Odkryto ponad dwanaście aplikacji złośliwych o nazwie SpyLoan na Google Play, które zostały pobrane ponad 12 milionów razy. Te aplikacje są również dostępne w innych sklepach i na podejrzanych stronach internetowych. SpyLoan kradnie dane osobowe z urządzeń, w tym listę kont, informacje o urządzeniu, logi połączeń, zainstalowane aplikacje, wydarzenia z kalendarza, szczegóły lokalnych sieci Wi-Fi oraz metadane z obrazów. Zagrożenie to dotyczy również listy kontaktów, danych lokalizacyjnych i wiadomości tekstowych.
Aplikacje SpyLoan pojawiały się po raz pierwszy w 2020 roku, ale stały się bardziej powszechne zarówno w systemach Android, jak i iOS w ostatnich latach. Według ESET, kanały dystrybucji obejmują fałszywe strony internetowe, oprogramowanie w sklepach z aplikacjami innych firm oraz Google Play. Wykrycia SpyLoan znacznie wzrosły w 2023 roku, a zagrożenie jest szczególnie widoczne w Meksyku, Indiach, Tajlandii, Indonezji, Nigerii, na Filipinach, w Egipcie, Wietnamie, Singapurze, Kenii, Kolumbii i Peru.
Aby przeniknąć do Google Play, aplikacje te są zgłaszane z zgodnymi politykami prywatności, spełniają wymagane standardy KYC (know your customer) i mają przejrzyste żądania uprawnień. Wiele z nich to jednak oszustwa, które linkują do stron będących kalkami prawdziwych firmowych witryn, co ma na celu stworzenie fałszywego poczucia autentyczności.
SpyLoan podszywa się pod legalne usługi finansowe oferujące “szybki i łatwy dostęp do środków”, ale w rzeczywistości oszukuje użytkowników, zmuszając do akceptacji pożyczek z wysokim oprocentowaniem, a następnie szantażuje ofiary, żądając zwrotu pieniędzy.
Firma ESET podkreśla, że te aplikacje technicznie spełniają wymogi posiadania polityki prywatności, ale ich praktyki wykraczają poza zakres zbierania danych niezbędnych do świadczenia usług finansowych i spełniania standardów KYC. W rzeczywistości celem tych uprawnień jest szpiegowanie użytkowników tych aplikacji oraz nękanie i szantażowanie ich oraz ich kontaktów.
Aby bronić się przed zagrożeniem SpyLoan, należy ufać tylko ustanowionym instytucjom finansowym, dokładnie przeglądać żądane uprawnienia podczas instalowania nowej aplikacji oraz czytać recenzje użytkowników w Google Play, które często zawierają wskazówki na temat oszukańczego charakteru aplikacji.
