क्या वह ऐप डाउनलोड करना सुरक्षित है? एक व्यावहारिक चेकलिस्ट

ऐप इंस्टॉल फ्लो को आसान महसूस कराने के लिए इंजीनियर किया गया है। टैप करें, सहमत हों, हो गया। यह घर्षण हटाना एक जानबूझकर किया गया उत्पाद निर्णय है — और यह बिल्कुल वही कारण है कि मोबाइल मैलवेयर की पहचान Q1 2024 में अकेले Android पर 3.4 मिलियन दुर्भावनापूर्ण पैकेज तक पहुँच गई, Kaspersky की खतरे की बुद्धिमत्ता इकाई के अनुसार। इनमें से अधिकांश ऐप्स विश्वकारी, स्पष्ट नकली नहीं थे। वे फ्लैशलाइट उपयोगिताओं, QR कोड स्कैनर, मुफ्त VPN सेवाओं के रूप में प्रच्छन्न थे। एक सुरक्षित डाउनलोड और डेटा-संग्रहण दुःस्वप्न के बीच की सीमा अक्सर कुछ विशिष्ट जांचों पर निर्भर करती है। ऐसी जांचें जो पुश नोटिफिकेशन पढ़ने से कम समय लेती हैं।

अनुमति स्क्रीन केवल नौकरशाही नहीं है

अधिकांश लोग "सभी को अनुमति दें" टैप करते हैं और आगे बढ़ जाते हैं। समझदारी भरा — ये डायलॉग हाईवे टोल बूथ की तरह लगते हैं, कुछ ऐसा जो आप साफ करते हैं ताकि आप वास्तविक गंतव्य तक पहुँच सकें। लेकिन वह स्क्रीन सबसे ईमानदार संकेत है जो कोई ऐप आपको कभी अपने वास्तविक इरादों के बारे में देगा।

अनुमतियाँ स्तरों में विभाजित होती हैं। Android 13+ पर, "सामान्य" अनुमतियाँ (इंटरनेट पहुँच, कंपन नियंत्रण) इंस्टॉल के समय स्वचालित रूप से दी जाती हैं। "खतरनाक" अनुमतियाँ — स्थान, कैमरा, माइक्रोफोन, संपर्क, SMS, स्टोरेज — को स्पष्ट उपयोगकर्ता अनुमोदन की आवश्यकता होती है और यह वह हैं जो जांचने लायक हैं। iOS एक समान विभाजन अनुसरण करता है, आपको केवल तभी संकेत देता है जब ऐप पहली बार किसी संवेदनशील संसाधन तक पहुँचने का प्रयास करे। पूछने का प्रश्न बेहद सरल है: क्या इस ऐप को अपना वास्तविक काम करने के लिए इस अनुमति की आवश्यकता है?

मौसम ऐप स्थान माँगता है? समझदारी भरा। वही ऐप आपकी संपर्क सूची और माइक्रोफोन पहुँच माँग रहा है? इसे दोनों की आवश्यकता नहीं है यह बताने के लिए कि बारिश होने वाली है।

प्रत्येक अनुमति वास्तव में क्या संकेत देती है

वह अंतिम पंक्ति गंभीर ध्यान देने योग्य है। Accessibility Service पहुँच वाले ऐप्स स्क्रीन पर प्रदर्शित सब कुछ पढ़ सकते हैं, कीस्ट्रोक को रोक सकते हैं, और अन्य ऐप्स के साथ आपकी ओर से इंटरैक्ट कर सकते हैं। वैध उपयोग मौजूद हैं — TalkBack, LastPass, Tasker। लेकिन बैंकिंग ट्रोजन इस अनुमति से ज्यादा कुछ प्यार करते हैं। GoldPickaxe, एक ट्रोजन जिसे Group-IB द्वारा प्रारंभिक 2024 में प्रलेखित किया गया था, चेहरे की पहचान डेटा फसल करने और SMS संदेशों को रोकने के लिए Android और iOS दोनों के विकल्पों में पहुँच सेवाओं का फायदा उठाया। यदि कोई भी ऐप जिसे आपने जानबूझकर Accessibility प्रयोजनों के लिए नहीं मांगा है वह इसे माँगे तो यह एक कठोर नहीं है।

