สรุปสั้น
ผู้ไม่หวังดีกำลังใช้โครงการ Early Access ของ Google Play ในทางที่ผิด เพื่อปล่อยแอปหลอกลวงที่อ้างว่าจะให้เงิน ให้รางวัล เงินรางวัลจากคาสิโน และเนื้อหาระดับพรีเมียม โดยแอปในโครงการนี้คือแอปที่ยังไม่ถูกปล่อยลงตลาดแอปทางการของแอนดรอยด์ และแนวคิดตั้งต้นของโครงการก็คือการเปิดให้นักพัฒนาขอความเห็นจากผู้ใช้ต่อแอปหรือฟีเจอร์ใหม่ก่อนปล่อยจริง แต่คุณสมบัติหนึ่งที่ต้องขีดเส้นใต้คือผู้ใช้ไม่สามารถเขียนรีวิวสาธารณะหรือให้คะแนนดาวกับแอปที่อยู่ใน Early Access ได้
ช่องนี้เองที่เปิดทางให้เกิดการใช้ในทางที่ผิดรูปแบบใหม่ ซึ่งคนร้ายดันแอป Early Access นับพันตัวที่มีเนื้อหาหลอกลวง ทั้งเกมคาสิโนปลอม แอปแจกรางวัล แอปอรรถประโยชน์ที่ทำให้เข้าใจผิด และแอปที่อาจละเมิดเครื่องหมายการค้าของบุคคลที่สาม โดยหนึ่งในตัวอย่างที่ถูกระบุคือเกมเลียนแบบ Grand Theft Auto ชื่อ “Vice Streets: Open World” ซึ่งมียอดดาวน์โหลดมากกว่า 1 ล้านครั้งทั้งที่ไม่มีรีวิวหรือคะแนนใด ๆ เลย บริษัท Bitdefender สรุปประเด็นไว้ว่าคุณสมบัติเดียวกันที่ปกป้องนักพัฒนาจากคำวิจารณ์ที่ไม่เป็นธรรม ก็เป็นคุณสมบัติที่พรากสัญญาณเตือนแรกสุดไปจากผู้ใช้ว่าแอปตัวนี้เชื่อถือไม่ได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 10 กันยายน 2569 ว่า ผู้ไม่หวังดีกำลังใช้โครงการ Early Access ของ Google Play ในทางที่ผิด เพื่อผลักดันแอปที่มีเนื้อหาหลอกลวงซึ่งอ้างว่าจะให้เงินสด ของรางวัล เงินรางวัลจากคาสิโน และเนื้อหาระดับพรีเมียม โดยแอปในหมวด Early Access หมายถึงแอปที่ยังไม่ถูกปล่อยลงตลาดแอปทางการของแอนดรอยด์ และเจตนาหลักของโครงการคือการให้นักพัฒนารวบรวมความเห็นจากผู้ใช้ต่อแอปพลิเคชันหรือฟีเจอร์ใหม่ที่กำลังพัฒนาอยู่ก่อนปล่อยออกมาจริง
ประเด็นที่ควรเน้นคือผู้ใช้ไม่สามารถทิ้งรีวิวสาธารณะหรือให้คะแนนดาวกับแอปที่อยู่ใน Early Access ได้ ซึ่งเปิดประตูสู่การใช้ในทางที่ผิดแบบใหม่ที่คนร้ายดันแอปในโครงการนี้ออกมานับพันตัว ทั้งเกมคาสิโนปลอม แอปแจกรางวัล แอปอรรถประโยชน์ที่ทำให้เข้าใจผิด และแอปที่อาจละเมิดเครื่องหมายการค้าของผู้อื่น หนึ่งในแอปที่ถูกระบุตัวคือเกมเลียนแบบ Grand Theft Auto ชื่อ “Vice Streets: Open World” (ชื่อแพ็กเกจ APK คือ com.gamblechaos.withfriends.game) ที่มียอดดาวน์โหลดมากกว่า 1 ล้านครั้ง ทั้งที่เกมนี้ไม่มีรีวิวหรือคะแนนเลยแม้แต่รายการเดียว ปัจจุบันเกมดังกล่าวไม่มีให้ดาวน์โหลดบน Google Play Store แล้ว แต่ยังไม่ชัดเจนว่าถูกถอดโดย Google หรือโดยผู้อัปโหลดเอง
