Spyware e malware rappresentano sicuramente le principali minacce alla sicurezza dei sistemi operativi dei device che utilizziamo quotidianamente, e proprio per questo motivo è sempre consigliabile installare applicazioni distribuite esclusivamente tramite gli App Store che effettuano tutta una serie di controlli preventivi prima di accettarle.

Tuttavia, nonostante regole molto rigide e controlli continui, può sempre capitare che qualcosa non vada per il verso giusto e un malintenzionato possa riuscire ad aggirare i sistemi e a trovare il metodo di bypassare le funzionalità di sicurezza. Questo, ad esempio, è il caso di "GPT4 - AI Chat Robot Assistant di SkyLink Tech", un'app che è stata resa disponibile sul Mac App Store nonostante palesi violazioni delle regole di sicurezza.

In post di Privacy1St pubblicato su Medium, è stato analizzato e spiegato esattamente il modo in cui è stato possibile far pubblicare quest'app sullo store di Apple, anche violando marchi commerciali. I truffatori, in pratica, sarebbero riusciti a manipolare il sistema di revisione creando un account sviluppatore falso che duplicava il Data Universal Numbering System (DUNS), un identificatore univoco per un'azienda, di un account reale.

Il normale processo per ottenere un account sviluppatore si basa sul fatto che lo sviluppatore abbia un numero DUNS esistente o che ne registri uno nuovo tramite un'autorità riconosciuta. Questo numero viene fornito ad Apple insieme alle informazioni di contatto vengono utilizzate per confermare la legittimità della registrazione.

Tuttavia, Apple chiede solo il nome e se il rappresentante è legittimo. Nel rapporto su Medium questa procedura viene sottolineata come "snellita" e meno rigorosa rispetto ad altre. I truffatori, in pratica, sono riusciti a utilizzare dei siti Web per registrarsi e ottenere, senza autorizzazione, un numero DUNS di un'azienda che hanno successivamente inviato ad Apple fingendosi di essere dei legittimi rappresentanti.

Una volta inviata, l'app utilizza anche delle tecniche per guadagnare la fiducia degli utenti. Innanzitutto si dichiara correlata a OpenAI, società che fa capo a ChatGPT, e utilizza nomi di prodotti e loghi dall'aspetto simile a quella dell'app ufficiale. Solo questo può già bastare per confondere gli utenti.

L'app in questione offre anche premi e regali agli utenti che scrivono delle buone recensioni che possano aiutare e incoraggiare altri utenti a scaricarla. Secondo i termini di Discovery Fraud, i premi per le recensioni vanno contro le regole dell'App Store. L'app, inoltre, inganna gli utenti anche sul paywall che promette di far diventare l'app gratuita pagando un abbonamento. In aggiunta a tutto ciò, l'app raccoglieva silentemente anche l'UUID del Mac.

Insomma, tutta una serie di cose che non dovrebbero essere consentite ma che sono presenti in un'app scaricabile dall'App Store. Nonostante sia stata scoperta e segnalato lo scorso 13 settembre, l'app è stata eliminata solo nelle scorse ore, dopo la pubblicazione dell'articolo confermando, ancora una volta, una certa lentezza nel prendere provvedimenti.