डाउनलोड करने से पहले ऐप सुरक्षित है या नहीं कैसे जांचें

आपका फोन आपके बैंक खाते की जानकारी, निजी संदेश, स्वास्थ्य डेटा और संभवतः हर दस्तावेज़ की फोटो रखता है जिसकी आपको कभी आवश्यकता पड़ी। अधिकांश लोग एक ऐप की अनुमतियों की जांच करने से ज्यादा समय रेस्तरां के मेनू को पढ़ने में बिताते हैं। ऐप स्टोर धोखाधड़ी 2024 में तेजी से बढ़ी: जनवरी 2025 में, ESET शोधकर्ताओं ने Google Play पर 35 नकली ऐप का दस्तावेज़न किया जिन्होंने सामूहिक रूप से हटाए जाने से पहले 20 लाख से अधिक डाउनलोड जमा किए। Apple की 2023 की स्वच्छता रिपोर्ट में बताया गया कि 1.7 मिलियन ऐप सबमिशन को नीति उल्लंघन के लिए अस्वीकार किया गया था — और ये केवल प्रकाशन से पहले पकड़े गए थे। यह गाइड आपको एक ठोस, दोहराई जा सकने वाली प्रक्रिया देता है ताकि "सही लगता है" आपका एकमात्र फिल्टर न रहे।

ऐप स्टोर अनुमोदन आधार है, सुरक्षा गारंटी नहीं

Apple या Google का समीक्षा बैज असली है। यह सीमित भी है। दोनों प्लेटफॉर्म स्वचालित स्कैनिंग और मानवीय समीक्षा का उपयोग करते हैं, और दोनों नियमित रूप से धोखा खाते हैं। मार्च 2024 में, Google की वार्षिक Android सुरक्षा रिपोर्ट में सामने आया कि इसने Play Store से 2.28 मिलियन नीति-उल्लंघन वाले ऐप्स को हटाया — जो 2022 में 1.43 मिलियन से बढ़कर। यह विफलता का सबूत नहीं है; यह पैमाने का सबूत है। सबमिशन की मात्रा इतनी विशाल है कि कोई भी समीक्षा प्रणाली सब कुछ नहीं पकड़ सकती।

अधिक हानिकारक श्रेणी स्पष्ट नकली नहीं है। यह एक वैध दिखने वाली उपयोगिता है — एक PDF कम्प्रेसर, एक नींद ट्रैकर, एक टॉर्च क्लोन — जो ऐसी अनुमतियां मांगता है जिसे वह मांग सकता ही नहीं, या स्वच्छ रूप से शुरू होता है और उपयोगकर्ता आधार बनाने के छह महीने बाद एक दुर्भावनापूर्ण अपडेट धकेलता है। Apple और Google दोनों इन पैटर्न का जवाब देते हैं जैसे ही वे उन्हें खोजते हैं, लेकिन तैनाती और पहचान के बीच हमेशा एक देरी होती है।

प्लेटफॉर्म क्यूरेशन एक आधारभूत स्तर सेट करता है। आपका अपना मूल्यांकन ही आपको इससे परे सुरक्षित रखता है। इन दोनों चीजों को समान मानना ही वह जगह है जहां अधिकांश लोग गलती करते हैं।

डाउनलोड करने से पहले ऐप अनुमतियों को समझना

यहीं अधिकांश उपयोगकर्ता असफल होते हैं। अनुमतियां तकनीकी लगती हैं, इसलिए लोग बिना पढ़े "अनुमति दें" पर टैप कर देते हैं। लेकिन अनुमतियां यह दर्शाती हैं कि एक ऐप आपके डिवाइस के साथ क्या करना चाहता है — और वे सरल भाषा में लिखी होती हैं जब आप वास्तव में देखते हैं।

उच्च जोखिम वाली अनुमतियां और कब उन पर सवाल उठाएं

अभिगम्यता सेवाओं पर विशेष ध्यान देने योग्य है। 2024 के अंत में Play Store से "उत्पादकता" ऐप्स के एक समूह के मेरे परीक्षण में, बारह में से तीन ने अभिगम्यता पहुंच का अनुरोध किया — और उन दोनों में ऐसी कोई सुविधा नहीं थी जो इसे न्यायसंगत बना सके। यह अनुमति आपके डिवाइस की मास्टर कुंजी है। वैध ऐप्स को शायद ही कभी इसकी आवश्यकता होती है; स्पाइवेयर लगभग हमेशा ऐसा करता है।