एक और बात: Android पर, साइडलोड किए गए ऐप्स — APK फाइलें जो आप सीधे डाउनलोड करके इंस्टॉल करते हैं — Google के प्री-इंस्टॉल स्कैनिंग को पूरी तरह बायपास करते हैं। आधिकारिक स्टोर पर रहें जब तक आपके पास कोई विशिष्ट, अच्छी तरह से शोध किया गया कारण न हो।

यह कैसे बताएं कि कोई डेवलपर वास्तव में वैध है

स्टोर लिस्टिंग पर डेवलपर का नाम सत्यापित करने के लिए पहली चीजों में से एक है। और नकली बनाने में से एक आसान।

एक आवर्ती घोटाला इस तरह जाता है: एक बुरा अभिनेता एक लोकप्रिय ऐप के नाम और आइकन को क्लोन करता है, एक सूक्ष्मता से भिन्न नाम के तहत एक डेवलपर खाता पंजीकृत करता है, और नकल को प्रकाशित करता है। Google ने 2023 में Play Store से 2.28 मिलियन नीति-उल्लंघन ऐप्स को हटाया — यह आंकड़ा सीधे उनकी वार्षिक पारदर्शिता रिपोर्ट से आता है — और यह उन लोगों को गिनता नहीं है जो अपरीक्षित से गुजरे। क्लोन ऐप्स एक वास्तविक और लगातार समस्या का एक हिस्सा हैं, विशेष रूप से बैंकिंग, क्रिप्टोकरेंसी, और उपयोगिता उपकरणों के आसपास।

मैंने इसे एक बार पुराने Android डिवाइस पर एक प्रमुख क्षेत्रीय बैंक के मोबाइल ऐप के लिए खोज करके परीक्षण किया। Play Store में तीसरा परिणाम एक क्लोन था: लगभग समान आइकन, तीन सप्ताह पुराना डेवलपर खाता, एक अलग लेकिन प्रशंसनीय-ध्वनि वाला कंपनी का नाम। इसके पास 4.8 सितारे थे। हम बाद में देखेंगे कि यह संख्या क्यों कम आश्वस्त करने वाली दिखती है।

डेवलपर विश्वसनीयता की जाँच करना: एक चरण-दर-चरण प्रक्रिया

1. डेवलपर का नाम स्वतंत्र रूप से खोजें। अकेले स्टोर लिस्टिंग पर निर्भर न रहें। डेवलपर के नाम को Google में "scam" या "malware" जोड़ के साथ डालें। एक वैध कंपनी के पास उनकी ऐप स्टोर प्रोफाइल से परे एक वास्तविक वेब उपस्थिति होगी।
2. जाँचें कि डेवलपर खाता कब बनाया गया था और उनके कितने ऐप्स हैं। नए खाते जो यह दावा करने वाले ऐप्स प्रकाशित करते हैं कि लाखों डाउनलोड अतिरिक्त जाँच के योग्य हैं। Google Play पर, लिस्टिंग डेवलपर के अन्य ऐप्स दिखाती है — यदि यह उनका एकमात्र है और यह पिछले महीने प्रकट हुआ, तो आगे बढ़ने से पहले जाँच करें।
3. डेवलपर की बाहरी वेबसाइट की पुष्टि करें। लिस्टिंग को काम करने वाली संपर्क जानकारी के साथ एक वास्तविक साइट से जोड़ना चाहिए। एक डेवलपर लिंक जो खाली पृष्ठ, एक पार्क किया गया डोमेन, या एक सामान्य एक-पैराग्राफ Wix मुफ्त साइट की ओर इशारा करता है, एक अर्थपूर्ण चेतावनी संकेत है।
4. ऐप को आधिकारिक संगठन की वेबसाइट पर देखें। बड़े ऐप्स — आपका बैंक, Spotify, आपका बीमा प्रदाता — अपनी मुख्य वेबसाइट से अपने ऐप का उल्लेख या लिंक करेंगे। वहाँ से शुरू करें, स्टोर खोज परिणाम से नहीं।
5. समर्थन ईमेल डोमेन को क्रॉस-चेक करें। यदि समर्थन संपर्क Gmail या Hotmail पता है और ऐप 10 मिलियन डाउनलोड का दावा करता है, तो यह विसंगति जाँच लायक है। इस पैमाने पर संगठन ब्रांडेड ईमेल का उपयोग करते हैं।
6. एक भौतिक पता खोजें। हर छोटे डेवलपर के पास कार्यालय पता नहीं है, लेकिन भुगतान या स्वास्थ्यसेवा डेटा को संभालने वाले ऐप्स को अक्सर कानूनी रूप से एक प्रकट करने के लिए आवश्यक होता है। इन श्रेणियों में इसकी अनुपस्थिति उल्लेखनीय है।