บริษัท Bitdefender ระบุในแถลงการณ์ว่า “คุณสมบัติเดียวกันที่ปกป้องนักพัฒนาจากคำวิจารณ์ที่ไม่เป็นธรรม ก็เป็นสิ่งที่พรากสัญญาณเตือนแรกสุดไปจากผู้ใช้ว่าแอปตัวหนึ่งเชื่อถือไม่ได้” เพราะเมื่อผู้ใช้ไม่สามารถเขียนรีวิวเชิงวิจารณ์หรือให้คะแนนต่ำได้ สัญญาณความน่าเชื่อถือแบบเดิมก็ใช้ไม่ได้อีกต่อไป และทำให้แอปเหล่านี้เติบโตได้ โดยแอปกลุ่มนี้ถูกโปรโมตผ่าน TikTok, Facebook และแพลตฟอร์มโซเชียลมีเดียอื่น ๆ ด้วยโฆษณาปลอมที่รวมถึงวิดีโอซึ่งใช้ดีปเฟกของคนดังที่สร้างด้วยปัญญาประดิษฐ์
บริษัทความมั่นคงไซเบอร์สัญชาติโรมาเนียรายนี้ระบุในรายงานที่แบ่งปันกับ The Hacker News ว่า “รูปแบบที่เกิดซ้ำในบรรดาแอป Early Access ที่น่าสงสัยคือการสัญญาว่าจะให้รางวัลเป็นเงินสด การจ่ายเงินผ่าน PayPal รายได้จากคริปโทเคอร์เรนซี บัตรของขวัญ การหมุนฟรี หรือแจ็กพอตคาสิโน” และอธิบายต่อว่า “แอปพลิเคชันจำนวนมากในกลุ่มนี้อาศัยวงจรการมีส่วนร่วมแบบเดียวกัน ผู้ใช้ติดตั้งแอปหลังจากดูโฆษณาบน TikTok หรือ Facebook พวกเขาอาจได้รับรางวัลเสมือนจำนวนมากแทบจะทันที แต่เมื่อไปถึงเกณฑ์ที่จะถอนเงินได้ ความคืบหน้าจะช้าลงอย่างมาก และเงินรางวัลที่สัญญาไว้จะไม่มีวันมาถึง”
วิธีการหลอกลวงและวงจรรายได้
เป้าหมายปลายทางของแอปกลุ่มนี้คือการสร้างรายได้ที่ไม่ชอบด้วยกฎหมายจากการยิงโฆษณาแล้วยิงอีก โดยผู้ใช้ถูกดึงให้อยู่ในแอปนานที่สุดด้วยคำสัญญาเรื่องรางวัลที่ไม่มีวันได้จริง ส่วนข้อได้เปรียบอีกข้อของแอปแนวคาสิโนที่อยู่ใน Early Access คือทำให้เลี่ยงข้อกำหนดด้านการกำกับดูแลจำนวนมากที่แอปพนันที่ถูกกฎหมายต้องปฏิบัติตามได้
เพื่อหลบเลี่ยงเรื่องใบอนุญาต การจำกัดพื้นที่ให้บริการ และการตรวจสอบอายุผู้ใช้ แอปแนวคาสิโนเหล่านี้จะอำพรางตัวเป็นเกมสล็อตหรือเกมปริศนาแบบเล่นง่าย แล้วถูกโปรโมตอย่างหนักผ่านโฆษณาบนแพลตฟอร์มโซเชียลมีเดียที่พาผู้ใช้ซึ่งไม่ทันระวังไปยังแอป Early Access บน Google Play Store หรือพาไปยังเว็บไซต์การพนันต่าง ๆ โดยตรง ขณะที่การวิเคราะห์เพิ่มเติมชี้ว่าเหยื่อล่อที่ใช้กับแอปกลุ่มนี้ไม่ได้หยุดอยู่แค่เกมคาสิโน สล็อตแมชชีน และแอปแจกรางวัลปลอม แต่ยังรวมถึงโปรแกรมอ่าน PDF เครื่องสแกน QR แอปติดตามโทรศัพท์ แอปอรรถประโยชน์ และเกมที่ใช้ธีมจากเครื่องหมายการค้าของผู้อื่น
บริษัท Bitdefender ระบุด้วยว่า “โครงการ Early Access ของ Google ยังคงเป็นเครื่องมือที่มีคุณค่าสำหรับนักพัฒนาที่ต้องการทดสอบไอเดียใหม่ การนำความเห็นและคะแนนออกไปช่วยปกป้องนักพัฒนาที่สุจริตจากการถล่มรีวิวอย่างไม่เป็นธรรม แต่ก็เป็นการนำหนึ่งในเกราะป้องกันที่แข็งแรงที่สุดของชุมชนต่อซอฟต์แวร์หลอกลวงออกไปด้วยเช่นกัน” ทั้งนี้ The Hacker News ระบุว่าได้ติดต่อไปยัง Google เพื่อขอความเห็นแล้ว และจะอัปเดตเนื้อหาหากได้รับคำตอบ