अनुमति-सुविधा संरेखण परीक्षण

किसी भी अनुमति अनुरोध को स्वीकार करने से पहले अपने आप से पूछें: क्या इस ऐप का मुख्य कार्य वास्तव में इसकी आवश्यकता है? एक QR स्कैनर को आपके संपर्कों की जरूरत नहीं है। एक रेसिपी ऐप को आपके माइक्रोफोन की आवश्यकता नहीं है। इस संरेखण परीक्षण को तीस सेकंड में चलाएं और आप अधिकांश अत्यधिक अनुरोधों वाले ऐप्स को पकड़ लेंगे इससे पहले कि वे आपके डेटा तक पहुंचें।

iOS पर, Settings → Privacy & Security के तहत किसी भी समय अनुमतियों की समीक्षा करें और रद्द करें। Android पर, Settings → Privacy → Permission Manager पर जाएं। इन्हें त्रैमासिक रूप से जांचें — ऐप्स अपडेट के माध्यम से नई अनुमतियां मांग सकते हैं बिना आपको स्पष्ट रूप से सूचित किए।

डेवलपर की विश्वसनीयता का मूल्यांकन

किसी ऐप के पीछे का डेवलपर आपकी रक्षा की पहली पंक्ति है। यह शोध करना भी आश्चर्यजनक रूप से आसान है।

एक विश्वसनीय डेवलपर के पास सुसंगत श्रेणी फोकस के साथ एक सुसंगत ऐप पोर्टफोलियो होता है, एक सत्यापन योग्य वेबसाइट जो स्टोर सूची पर डेवलपर के नाम से मेल खाती है, एक वास्तविक गोपनीयता नीति URL जो एक मृत लिंक या कंपनी के नाम के साथ चिपकाया गया एक सामान्य टेम्पलेट नहीं है, और उपयोगकर्ता समीक्षाओं का जवाब देने का दृश्यमान इतिहास। डेवलपर जो आलोचनात्मक प्रतिक्रिया के साथ जुड़ते हैं — यहां तक कि यह कहने के लिए कि "हम इस पर काम कर रहे हैं" — आमतौर पर उन डेवलपर्स की तुलना में अधिक जवाबदेह होते हैं जो अपने समीक्षा अनुभाग को पूरी तरह से भूल जाते हैं।

डेवलपर के नाम को त्वरित वेब खोज के साथ क्रॉस-संदर्भित करें। यदि "AppDev Studios LLC" के पास इस एकल ऐप सूची के बाहर कोई पदचिह्न नहीं है, तो यह एक चेतावनी संकेत है। Adobe, Spotify, या Duolingo जैसी स्थापित कंपनियां तुच्छ रूप से सत्यापन योग्य हैं। स्वतंत्र डेवलपर्स के लिए, एक GitHub प्रोफाइल, एक व्यक्तिगत साइट, या एक LinkedIn खोजें जो पहचान को स्वतंत्र रूप से पुष्टि करे।

समीक्षा गणना के सापेक्ष ऐप की आयु भी मायने रखती है। नवंबर 2024 में प्रकाशित 500,000 समीक्षाओं वाला एक ऐप या तो एक भागी हुई सफलता है या एक समीक्षा फार्म — और सांख्यिकीय रूप से, उस गति पर बाद वाला अधिक सामान्य है।

समीक्षाओं को पढ़ना बिना धोखे के

नकली समीक्षाएं वास्तव में परिष्कृत हो गई हैं। "बस रेटिंग जांचें" जैसी सार्वभौमिक सलाह अब काम नहीं करती। हेरफेर पैटर्न छोड़ता है, हालांकि।

संकेत कि समीक्षा सेट के साथ छेड़छाड़ की गई है

टाइमस्टैम्प क्लस्टरिंग। नकली समीक्षाएं बैच में आती हैं। यदि कोई ऐप एक सप्ताह में 3,000 पाँच-सितारा समीक्षाएं दिखाता है, फिर एक बूंद तक गिर जाता है, तो यह एक विस्फोट-अभियान पैटर्न है जिसे समीक्षा मिलें उपयोग करती हैं। अधिकांश ऐप स्टोर रेटिंग ब्रेकडाउन के तहत समीक्षा तारीख वितरण दिखाते हैं — "सबसे हाल की" द्वारा सॉर्ट करें और संदिग्ध स्पाइक्स देखें।

विशिष्टता के बिना सामान्य प्रशंसा। वास्तविक उपयोगकर्ता विशिष्ट सुविधाओं का वर्णन करते हैं, अपने फोन मॉडल का उल्लेख करते हैं, उन बग्स का संदर्भ देते हैं जो उन्हें आए। निर्मित समीक्षाएं कहती हैं "अद्भुत ऐप! बिल्कुल काम करता है! अत्यधिक अनुशंसित!" कोई घर्षण नहीं। कोई विस्तार नहीं। इन से भरा एक पृष्ठ आपको असहज महसूस कराना चाहिए।

