125款安卓应用卷入庞大广告骗局 帮助窃走数亿美元广告收益

[ 摘要 ]专家表示，这样的骗局之所以针对安卓系统，部分原因在于其拥有庞大的用户群体，以及Google Play应用程序审查程序不如苹果那样严格。

腾讯科技讯 10月24日消息，据外媒报道，新闻聚合网站BuzzFeed News调查发现了一个庞大而复杂的数字广告骗局，125款非常受欢迎的安卓应用被诈骗者用于追踪用户行为，进而帮助骗走数亿美元的广告收益。

2017年4月，史蒂文·舍恩(Steven Schoen)收到了来自娜塔莉·安德里亚(Natalie Andrea)的电子邮件，她说自己在一家名为We Purchase Apps的公司工作。她想买舍恩开发的安卓应用Emoji Switcher。但就在这时，事情似乎变得有些不对劲。

舍恩在接受新闻聚合网站BuzzFeed News采访时说:“我做了些调查，因为对方只是粗略地描述了自己，我根本未发现这家公司存在。”We Purchase Apps网站宣称其总部位于纽约，但地址似乎是个住宅。舍恩称：“他们留下的电话在英国，而且几乎哪里的都有。”

这一切都显得很奇怪，但没有迹象显示，舍恩的应用最终会落入制造潜在数亿美元广告骗局的公司手中。这家公司向许多空壳公司注入资金，人员分散在以色列、塞尔维亚、德国、保加利亚、马耳他以及其他地方。

舍恩通过Skype与安德里亚及其同事扎克·埃兹拉（Zac Ezra）通话，但实际上后者的全名是察奇·埃兹拉蒂（Tzachi Ezrati）。他们就舍恩开发的应用购买价格达成了一致，并用比特币提前向舍恩付款。舍恩谈到价格时说：“我想说的是，价格比我预期的要高。”这有助于说服他出售应用。

同样的情况也发生在另外五位应用开发者身上，他们宣称把自己的应用卖给了We Purchase Apps，或者直接卖给了埃兹拉蒂。但埃兹拉蒂表示，他只是被雇来购买应用程序的，不知道收购后应用会被如何处理。这些应用程序在谷歌应用店Google Play的页面很快被修改，列出了4家不同的公司作为它们的开发者，它们的地址分别位于保加利亚、塞浦路斯和俄罗斯，让人觉得这些应用程序现在有了不同的所有者。

但BuzzFeed News的调查显示，这些看似独立的应用程序和公司其实是一起庞大复杂数字广告骗局的重要组成部分，它涉及全球超过125款安卓应用程序和网站，与塞浦路斯、马耳他、英属维尔京群岛、克罗地亚、保加利亚和其他地方的庞大空壳公司网络有关。

受影响的应用程序中，有十几款是针对儿童或青少年的，参与这起欺诈案的人估计，他们已从某些品牌那里窃取了数亿美元资金。诈骗者为他们的骗局寻找应用程序的一种方式是，通过We Purchase Apps公司来购买合法的应用程序，然后将它们转移给空壳公司。网络安全与欺诈检测公司Protected Media的分析显示，这些应用随后会捕捉其人类用户的行为，并编制庞大的聊天机器人网络，用真实的数据欺骗用户。

这意味着，数以百万计下载了这些应用程序的安卓手机用户，有很大一部分人在他们使用应用时受到秘密追踪。通过复制应用中的实际用户行为，诈骗者能够产生绕过欺诈检测系统的虚假流量。Protected Media首席执行官阿萨夫·格雷钠（Asaf Greiner）说：“这不是普通的骗局。我们对用于构建这个骗局的复杂方法印象深刻，同样令人印象深刻的是，犯罪分子还能不被发现。”

另一家欺诈检测公司Pixalate今年6月首次披露了这起欺诈案的一个要素。当时，该公司估计，单个移动应用程序的欺诈行为每年可能产生7500万美元的广告收入。然而在公布调查结果后，Pixalate收到了一封匿名者的电子邮件，此人据称与骗局有关，并称被盗的资金接近Pixalate预估数字的10倍。这位知情人士还表示，这项业务之所以如此有效，是因为它“与(数字广告领域的)最大合作伙伴合作，以确保广告商和资金的持续流动。”

分析服务公司AppBrain的数据显示，BuzzFeed News确认的应用程序在安卓手机上的安装次数总计超过1.15亿次。其中大部分都是游戏，还包括手电筒应用、自拍应用以及健康饮食应用。其中名为EverythingMe的应用，已经被安装了超过2000万次。

一旦被收购，这些应用程序会继续受到维护，以便让真正的用户满意，并创造出一种在受众中非常受欢迎的形象，以掩盖虚假流量。这些应用程序还在多家空壳公司之间转换，以分配利润，并隐瞒运营规模。这一骗局被曝光表明：数字广告生态系统中存在着非常严重的欺诈行为，许多品牌正被窃走巨额资金，整个行业都未能阻止这种行为。

应用程序度量公司AppsFlyer估计，仅今年第一季度，就有人利用移动应用窃取了7亿至8亿美元资金，同比增长30%。Pixalate对应用程序内欺诈的最新分析发现，23%的移动应用程序广告印象在某种程度上存在欺诈。总体而言，Juniper Research估计，今年数字广告欺诈者将窃取190亿美元资金，但其他人认为实际数字可能是其三倍。