มัลแวร์แอนดรอยด์ที่โผล่พร้อมกันในช่วงเดียวกัน
การเปิดเผยครั้งนี้เกิดขึ้นพร้อมกับการปรากฏตัวของมัลแวร์หลายตระกูลที่พุ่งเป้าแอนดรอยด์ ได้แก่ Hagaseca ซึ่งเป็นโทรจันเข้าถึงระยะไกลที่แพร่ผ่านโหลดเดอร์ชื่อ THost9 และมีส่วนประกอบที่ทำตัวเป็น worm โดยจะสแกนหาบริการ Android Debug Bridge (ADB) ที่เปิดทิ้งไว้แล้วติดตั้งมัลแวร์เพื่อฝังตัวและควบคุมระยะไกลผ่านการรันเชลล์ การโอนไฟล์ การทำทันเนล และโมดูลที่ดาวน์โหลดเพิ่มได้
ตัวที่สองคือ Mantax Otax ซึ่งเป็นมัลแวร์บนมือถือแบบผสมที่รวมความสามารถของสปายแวร์แบบครบเครื่องเข้ากับฟังก์ชันแรนซัมแวร์ ทำให้ผู้ควบคุมสามารถขโมยข้อมูลอ่อนไหว เข้ารหัสข้อมูลบนแอนดรอยด์รุ่นเก่า (Android 9 หรือเก่ากว่า) และเรียกค่าไถ่ด้วยการล็อกหน้าจอเครื่อง โดยตัวบ่งชี้ด้านภาษาและไฟล์จากเหยื่อบ่งชี้ว่ากิจกรรมนี้พุ่งเป้าไปที่เป้าหมายในอินโดนีเซียเป็นหลัก ส่วนตัวที่สามคือ StreamRat ที่ใช้บริการช่วยการเข้าถึงของแอนดรอยด์และ MediaProjection API ในทางที่ผิดเพื่อควบคุมเครื่องที่ติดเชื้อ แสดงหน้าจอครอบทับ และเก็บเกี่ยวข้อมูลอ่อนไหว โดยพุ่งเป้าผู้ใช้ที่พูดภาษาสเปนผ่านโฆษณาบน Meta และ TikTok เพื่อพาไปยังเว็บไซต์ปลอมที่อำพรางตัวเป็นบริการสตรีมทีวีฟรีชื่อ StreamTV Esp
นอกจากนี้ยังมีการเคลื่อนไหวของกลุ่ม GoldFactory ที่ใช้โทรจันธนาคาร Gigabud ติดตั้งแอปแอนดรอยด์คู่หูชื่อ Vwork ซึ่งเป็นเวอร์ชันดัดแปลงของโครงการ Shelter ที่ถูกทำให้เป็นอาวุธ เพื่อโคลนแอปเป้าหมายไว้ภายในโปรไฟล์งานโดยมีเป้าหมายเป็นการฉ้อโกงทางการเงิน โดยบริษัท Group-IB อธิบายว่า “ด้วยการควบคุมระยะไกลอย่างเต็มรูปแบบ และในกรณีที่เกี่ยวข้องก็มีแอปธนาคารที่ถูกโคลนไว้พร้อม ผู้ควบคุมจะทำธุรกรรมโดยตรงบนโทรศัพท์ของเหยื่อ ขณะที่หน้าจอสีดำบังไม่ให้เห็นว่ากำลังเกิดอะไรขึ้น” พร้อมระบุว่า “สภาพแวดล้อมที่ถูกโคลนถูกใช้เพื่อหลบเลี่ยงมาตรการป้องกันการฉ้อโกง”
ผลกระทบ
ผู้ที่รับความเสี่ยงตรง ๆ คือผู้ใช้แอนดรอยด์ทั่วไปที่เชื่อว่าแอปบน Google Play ผ่านการกลั่นกรองมาแล้วระดับหนึ่ง เพราะกลไกที่ผู้ใช้ส่วนใหญ่ใช้ตัดสินใจจริงคือคะแนนดาวและรีวิว ไม่ใช่การอ่านสิทธิ์ที่แอปขอหรือตรวจชื่อผู้พัฒนา เมื่อแอปในหมวด Early Access ถูกออกแบบให้ไม่มีทั้งสองอย่าง ผู้ใช้จึงเหลือข้อมูลประกอบการตัดสินใจเพียงหน้าร้านที่ผู้ส่งแอปเขียนเองทั้งหมด และยอดดาวน์โหลดที่สูงถึงหลักล้านก็ยิ่งทำหน้าที่เป็นสัญญาณความน่าเชื่อถือปลอมซ้อนเข้าไปอีกชั้น
