CERT Polska: reklamy Mety prowadziły do 17 złośliwych aplikacji
Fałszywe ostrzeżenia na Facebooku odsyłały do oficjalnego sklepu Google. Zainstalowane tam programy mogły po cichu obciążać rachunek telefonu.
CERT Polska opisał we wrześniu kampanię, w której 852 reklamy na platformach Mety kierowały użytkowników do 17 złośliwych aplikacji w Google Play. Reklamy publikowano pod 60 nazwami profili. Aplikacje łączył wspólny kod lub infrastruktura. W sumie zespół zabezpieczył 1 235 reklam. Szczegóły zawiera analiza CERT Polska (otwiera się w nowej karcie).
Analiza zaczęła się od dwóch reklam skierowanych do polskich użytkowników Facebooka. Ostrzegały one o rzekomym wygaśnięciu aplikacji do obsługi plików PDF. Po kliknięciu prowadziły jednak do komunikatora Messenger Pro, który nie miał nic wspólnego z plikami PDF. Pozostałe aplikacje udawały m.in. komunikatory i proste narzędzia użytkowe.
Messenger Pro rzeczywiście działał jako komunikator. Ustawiony jako domyślna aplikacja do wiadomości dostawał dostęp do SMS-ów. Złośliwy kod używał tego dostępu do zamawiania płatnych usług na dwa sposoby. Pierwszym były SMS-y Premium, czyli wiadomości z podwyższoną opłatą. W jednym z opisanych przypadków jeden SMS kosztował 30,75 zł. Drugim był Direct Carrier Billing, czyli płatność doliczana do rachunku u operatora albo pobierana z salda. W jednym z przypadków usługa kosztowała 17 zł co siedem dni.
W bardziej zaawansowanym wariancie aplikacja mogła sama rozpoznać operatora i otworzyć w tle stronę płatności. Mogła też wpisać numer telefonu, przechwycić kod weryfikacyjny z SMS-a i potwierdzić zakup, a użytkownik nie widział ani strony płatności, ani wiadomości z kodem.
Kamil Sadkowski, analityk cyberzagrożeń w ESET, zwrócił uwagę w komentarzu przytoczonym przez ITwiz, że uprawnienia aplikacji zgadzały się z jej deklarowaną funkcją:
Dlatego warto patrzeć nie tylko na pojedyncze uprawnienie, ale też na całą historię: dlaczego instalujemy aplikację, skąd do niej trafiliśmy i czy rzeczywiście sami jej szukaliśmy
Google usunęło zgłoszone aplikacje ze sklepu, a Meta zablokowała wskazane reklamy. Programy zainstalowane wcześniej pozostają jednak na telefonach. Zaleca się sprawdzenie listy aplikacji i ich uprawnień oraz przejrzenie rachunku pod kątem nieznanych opłat. Można też zablokować u operatora usługi Premium Rate i płatności Direct Carrier Billing.
To nie pierwszy taki przypadek w Google Play. W maju 2026 ESET wykrył tam 28 oszukańczych aplikacji z rodziny CallPhantom, pobranych ponad 7,3 mln razy. Wcześniej opisał 18 aplikacji SpyLoan, które podszywały się pod programy pożyczkowe i miały łącznie ponad 12 mln pobrań.
Ten sam mechanizm może dotyczyć służbowych telefonów z Androidem. Przy numerach firmowych o blokadzie płatnych usług u operatora decyduje abonent, czyli zwykle firma.