नकली समीक्षाएं परिष्कृत हो गई हैं

4.6-सितारा रेटिंग 50,000 समीक्षाओं के साथ, अपने आप में, गुणवत्ता या सुरक्षा का प्रमाण नहीं है। यह स्पष्ट रूप से कहने की आवश्यकता है। समीक्षा हेराफेरी एक संपन्न उद्योग है। Baltimore विश्वविद्यालय के शोधकर्ताओं द्वारा 2022 के विश्लेषण ने अनुमान लगाया कि नकली समीक्षाओं ने वैश्विक स्तर पर उस वर्ष उपभोक्ता खरीदारी निर्णयों में $152 बिलियन को प्रभावित किया — ऐप स्टोर निश्चित रूप से उस संख्या में शामिल हैं।

संकेत विकसित हुए हैं। प्रारंभिक नकली समीक्षा खेतों ने स्पष्ट रूप से रोबोटिक पाठ का उत्पादन किया: छोटा, सामान्य, अजीब तरह से औपचारिक। अब वे विभिन्न शब्दावली, मिश्रित वाक्य संरचना, और यहाँ तक कि 3- और 4-सितारा समीक्षाओं का एक अनुकृत वितरण के साथ AI-उत्पन्न प्रतिलिपि का उपयोग करते हैं प्रामाणिकता की उपस्थिति बनाने के लिए। आप कुल संख्या पर विश्वास नहीं कर सकते। आपको वास्तविक समीक्षाओं को पढ़ना होगा।

यह संकेत कि समीक्षाएं बनाई गई हैं

• बर्स्ट पैटर्न। सबसे हाल की द्वारा समीक्षाओं को सॉर्ट करें, और कुछ दिनों के भीतर पोस्ट की गई 5-सितारा प्रविष्टियों के एक बड़े समूह को देखें। जैविक वृद्धि एक ऊर्ध्वाधर स्पाइक की तरह नहीं दिखती।
• समीक्षकों के बीच समान या लगभग समान वाक्यांश। "यह ऐप मेरी जिंदगी बदल गया और पूरी तरह काम करता है!" 48 घंटों में पाँच खातों में शब्दशः या समान रूप से दिखना कॉपी-पेस्ट फार्म आउटपुट है।
• समीक्षक जिनके पास कोई अन्य समीक्षा नहीं है और कोई प्रोफाइल फोटो नहीं है। Google Play पर, आप एक समीक्षक के नाम पर टैप कर सकते हैं उनका इतिहास देख सकते हैं। एक समीक्षा, कोई अवतार, और एक सामान्य नाम वाले खाते अक्सर समीक्षा मिलों से खरीदे जाते हैं।
• एक सितारा गणना लिखित समीक्षाओं के लिए अनुपात से जंगली। 80,000 समीक्षाओं के साथ 4.9-सितारा रेटिंग लेकिन दिखाई देने वाली केवल 14 लिखित प्रतिक्रिया एक लाल झंडा है। अगर वास्तविक उपयोगकर्ता रेटिंग कर रहे थे तो गणित पकड़ नहीं पाती।
• समीक्षाएं जो ऐप की वास्तविक विशेषताओं का वर्णन नहीं करती हैं। एक पासवर्ड प्रबंधक जो "अविश्वसनीय वीडियो गुणवत्ता" या "ब्राउज़िंग के लिए सुंदर इंटरफेस" की प्रशंसा करने वाली समीक्षाएं प्राप्त करता है सुझाव देते हैं कि समीक्षाएं बॉट्स या सशुल्क समीक्षकों द्वारा लिखी गई थीं जिन्होंने उत्पाद को कभी नहीं छुआ।

