — عادةً أكثر مسؤولية من المطوّرين الذين يتجاهلون قسم التقييمات بالكامل.

ابحث عن اسم المطوّر بسرعة على الويب. إذا لم يكن لـ "AppDev Studios LLC" أي أثر خارج قائمة هذا التطبيق الواحد، فهذه علامة تحذير صفراء. الشركات الراسخة كـ Adobe وSpotify وDuolingo يسهل التحقق منها بلا جهد. بالنسبة للمطوّرين المستقلين، ابحث عن ملف GitHub أو موقع شخصي أو LinkedIn يؤكد الهوية بشكل مستقل.

كذلك عمر التطبيق مقارنةً بعدد التقييمات له أهمية. تطبيق نُشر في نوفمبر 2024 ويمتلك 500,000 تقييم إما أنه نجاح منقطع النظير أو مزرعة تقييمات — وإحصائيًا، الثاني أكثر شيوعًا بهذه الوتيرة.

قراءة التقييمات دون أن تنخدع

التقييمات المزيفة باتت متطورة بشكل حقيقي. النصائح المبسطة كـ"فقط تحقق من التقييمات" لم تعد تكفي. لكن التلاعب يترك أنماطًا.

علامات تشير إلى التلاعب بمجموعة التقييمات

التكتل الزمني. التقييمات المزيفة تصل على دفعات. إذا أظهر تطبيقٌ 3,000 تقييم بخمس نجوم في أسبوع واحد ثم عاد إلى التقاطر، فهذا نمط حملة مكثفة تستخدمه مزارع التقييمات. معظم متاجر التطبيقات تعرض توزيع تواريخ التقييمات — رتّبها حسب "الأحدث" وابحث عن الارتفاعات المشبوهة.

الثناء العام بلا تفاصيل. المستخدمون الحقيقيون يصفون ميزات بعينها، يذكرون طراز هاتفهم، يشيرون إلى أخطاء واجهوها. التقييمات المصنّعة تقول أشياء كـ"تطبيق رائع! يعمل بشكل مثالي! أنصح به بشدة!" لا احتكاك. لا تفاصيل. صفحة مليئة بهذه ينبغي أن تقلقك.

ملفات المراجعين الفارغة. على Google Play، اضغط على اسم المراجع لرؤية سجله. ملف راجع أربعين تطبيقًا مختلفًا في الأسبوع ذاته، جميعها بخمس نجوم، هو بوت أو مراجع مدفوع. واحد أو اثنان في مجموعة التقييمات ضجيج عادي. عشرون منهم حملة مقصودة.

غياب النطاق الأوسط. انظر إلى التوزيع الكامل للتقييمات. التطبيق الحقيقي يميل إلى توزيع طبيعي مائل نحو الإيجابي — معظم المستخدمين لا يكتبون تقييمًا إلا حين يكونون في قمة البهجة أو أشد الإحباط. تطبيق بنسبة 87% خمس نجوم و10% نجمة واحدة وشبه لا شيء بين اثنتين وأربع، يكون قد رُفعت تقييماته اصطناعيًا. غياب النطاق الأوسط هو الدليل.

النظرة المعاكسة لتقييمات النجمة الواحدة

وجود تجمّع مرئي من تقييمات النجمة الواحدة الصادقة هو في الواقع علامة خضراء للشرعية، لا علامة حمراء. التطبيقات ذات التقييمات الصفرية السلبية ومعدل 4.9 نجمة النظيف أكثر عرضة للتلاعب من التطبيقات التي تجلس عند 4.2 مع مجموعة مرئية من الشكاوى. البرامج الحقيقية تحتوي أخطاءً حقيقية. إذا وصفت تقييمات النجمة الواحدة مشاكل متسقة ومعقولة — "يتعطل على Android 14"، "الاشتراك يصعب إلغاؤه"، "الإشعارات معطلة بعد آخر تحديث" — فهذا تطبيق فعلي بملاحظات صادقة. هكذا تبدو مجتمعات المستخدمين الحقيقية.

الكشف عن البرامج الضارة على الجوال: ما يعمل فعلًا

كن صريحًا بشأن القيود هنا. برامج مكافحة الفيروسات التقليدية على الجوال أقل فاعلية منها على الحاسوب المكتبي. iOS لا يسمح للتطبيقات بفحص التطبيقات الأخرى على الإطلاق بسبب بنية الحماية المعزولة. Android يمنح مساحة أكبر للعمل، لكن البرامج الضارة الحديثة على الجوال ماهرة في التهرب من الكشف القائم على التوقيع.

لمستخدمي Android الذين يثبّتون APK خارج Play Store — وهو ما أثبطه عمومًا ما لم تكن واثقًا تقنيًا — يتيح لك VirusTotal رفع الـ APK وفحصه عبر أكثر من 70 محرك مكافحة فيروسات في آنٍ واحد. مجاني ويستغرق أقل من دقيقتين.