埃兹拉蒂被卷入的骗局主要针对安卓应用程序，同时也暴露了欺诈、恶意软件和其他影响谷歌移动生态系统和依赖它的用户的风险。专家表示，这样的骗局之所以针对安卓系统，部分原因在于其拥有庞大的用户群体，以及Google Play应用程序审查程序不如苹果那样严格。安卓应用程序被买卖，注入恶意代码，在用户或谷歌不知情的情况下被重新使用，甚至变成了欺诈的引擎。

谷歌表示，它很快就会删除所有违反Google Play规定的应用程序，并在去年下架了70多万个违反规定的应用。谷歌还强调通过实施ads.txt等标准来打击广告欺诈的承诺，该公司发言人称：“我们非常重视保护用户的责任，并为Google Play提供良好的体验。我们的开发者政策禁止我们平台上存在广告欺诈和服务滥用，如果有应用程序违反了我们的政策，我们就会采取行动。”

最新广告骗局使用的广告网络和广告交换平台包括许多主要参与者，比如谷歌运营的那些公司。这意味着，如果向聊天机器人显示的广告未被发现，这些公司将获得佣金。没有证据表明谷歌或其他任何公司知道这种欺诈行为。在提供了与该骗局相关的应用程序和网站列表后，谷歌进行了调查，发现数十款应用程序使用了其移动广告网络。

谷歌的独立分析证实，这起骗局中存在一个僵尸网络，推动了网站和应用程序的流量。谷歌已经从Google Play删除了30多个应用程序，并终止了多个发行商的广告网络账户。谷歌表示，在被BuzzFeed News联系之前，它已经删除了骗局中涉及的10个应用程序，并屏蔽了许多网站。该公司将继续进行调查，并发表博文详细阐述调查结果。

谷歌估计，这些诈骗者通过使用谷歌广告网络在受影响的网站和应用程序中投放广告的广告商那里，窃取了近1000万美元资金。该公司表示，在这些应用程序和网站上投放的绝大多数广告都是通过其他主要广告网络投放的。谷歌不愿透露，骗局涉及的任何应用程序在更换所有权后，或出于任何其他原因，是否受到了后续审查。

Pixalate首席技术官阿明·班德阿里（Amin Bandeali）称，应用店对应用程序及其开发者的持续审查很少，这使得他们很容易成为骗子和其他坏人的攻击目标。他表示:“应用店可能无意中提供了一个途径，将欺诈者与广告买家和卖家联系起来。虽然这些应用店提供客户评论、下载数字和其他‘质量’指标，但它们提供的服务却很少，只能审查应用公司的商业行为、技术和关系。”

为了确定此次骗局的主要受益者，BuzzFeed News分析了公司注册记录、域名所有权和域名系统数据、谷歌应用店列表以及其他可公开获取的信息。该网站透露，这些应用程序和网站与Fly Apps有关，这是一家马耳他公司，与诈骗网络关系密切。BuzzFeed News获得的企业记录显示，Fly Apps的所有者是两名以色列人——欧默·安纳托(Omer Anatot)和迈克尔·阿里·伊隆(Michael Arie Iron)，以及两名德国人——托马斯·波泽尔特(Thomas Porzelt)和菲利克斯·雷纳尔(Felix Reinel)。

安纳托的LinkedIn个人资料显示，他是EverythingMe公司的首席执行官，这是Fly Apps公司旗下一款很受欢迎的应用。在WhatsApp上发送的信息中，安纳托说他只负责管理EverythingMe，并将Pixalate发现的欺诈行为归咎于他们合作过的AdNet Express公司。他说，他的公司向AdNet Express支付了费用，委托后者帮助扩大其用户基础，任何欺诈都是他们合作伙伴的错。他说：“他们为我们服务的时间很短。我们很快就发现，这些家伙100%使用虚拟流量的聊天机器人推动安装。”

目前还不清楚AdNet Express是否是一家真正的公司。除了基础网站，它几乎没有任何在线资料，没有列出地址或电话号码，也没有引用任何客户或项目。该网站的域名所有权信息列出了一个虚假的美国邮寄地址，以及虚假的电子邮件地址“MatthewBStrack@teleworm.us”。这个电子邮件地址是通过名为Fake Mail Generator的服务生成的。该公司在LinkedIn上列出的两名员工没有在个人资料中提到额外的工作经验或教育背景，而且似乎没有其他的在线信息。

同时，在安纳托开始与BuzzFeed News沟通后，很多与骗局有关的网站都关闭了，几家空壳公司的网站也同时冻结。在收到一封有关骗局细节的电子邮件后，Fly Apps回复了一封来自其律师的信，否认Fly Apps与参与骗局的应用程序和公司存在联系，同时还否认自己与整个虚假流量骗局中发现的应用程序、网站和公司有任何关联。Fly Apps受到很多人的喜爱，拥有大量用户。Fly Apps是一家声誉卓著的应用开发商，长期以来始终受到广告合作伙伴和广告验证公司的支持。

律师信中没有提到AdNet Express，而是将Pixalate曝光的欺诈行为归咎于第三方，称他们提供了“损坏”软件开发工具包。它也没有解释这样一个事实，即Protected Media在许多应用程序和网站上发现的虚假流量早在1年前就已经出现，却为何直到现在才被发现？（编译/金鹿）