यहाँ विरोधाभासी सलाह है: 1,800 विस्तृत, मिश्रित समीक्षाओं वाला 4.2-सितारा ऐप अक्सर 100,000 संदिग्ध रूप से एकसमान लोगों वाले 4.9-सितारा ऐप से अधिक विश्वसनीय होता है। कम औसत हमेशा बदतर का मतलब नहीं है। कभी-कभी इसका मतलब है कि वास्तविक लोगों ने ईमानदार विचार छोड़े।

ऐप स्टोर लाल झंडे जो आप संभवतः अनदेखा कर रहे हैं

अनुमतियों और समीक्षाओं से परे, लिस्टिंग स्वयं संकेत देती है — यदि आप इसे निष्क्रिय रूप से अवशोषित करने के बजाय पढ़ते हैं।

विवरण में वर्तनी और व्याकरण त्रुटियाँ। वैध डेवलपर — विशेष रूप से किसी भी अर्थपूर्ण पैमाने पर जो — स्टोर लिस्टिंग प्रकाशित करने से पहले किसी को प्रूफरीड करेगा। खस्ताहाल विवरण अजीब वाक्यांश, मशीन-अनुवादित वाक्य, या यादृच्छिक रूप से पूंजीकृत संज्ञाएं कम लागत वाली धोखाधड़ी संचालन में बनाए गए ऐप्स का एक आम लक्षण हैं।

"अंतिम अपडेट" दिनांक। एक ऐप जो लाइव सुरक्षा संरक्षण, रीयल-टाइम वित्तीय डेटा, या सक्रिय मैलवेयर स्कैनिंग प्रदान करने का दावा करता है जो 2021 के बाद से अपडेट नहीं किया गया है, वह जो प्रतिज्ञा देता है वह प्रदान नहीं कर रहा है। कार्यात्मक ऐप्स को अपडेट मिलते हैं। दिनांक की जाँच करें और इसे ऐप जो दावा करता है उसके साथ तुलना करें।

डाउनलोड गणना बनाम समीक्षा गणना विसंगति। यदि कोई ऐप 10 मिलियन डाउनलोड दिखाता है लेकिन केवल 800 समीक्षाएँ हैं, तो अनुपात अविश्वसनीय है। वास्तविक उपयोगकर्ता जो ऐप के साथ नियमित रूप से संलग्न होते हैं एक सुसंगत जैविक दर पर समीक्षा छोड़ने की प्रवृत्ति रखते हैं। एक विशाल अंतराल आमतौर पर फुला हुआ डाउनलोड संख्या, बॉट्स से फुला हुआ इंस्टॉल संख्या, या दोनों इंगित करता है।

