Een vervalste WhatsApp-app is in de Google Play Store meer dan 500.000 keer gedownload voordat Google ingreep. De makers maakten waarschijnlijk misbruik van het Early Access-programma. Kort daarvoor dook al een neppe Chrome-app op die 100.000 downloads behaalde.
Wie de afgelopen weken in de Play Store naar WhatsApp zocht, kon zomaar bij de verkeerde app uitkomen. Een kopie van de berichtendienst kwam op meer dan een half miljoen downloads uit voordat Google de applicatie verwijderde. Volgens The Verge stond de nep-app al sinds september 2026 in de winkel.
Van het origineel was de vervalsing nauwelijks te onderscheiden. Naam, logo, screenshots en beschrijving waren allemaal van de echte app overgenomen. Alleen de naam van de ontwikkelaar klopte niet. In plaats van WhatsApp LLC stond er ‘Agment Assets sallu’. En dat was niet alles. Bij een deel van de gebruikers verscheen de nep-app als gesponsord zoekresultaat, waardoor hij zelfs boven de officiële WhatsApp-app werd gepositioneerd.
Wat het uiteindelijke doel van de makers was, blijft vooralsnog onduidelijk. Mogelijk ging het om malwareverspreiding of het kapen van inloggegevens, maar het kan evengoed een poging zijn geweest om snel geld te verdienen via agressieve advertentienetwerken. Ook een proof-of-concept om te testen hoe ver een malafide ontwikkelaar binnen de Play Store kan gaan, kan niet worden uitgesloten.
Lees ook: WhatsApp mikt op zakelijke meetings als online vergadertool
Geen reviews, dus geen waarschuwingen
De makers lijken gebruik te hebben gemaakt van het Early Access-programma van Google Play. Dat programma is bedoeld om ontwikkelaars hun apps te laten testen voordat ze officieel uitkomen. Daarbij komt nog een ding, waardoor nieuwe gebruikers niet door hadden dat het om een neppe versie ging. Bij zulke testversies van apps zijn gebruikersbeoordelingen namelijk niet beschikbaar.
Precies dat speelde de makers in de kaart. Gebruikers die erin trapten, konden geen negatieve recensies achterlaten om anderen te waarschuwen. Zo bleef de app langere tijd onopgemerkt.
Ook neppe Chrome-app
Het is niet het eerste geval van deze maand. Enkele dagen eerder kwam een vervalste Google Chrome-app aan het licht die ruim 100.000 keer was gedownload. Die app verscheen in augustus nog als game onder de naam Ball Bounce. Eind september veranderde de maker de naam en het icoon in die van Chrome. In werkelijkheid ging het om een berichten-app met avatars en geautomatiseerde reacties. Google haalde de app op 14 oktober offline.
Nepapps in de Play Store zijn overigens geen nieuw verschijnsel. Maandelijks worden er tientallen apps uit de appwinkel verwijderd door Google, iets wat Apple ook doet bij hun App Store.
Strengere regels voor ontwikkelaars
Opvallend genoeg komen de incidenten op een moment dat Google het Android-ecosysteem verder dichttimmert. Zo voert het bedrijf verplichte ontwikkelaarsverificatie in voor alle Android-apps, ook voor apps die buiten de Play Store worden verspreid. Google stelt dat malware vaker via rechtstreeks gedownloade apps wordt verspreid dan via Google Play. De eerste fase ging op 30 september van start in Indonesië, Singapore en Thailand. Wereldwijde invoering staat vanaf 2027 gepland.