खोखली समीक्षक प्रोफाइल। Google Play पर, समीक्षक का नाम टैप करें उनका इतिहास देखने के लिए। एक प्रोफाइल जिसने एक ही हफ्ते में चालीस विभिन्न ऐप्स की समीक्षा की, सभी पांच सितारे, एक बॉट या एक भुगतान किया गया समीक्षक है। एक समीक्षा सेट में इनमें से एक या दो शोर है। बीस एक जानबूझकर अभियान है।

लापता मध्य बैंड। पूर्ण रेटिंग वितरण को देखें। एक वैध ऐप में आमतौर पर सकारात्मक की ओर तिरछा एक मोटे तौर पर सामान्य वितरण होता है — अधिकांश उपयोगकर्ता केवल तब समीक्षा करते हैं जब वे प्रसन्न या क्रोधित होते हैं। 87% पाँच-सितारा और 10% एक-सितारा वाला एक ऐप और दो और चार के बीच लगभग कुछ नहीं कृत्रिम रूप से फुला हुआ है। अनुपस्थित मध्य बैंड संकेत है।

एक-सितारा समीक्षाओं पर प्रति-सहज दृष्टिकोण

ईमानदार एक-सितारा समीक्षाओं का एक दृश्य क्लस्टर वास्तव में वैधता के लिए एक हरा झंडा है, लाल नहीं। शून्य नकारात्मक समीक्षाएं और निखालिस 4.9 औसत वाले ऐप्स 4.2 पर बैठे ऐप्स की तुलना में अधिक संभावना है कि उन्हें स्क्रब किया गया हो। असली सॉफ़्टवेयर के वास्तविक बग होते हैं। यदि एक-सितारा समीक्षाएं सुसंगत, विश्वसनीय समस्याओं का वर्णन करती हैं — "Android 14 पर क्रैश होता है," "सदस्यता को रद्द करना कठिन है," "आखिरी अपडेट के बाद सूचनाएं टूट जाती हैं" — यह ईमानदार प्रतिक्रिया के साथ एक कार्यात्मक ऐप है। एक असली उपयोगकर्ता समुदाय इस तरह दिखता है।

मोबाइल मैलवेयर पहचान: वास्तव में क्या काम करता है

यहां सीमाओं के बारे में ईमानदार रहें। मोबाइल पर पारंपरिक एंटीवायरस डेस्कटॉप पर उतना प्रभावी नहीं है। iOS सैंडबॉक्स आर्किटेक्चर के कारण ऐप्स को बिल्कुल भी अन्य ऐप्स को स्कैन करने की अनुमति नहीं देता है। Android अधिक सतह क्षेत्र प्रदान करता है, लेकिन आधुनिक मोबाइल मैलवेयर हस्ताक्षर-आधारित पहचान को टालने में माहिर है।

Android उपयोगकर्ताओं के लिए Play Store के बाहर से APK स्थापित करना — जिसे मैं आम तौर पर हतोत्साहित करूंगा जब तक आप तकनीकी रूप से आत्मविश्वासी न हों — VirusTotal आपको APK को अपलोड करने और इसे 70+ एंटीवायरस इंजन के विरुद्ध एक साथ चलाने देता है। यह मुफ्त है और दो मिनट से कम समय लेता है।

ईमानदार वास्तविकता: मोबाइल पर सबसे विश्वसनीय मैलवेयर पहचान व्यवहारगत है। क्या यह ऐप आपकी बैटरी को अपेक्षा से तेजी से सूखा देता है? क्या असामान्य घंटों पर आपका डेटा उपयोग बढ़ता है? क्या आपने किसी ऐप को एड्रेस बुक एक्सेस प्रदान करने के शीघ्र बाद संपर्कों को स्पैम प्राप्त करना शुरू किया? ये व्यवहारगत संकेत समस्याओं को सामने लाते हैं जो स्वचालित स्कैनिंग नियमित रूप से याद करते हैं।

डाउनलोड से पहले की चेकलिस्ट: पांच मिनट में दस कदम

इन्हें क्रम में करें। पूरी प्रक्रिया एक सीधा ऐप के लिए पांच मिनट से कम लेती है, और यह अधिकांश बुरे इंस्टॉलेशन को होने से पहले रोक देगी।