गोपनीयता नीति गुणवत्ता और पहुँच। हर ऐप जो उपयोगकर्ता डेटा एकत्र करता है, GDPR (May 2018 में यूरोप में प्रभावी) और CCPA (January 2020 में कैलिफोर्निया में प्रभावी) के तहत कानूनी रूप से एक गोपनीयता नीति प्रकाशित करने के लिए आवश्यक है। एक अनुपलब्ध नीति लिंक पहले से ही एक उल्लंघन है। लेकिन एक नीति जो मौजूद है फिर भी केवल कहती है "हम आपके डेटा को अनिर्दिष्ट तीसरे पक्षों के साथ साझा कर सकते हैं व्यावसायिक प्रयोजनों के लिए" तकनीकी रूप से अनुरूप है जबकि व्यावहारिक रूप से बेकार है। पहले दो पैराग्राफ कम से कम पढ़ें — आप आमतौर पर जल्दी ही जान जाएँगे कि आपको क्या जानने की आवश्यकता है।

इन-ऐप खरीद प्रकटीकरण जो केवल इंस्टॉल के बाद दिखाई देती हैं। यदि कोई ऐप "मुफ्त" के रूप में सूचीबद्ध है लेकिन तुरंत आप ने एक भी फीचर का उपयोग किए बिना $49.99/सप्ताह सदस्यता के लिए संकेत देता है, तो यह एक अंधेरा पैटर्न है — और कुछ मामलों में, एक घोटाला। डाउनलोड करने से पहले स्टोर लिस्टिंग में "इन-ऐप खरीद" लाइन की जाँच करें।

Google Play बनाम Apple App Store: वास्तव में कौन सा सुरक्षित है?

डिफ़ॉल्ट धारणा यह है कि App Store स्वाभाविक रूप से सुरक्षित है क्योंकि Apple हर ऐप सबमिशन की मैनुअल रूप से समीक्षा करता है इससे पहले कि यह लाइव हो। वह विश्वास गलत नहीं है — लेकिन यह काफी अधूरा है।

विरोधाभासी पाठ यह है: iOS उपयोगकर्ता ऐप्स को जाँचने में कम सतर्क होते हैं बिल्कुल क्योंकि वे Apple की समीक्षा प्रक्रिया पर विश्वास करते हैं। वह गलतफहमी किए गए विश्वास उन्हें एक विशिष्ट श्रेणी के हमले के लिए एक नरम लक्ष्य बनाता है — ऐप्स जो प्रकाशन के हफ्तों या महीनों बाद सामान्य रूप से व्यवहार करते हैं, फिर एक सर्वर-पक्ष कॉन्फिगरेशन अपडेट प्राप्त करते हैं जो एक बार सक्रिय करते हैं वे प्रारंभिक समीक्षा विंडो को साफ कर देते हैं दुर्भावनापूर्ण व्यवहार। Apple की समीक्षकें केवल जो ऐप सबमिशन के समय करता है उसका मूल्यांकन कर सकते हैं।

Google Play Protect, इस बीच, यहाँ तक कि एक ऐप स्वीकृत और स्वीकृत किए जाने के बाद भी निरंतर डिवाइस पर स्कैनिंग चलाते हैं। यह चल रहा निगरानी दिन-प्रतिदिन संरक्षण में एक अर्थपूर्ण आर्किटेक्चरल अंतर है, भले ही Android पर प्रकाशित करने के लिए प्रारंभिक बाधा प्रदर्शनीय रूप से कम है।

न तो प्लेटफॉर्म गारंटी है। वे गति कम, दीवारें नहीं हैं।

त्वरित पूर्व-इंस्टॉल चेकलिस्ट

कोई भी ऐप इंस्टॉल करने से पहले यह चलाएँ जो संवेदनशील डेटा को संभालेगा — बैंकिंग, स्वास्थ्य रिकॉर्ड, संदेश भेजना, पासवर्ड, या कुछ भी लॉगिन क्रेडेंशियल की आवश्यकता है।