มุมที่กระทบมากกว่านั้นคือการเลี่ยงกฎเรื่องการพนัน แอปที่อำพรางเป็นเกมสล็อตหรือเกมปริศนาแล้วพาผู้ใช้ไปยังเว็บพนันจริงย่อมข้ามทั้งการตรวจอายุและการจำกัดพื้นที่ให้บริการ ซึ่งหมายความว่าเยาวชนหรือผู้ใช้ในเขตที่การพนันออนไลน์ผิดกฎหมายก็เข้าถึงได้โดยไม่มีด่านใด ๆ ขณะที่ฝั่งผู้พัฒนาที่สุจริตก็รับผลกระทบทางอ้อมจากความเชื่อมั่นที่ลดลงในหมวดหมู่ที่ตัวเองใช้ทดสอบผลิตภัณฑ์
ข้อมูลที่ยังขาดอยู่ก็ควรบันทึกไว้ด้วย รายงานไม่ได้ระบุจำนวนแอปที่แน่นอนนอกจากคำว่านับพันตัว ไม่ได้ให้รายชื่อแพ็กเกจครบถ้วนนอกเหนือจากตัวอย่างที่ยกมา ไม่ได้ระบุยอดผู้เสียหายหรือมูลค่าความเสียหายรวม และ Google ยังไม่ได้ให้ความเห็นต่อกรณีนี้ จึงยังไม่ทราบว่าจะมีการปรับกติกาของโครงการ Early Access หรือไม่ อย่างไร รวมถึงยังไม่ชัดเจนว่าแอปตัวอย่างที่หายไปจากร้านค้าถูกถอดด้วยเหตุผลใด
คำแนะนำ
สำหรับผู้ใช้ทั่วไป ให้ถือว่าแอปที่ไม่มีคะแนนและไม่มีรีวิวคือแอปที่ยังไม่มีข้อมูลให้ตัดสินใจ ไม่ใช่แอปที่ยังไม่มีใครติ ควรหลีกเลี่ยงการติดตั้งแอปที่รู้จักจากโฆษณาบนโซเชียลมีเดีย โดยเฉพาะโฆษณาที่ใช้ภาพหรือเสียงของคนดังมาชักชวน เพราะปัจจุบันสร้างด้วยดีปเฟกได้ง่ายมาก และให้ยึดหลักว่าแอปที่สัญญาว่าจะจ่ายเงินจริงเป็นค่าตอบแทนการดูโฆษณาหรือเล่นเกมนั้นแทบทั้งหมดไม่จ่าย
ตรวจชื่อแพ็กเกจและชื่อผู้พัฒนาก่อนติดตั้งทุกครั้ง โดยเฉพาะกับแอปที่ใช้ชื่อหรือธีมใกล้เคียงกับเกมหรือแบรนด์ดัง เพราะแอปเลียนแบบมักใช้ชื่อผู้พัฒนาที่ไม่เกี่ยวข้องกับเจ้าของทรัพย์สินทางปัญญาจริง และหากติดตั้งไปแล้วพบว่าแอปเรียกสิทธิ์บริการช่วยการเข้าถึงหรือสิทธิ์บันทึกหน้าจอโดยไม่มีเหตุผลอธิบายได้ ให้ถอนการติดตั้งทันที เพราะสองสิทธิ์นี้คือสิ่งที่มัลแวร์อย่าง StreamRat ใช้ควบคุมเครื่อง
สำหรับผู้ดูแลระบบที่บริหารอุปกรณ์พกพาขององค์กร ให้ใช้นโยบายบัญชีขาวของแอปแทนการอนุญาตทั้งร้านค้า และพิจารณาปิดการติดตั้งแอปจากหมวด Early Access รวมถึงปิดการติดตั้งจากแหล่งที่ไม่รู้จักบนเครื่องที่เข้าถึงข้อมูลองค์กร พร้อมทั้งตรวจสอบว่ามีเครื่องใดเปิดบริการ ADB ผ่านเครือข่ายทิ้งไว้หรือไม่ เพราะเป็นช่องที่ Hagaseca ใช้แพร่กระจายตัวเอง
ในฝั่งการเฝ้าระวัง ให้เพิ่มการตรวจสอบโปรไฟล์งานที่ถูกสร้างขึ้นบนเครื่องขององค์กรโดยไม่ผ่านระบบบริหารจัดการอุปกรณ์ เพราะเทคนิคของ Vwork คือการโคลนแอปเป้าหมายไปไว้ในโปรไฟล์งานเพื่อหลบมาตรการป้องกันการฉ้อโกง และควรแจ้งผู้ใช้ในองค์กรให้ทราบว่าหน้าจอที่ดำค้างระหว่างใช้งานแอปธนาคารอาจไม่ใช่อาการค้างธรรมดา