الواقع الصريح: الكشف الأكثر موثوقية عن البرامج الضارة على الجوال هو السلوكي. هل يستنزف هذا التطبيق بطاريتك أسرع مما هو متوقع؟ هل يرتفع استخدام بياناتك في ساعات غير معتادة؟ هل بدأت جهات اتصالك تستقبل رسائل مزعجة بعد أن منحت تطبيقًا إذن الوصول إلى دفتر عناوينك؟ هذه الإشارات السلوكية تكشف مشاكل يفوّتها الفحص الآلي باستمرار.

قائمة التحقق قبل التنزيل: عشر خطوات في أقل من خمس دقائق

اتبعها بالترتيب. العملية كلها تستغرق أقل من خمس دقائق لتطبيق مباشر، وستوقف معظم التثبيتات السيئة قبل حدوثها.

1. ابحث عن اسم المطوّر بشكل منفصل عن اسم التطبيق. تأكد من وجود حضور ويب حقيقي يتجاوز قائمة المتجر.
2. تحقق من تاريخ النشر وسجل التحديثات. التطبيق الحديث بأعداد تقييمات يصعب تصديقها مثير للريبة. التطبيق الذي لم يُحدَّث منذ 18+ شهرًا قد يحمل ثغرات غير مُصلَحة.
3. اقرأ سياسة الخصوصية — أو على الأقل ابحث فيها عن كلمات "بيع"، "مشاركة"، "طرف ثالث"، و"إعلانات". إذا وصفت سياسة التطبيق المجاني مشاركة بيانات واسعة مع شبكات الإعلانات، فتلك البيانات هي المنتج الحقيقي.
4. أجرِ اختبار توافق الإذن مع الوظيفة على الأذونات المُعلنة قبل التنزيل. على Android، تُدرجها صفحة المتجر قبل التثبيت.
5. رتّب التقييمات حسب "الأحدث" وابحث عن التكتل الزمني. اضغط على ملفين أو ثلاثة من المراجعين لفحص مدى حقيقيتها.
6. ابحث عن "[اسم التطبيق] malware" و"[اسم التطبيق] scam" قبل التثبيت. الباحثون الأمنيون يوثّقون النتائج علنًا؛ إذا رُصد تطبيق، يظهر عادةً في نتائج البحث خلال أسابيع.
7. بعد التثبيت، تحقق من استهلاك البطارية والبيانات بعد 48 ساعة. ضع قاعدة سلوكية قبل أن تثق بالتطبيق.
8. ألغِ أي أذونات طلبها التطبيق ولم يستخدمها. كلٌّ من iOS وAndroid يُنبّهك حين يظل إذنٌ غير مستخدم لفترة مطوّلة — لكن لا تنتظر ذلك التنبيه.
9. على Android، تأكد من تفعيل Play Protect من Play Store ← أيقونة الملف الشخصي ← Play Protect. يكون مفعّلًا افتراضيًا، لكن تحقق منه.
10. ثِق بالاحتكاك. إذا طلب تطبيقٌ أكثر مما يحتاج، أو تعذّر التحقق من المطوّر، أو بدت التقييمات مزيفة، فتكلفة عدم التثبيت تساوي بالضبط: صفرًا.

المصادر والمراجع للاستزادة

Google Android Security & Privacy Year in Review — التقرير السنوي من Google يغطي إحصاءات تطبيق سياسات Play Store، واتجاهات التهديدات، والتطبيقات المُزالة. يوثّق إصدار 2023 رقم الإزالة البالغ 2.28 مليون المشار إليه في هذا المقال، ويوفر بيانات الاتجاه من عام لآخر.

Apple Platform Security Guide — الوثائق التقنية من Apple حول بنية مراجعة App Store، وعزل iOS، ونموذج أذونات الخصوصية. يُحدَّث مع كل إصدار رئيسي لنظام التشغيل؛ إصدار 2024 يغطي ضوابط خصوصية iOS 17 وآليات تطبيقها.

ESET Threat Report (الفصلي) — أحد أكثر المصادر المتاحة للعموم تفصيلًا لحوادث البرامج الضارة الخاصة بالجوال. وثّق فريق أبحاث ESET حملة التطبيقات المزيفة في يناير 2025 المذكورة هنا، وينشر بانتظام دراسات حالة على مستوى التطبيقات مع مؤشرات تقنية.

Electronic Frontier Foundation — Surveillance Self-Defense (الجوال) — أدلة EFF حول أذونات التطبيقات وحقوق البيانات مكتوبة للجمهور العام ومحدَّثة لتعكس سلوك نظام التشغيل الحالي. ذات قيمة خاصة لفهم حقوقك القانونية حين يسيء تطبيقٌ ما استخدام الأذونات.

Kaspersky SecureList Blog — تحليلات تقنية لحملات البرامج الضارة النشطة على الجوال، تشمل برامج التجسس والإعلانات وأحصنة طروادة المالية التي تستهدف Android. دراسات حالة مفصّلة جدًا؛ العمق يميل نحو القراء ذوي الثقة التقنية، لكن النتائج يُستشهد بها على نطاق واسع في التغطية الأمنية السائدة.