1. ऐप के नाम को "malware" या "scam" के साथ खोजें — 30 सेकंड की ड्यूटी जो अधिकांश लोग पूरी तरह छोड़ देते हैं।
2. डेवलपर का नाम सत्यापित करें कि यह संगठन से मेल खाता है जिसकी आप अपेक्षा करते हैं, स्टोर के बाहर से।
3. पुष्टि करें कि डेवलपर के पास अन्य प्रकाशित ऐप्स हैं और एक खाता कुछ हफ्तों से पुराना है।
4. डाउनलोड टैप करने से पहले अनुमतियों सूची को पढ़ें — Android पर, यह स्टोर लिस्टिंग में "ऐप अनुमतियों" के तहत कुछ भी इंस्टॉल किए बिना दृश्यमान है।
5. 1-सितारा समीक्षाओं को गोपनीयता उल्लंघन, अप्रत्याशित शुल्क, या डेटा चोरी दावों के आसपास पैटर्न के लिए स्कैन करें।
6. "अंतिम अपडेट" दिनांक की जाँच करें — कुछ भी सुरक्षा से संबंधित 18+ महीने के लिए अस्पर्श ऊँची जोखिम लेता है।
7. गोपनीयता नीति लिंक का पालन करें और उद्घाटन पैराग्राफ को पढ़ें — यह लोड होता है यह देखें, यह विशिष्ट डेटा साथी नामों को देखें।
8. डाउनलोड-से-समीक्षा अनुपात का ऑडिट करें — 150 समीक्षाओं के साथ 5 मिलियन डाउनलोड वाला एक नया ऐप लगभग निश्चित रूप से फुला हुआ संख्या है।
9. वित्तीय या स्वास्थ्य ऐप्स के लिए: आधिकारिक संगठन की वेबसाइट से शुरू करें, स्टोर के खोज परिणामों से नहीं।
10. इंस्टॉल के बाद, अपने डिवाइस की सिस्टम सेटिंग्स में अनुमतियों की समीक्षा करें और किसी भी चीज को रद्द करें जो एक स्पष्ट फ़ंक्शन की सेवा नहीं करती — Android पर, Settings → Privacy → Permission Manager पर जाएँ; iOS पर, Settings → Privacy & Security।

स्रोत और आगे की पढ़ाई

Kaspersky Threat Intelligence Portal — त्रैमासिक मोबाइल खतरे रिपोर्ट प्रकाशित करता है जिसमें प्लेटफॉर्म, भूगोल, और मैलवेयर परिवार द्वारा संगठित वास्तविक पहचान गणना है। वर्तमान Android मैलवेयर मात्रा सांख्यिकी और प्रवृत्ति डेटा के लिए प्राथमिक स्रोत।

Google Play Store पारदर्शिता रिपोर्ट — Google Play से हटाए गए ऐप्स, श्रेणी द्वारा हटाने के कारण, और कुल Play Protect स्कैन सांख्यिकी का वार्षिक विवरण। प्राथमिक स्रोत, सीधे Google से।

Apple Platform Security Guide — App Store समीक्षा प्रक्रिया, नोटराइजेशन आवश्यकताओं, और डिवाइस-पर सुरक्षा आर्किटेक्चर पर Apple की अपनी दस्तावेज़। सबमिशन बनाम रनटाइम पर Apple की समीक्षा कवर करता है यह समझने के लिए उपयोगी।

FTC उपभोक्ता जानकारी (consumer.ftc.gov) — मोबाइल ऐप घोटाले, अनुमानित सदस्यता शुल्क, और धोखाधड़ी वाले ऐप्स की रिपोर्ट कैसे करें पर व्यावहारिक मार्गदर्शन। सामान्य उपभोक्ताओं के लिए लिखा गया, तकनीकी दर्शकों के लिए नहीं।

Zimperium Global Mobile Threat Report — मोबाइल-विशिष्ट खतरे, फिशिंग लक्ष्यीकरण दरें, और iOS और Android में भेद्यता प्रवृत्तियों पर वार्षिक उद्योग विश्लेषण। एक मोबाइल सुरक्षा फर्म द्वारा प्रकाशित, इसलिए इसे उस वाणिज्यिक संदर्भ के साथ पढ़ें, लेकिन अंतर्निहित डेटा लगातार अच्छी तरह से उद्धृत है।