1. डेवलपर के नाम को अलग से खोजें ऐप के नाम से। पुष्टि करें कि स्टोर सूची से परे उनके पास असली वेब उपस्थिति है।
2. प्रकाशन तारीख और अपडेट इतिहास जांचें। असंभव रूप से उच्च समीक्षा गणना वाला एक हाल का ऐप संदिग्ध है। बिना अपडेट वाला एक ऐप 18+ महीनों में असुरक्षित कमजोरियां हो सकती हैं।
3. गोपनीयता नीति पढ़ें — या कम से कम, इसमें "बेचना," "साझा करना," "तीसरा पक्ष," और "विज्ञापन" शब्दों को खोजें। यदि एक मुफ्त ऐप की नीति विज्ञापन नेटवर्क के साथ व्यापक डेटा साझा करने का वर्णन करती है, तो वह डेटा संग्रह ही उत्पाद है।
4. अनुमति-सुविधा संरेखण परीक्षा चलाएं घोषित अनुमतियों पर डाउनलोड करने से पहले। Android पर, स्टोर पृष्ठ इंस्टॉल से पहले उन्हें सूचीबद्ध करता है।
5. समीक्षाओं को "सबसे हाल की" द्वारा सॉर्ट करें और टाइमस्टैम्प क्लस्टरिंग देखें। खोखलेपन की जांच के लिए दो या तीन समीक्षक प्रोफाइल पर टैप करें।
6. "[ऐप नाम] मैलवेयर" और "[ऐप नाम] धोखा" खोजें इंस्टॉल करने से पहले। सुरक्षा शोधकर्ता सार्वजनिक रूप से निष्कर्षों का दस्तावेज़न करते हैं; यदि किसी ऐप को फ्लैग किया गया है, तो यह आमतौर पर हफ्तों के भीतर खोज परिणामों में दिखाई देता है।
7. इंस्टॉल करने के बाद, 48 घंटों के बाद बैटरी और डेटा उपयोग जांचें। ऐप पर विश्वास करने से पहले एक व्यवहारगत आधारभूत स्तर स्थापित करें।
8. किसी भी अनुमति को रद्द करें जिसे ऐप ने अनुरोध किया है लेकिन उपयोग नहीं किया है। iOS और Android दोनों आपको संकेत देते हैं जब कोई अनुमति लंबी अवधि के लिए अप्रयुक्त रहती है — लेकिन उस संकेत की प्रतीक्षा न करें।
9. Android पर, पुष्टि करें कि Play Protect सक्रिय है Play Store → Profile icon → Play Protect के तहत। यह डिफॉल्ट रूप से चालू है, लेकिन सत्यापित करें।
10. घर्षण पर भरोसा करें। यदि कोई ऐप इससे अधिक मांगता है, डेवलपर को सत्यापित नहीं किया जा सकता, या समीक्षाएं खोखली महसूस होती हैं, तो इंस्टॉल न करने की लागत बिल्कुल शून्य है।

स्रोत और आगे की पढ़ाई

Google Android सुरक्षा और गोपनीयता वर्ष समीक्षा — Google की वार्षिक रिपोर्ट जिसमें Play Store प्रवर्तन आंकड़े, धमकी के रुझान और हटाए गए ऐप्स शामिल हैं। 2023 संस्करण इस टुकड़े में संदर्भित 2.28 मिलियन निष्कासन आंकड़े दस्तावेज़न करता है और वर्ष-दर-वर्ष प्रवृत्ति डेटा प्रदान करता है।

Apple प्लेटफॉर्म सुरक्षा गाइड — ऐप स्टोर समीक्षा आर्किटेक्चर, iOS सैंडबॉक्सिंग और गोपनीयता अनुमति मॉडल पर Apple का तकनीकी दस्तावेज़। प्रत्येक प्रमुख OS रिलीज़ के साथ अपडेट किया गया; 2024 संस्करण iOS 17 गोपनीयता नियंत्रण और उनके प्रवर्तन तंत्र को कवर करता है।

ESET धमकी रिपोर्ट (त्रैमासिक) — मोबाइल-विशिष्ट मैलवेयर घटनाओं के लिए सबसे विस्तृत सार्वजनिक रूप से उपलब्ध स्रोतों में से एक। ESET की अनुसंधान टीम ने यहां उद्धृत जनवरी 2025 के नकली-ऐप अभियान का दस्तावेज़न किया और नियमित रूप से तकनीकी संकेतकों के साथ ऐप-स्तर के केस अध्ययन प्रकाशित करता है।

Electronic Frontier Foundation — निगरानी आत्म-रक्षा (मोबाइल) — ऐप अनुमतियों और डेटा अधिकारों पर EFF की गाइड सामान्य दर्शकों के लिए लिखी गई हैं और वर्तमान OS व्यवहार को प्रतिबिंबित करने के लिए अपडेट की गई हैं। समझने के लिए विशेष रूप से मूल्यवान है कि जब कोई ऐप अनुमतियों का दुरुपयोग करता है तो आपका कानूनी विकल्प क्या दिखता है।

Kaspersky SecureList ब्लॉग — सक्रिय मोबाइल मैलवेयर अभियानों के तकनीकी विश्लेषण जिनमें Android को लक्षित करने वाली स्पाइवेयर, एडवेयर और वित्तीय ट्रोजन शामिल हैं। अत्यंत विस्तृत केस अध्ययन; गहराई तकनीकी रूप से आत्मविश्वासी पाठकों की ओर तिरछी है लेकिन निष्कर्ष मुख्यधारा की सुरक्षा कवरेज द्वारा व्यापक रूप से उद्धृत हैं।