О приложении 2ГИС в Google Play

10 января 2024 пользователи 2ГИС на Android начали получать системное сообщение на своих устройствах. В нём говорилось, что 2ГИС — приложение вредоносное, оно опасно для устройства и личных данных. Это не так — 2ГИС всегда соблюдал все правила и продолжает это делать.

Более того, в новых версиях приложения ничего принципиально не поменялось, и мы пытаемся выяснить, почему Google считает нас вредоносными.

Страница на официальном портале https://help. 2gis. ru/, добавляем туда свежие новости в реальном времени.

Как приложение попадает в стор

У каждого стора есть свои правила. Если приложение их не нарушает, то после ревью оно публикуется, и всё ок. В последнее время Google Play свои правила ужесточил, чтобы бороться с действительно вредоносным ПО, которое пытается навредить устройству или украсть личные данные пользователя.

В Google Play нас нет с лета, и всё это время мы выкладываем 2ГИС в альтернативных сторах для Android: RuStore, Huawei AppGallery, Samsung Galaxy Store и других. Обычно, когда версия проходит ревью в сторе, наши разработчики получают обратную связь: есть такая-то проблема, пофиксите её, и мы выложим приложение. То есть в любой подобной ситуации мы понимаем, где искать ошибку или хотя бы примерно понимаем, какое правило нарушили, куда копать. Сейчас ситуация в корне иная.

Какой конкретно Google присылает сообщения

Итак, мы делаем приложение на операционную систему Android. Компания Google владеет этой операционной системой и влияет на то, какие приложения эта ОС считает вредоносными, а какие нет. Это не относится к магазину Google Play: магазин присылает уведомления об ошибках разработчикам перед публикацией приложения, Google шлёт системные сообщения пользователям. То есть мы узнаём о проблеме «из газет» — от наших пользователей.

О приложении 2ГИС в Google Play

Дальше в нашем расследовании появляется Google Play Protect (Google Play Защита) — система, которая сканирует ваше устройство на наличие потенциально опасных приложений из сторонних источников (то есть не из Google Play) . Как часто это происходит и с какой регулярностью, делается это автоматически или вручную, Google не раскрывает. У нас есть предположение, что 8 января что-то поменялось во внутренних правилах Google — именно с этого времени пользователи начали получать ошибочные уведомления о «вредоносности».

Что вредоносного обнаружено

С 10 января мы погружены в ситуацию и разбираемся, какой функционал ошибочно могли признать вредоносным. В сообщении, которое получают пользователи, написано, что 2ГИС хочет получать доступ к вашим СМС, фотографиям, аудиозаписям и журналам звонков. Это и так, и не так одновременно.

Мы запрашиваем пермишны — разрешения — для того, чтобы пользователь сам разрешил себе пользоваться определёнными фичами телефона. Это доступы к разным участкам системы. Их всегда можно отключить или включить обратно. Так делает очень много приложений, вы наверняка давали разрешение или, наоборот, запрещали доступ к этим же функциям для других приложение на вашем устройстве.

Что это за фичи и функции:

  • Микрофон — в 2ГИС вы можете давать команды голосовому помощнику.
  • Звонки — если хотите звонить в организации прямо из приложения, просто нажав на телефон в карточке. Доступ к журналу звонков мы не запрашиваем.
  • SMS используем для кодов авторизации в приложении. Мы имеем доступ только к своим СМС, ни к каким другим сообщениям на устройстве доступа у нас нет.
  • Местоположение, чтобы корректно работал навигатор и функция «Друзья на карте».
  • Контакты, чтобы вы могли находить друзей и знакомых в приложении.
  • Фото и видео, чтобы публиковать их в отзывах.

Эти фичи были в 2ГИС всегда. Ничего не поменялось ни 8, ни 10 января.

Что мы делаем

Мы ищем причину. Сейчас пробуем выключать фичи по очереди, чтобы понять, где Google обнаружил ошибку. Из основного приложения 2ГИС на Android убраны:

  • Работа с адресной книгой (использовалось для соцграфа: отзывы знакомых, добавления друзей); android.permission.READ_contacts
  • Автоматическое подставление из SMS-кода подтверждения регистрации пользователя (SMS читались через библиотеку Google, мы не добавляли пермиссий) .
  • Звонок в один клик: android. permission. CALL_PHONE

Из бета-версии убрали работу с адресной книгой (android.permission.READ_contacts). Не нужно удалять приложение. Если вы беспокоитесь, всегда можно ограничить доступ приложения к системным настройкам (например, убрать«крыжик» с микрофона, если не пользуетесь голосовым вводом) и продолжить пользоваться. Если уже удалили, скачать заново можно на сайте apk.2gis.ru (наш официальный) или в альтернативных сторах: RuStore, Xiaomi Getapps, Samsung Galaxy Store, RuMarket и Huawei AppGallery.

Что уже можно почитать по теме на момент 15:00 Мск, 13 января:

5252
77 комментариев

Это декомпилированный кусок 2гис, а вы точно говорите про отсутствие аналитики и попыток обойти разрешения особенно на старых андроидах? Гугл вас спалил очевидно не просто так и на другие приложения он не жалуется. Проверка от кода Дурова и розеткуса очевидная херня, сделайте декомпиляцию и убедитесь в попытке собрать аналитику для алгоритмов сбера

12
Ответить

Комментарий недоступен

6
Ответить

Да автора поста можно поставить в один ряд с чуваком, у которого цветастый кусок поролона на носу, который ещё на арене под куполом выступает обычно. Под экспертизой понимает простую заливку APK-файла на VirusTotal. Говорить подобное на серьезных щах — отличная лакмусовая бумажка.

5
Ответить

с каких пор сбор аналитики это что-то вредоносное?

2
Ответить
1
Ответить

работает стабильно, он безопасен и не использует ваши личные данные в корыстных целях. Это подтверждают эксперты,.

6
Ответить

Лайк за мем! Про экспертов поясним. Редактор Rozetked проверил наш APK-файл через сервис проверки на вирусы VirusTotal. Отчёт сервиса — https://www.virustotal.com/gui/file/6e23b552b6bc909e4a0f51b5cc9309fdac72de540b91d6010e276241f4e691a7

Ответить