本月，两款假冒应用成功绕过谷歌Play商店审核，累计下载量超过60万次。这一事件再次引发对Android生态系统安全性的担忧，毕竟建立安全环境一直是Google Play保护机制和验证系统的核心卖点。现状表明，当前防护效果与缺乏系统监管或允许侧载（sideloading）并无显著差异。
尽管开发者可轻易上传恶意软件获利，但Android用户只需通过应用预下载检查，即可有效规避风险。
审核机制失效：从“荣誉体系”到自动化漏洞
近期发现的假冒应用包括一款下载量超10万的Chrome仿冒品，以及一款极具迷惑性的WhatsApp仿冒应用。此类问题并非新近出现，早在2012年，《超级马里奥兄弟》和《侠盗猎车手》的仿冒品曾在Play商店存活两周以上，并获得可观下载量。
这让人质疑谷歌验证机制的有效性。通常，开发者需支付25美元注册Google Play Console账户，完成应用列表设置、数据收集声明、应用包上传、测试运行、内容评级及定价后，方可发布。生产环境审核通常耗时三至七天。
理论上，“数据与安全”声明应与应用目的相符，但谷歌承认其审核流程并不验证这些声明的真实性。这意味着消费者受制于一种虚假的“荣誉体系”。此外，除非触发人工干预，包括金融和健康类在内的敏感应用提交均经过自动化审核。
溯源与识别：开发者名称与包名是关键
识别仿冒应用的首要线索是开发者名称。在应用信息页面点击关于此应用，向下滚动至提供方即可查看。例如，Chrome的官方开发者为Google LLC，而仿冒应用则来自Hizbartech。若存在官方网站，可通过交叉核对官方链接进一步确认。
谷歌不允许两个相同包名的应用共存，且开发者设定后无法更改名称。虽然系统会拒绝命名空间被占用的冒充行为，但不法分子常使用微妙的字符变体规避检测。例如，WhatsApp仿冒应用的包名为com.AgmentAssetssallu.DeadPixelTriPulse，而非官方的com.whatsapp。自动化系统可能因检测到不同字符串而予以放行。用户可在设置 > 应用 > 应用信息中查看包名。
数据异常与AI虚假评论：警惕付费推广
专业开发者注重品牌标准，而抄袭者常犯粗糙错误。对比应用数据可发现明显差异：真正的WhatsApp创建于2010年，拥有超100亿次下载、2.41亿条评论和4.6星评分；而假冒应用仅获50多万次下载，无评论和评分。短期内迅速达到高下载量往往是付费推广的危险信号。
评论和评分已成为应用商店中受损最严重的指标之一。2024年，DoubleVerify数据显示，拥有AI驱动虚假评论的应用数量是2023年同期的三倍多。仅在2025年，谷歌就屏蔽了1.6亿条垃圾评分和评论。这些假评多为通用五星好评，旨在夸大应用实用性。
建议重点查看一至三星的负面评论，因为付费评论者极少撰写此类内容。此外，还需关注应用大小：AI编码工具可能引入庞大库文件，导致应用臃肿；而可疑的小体积应用可能是仅加载网站的WebView包装器，安装后再下载真实负载内容。银行特洛伊木马Anatsa便曾隐藏于看似无害的PDF阅读器中，利用审核仅检查上传内容的漏洞逃避检测。
若应用处于早期访问阶段且伴随上述危险信号，嫌疑分数将大幅增加。骗子利用该阶段无公开评论的特点压制受害者反馈。
深度审计：权限检查与第三方工具
谷歌曾在2022年短暂移除Play商店权限列表，后因用户投诉恢复。多数用户仅在安装后弹出权限请求时才知晓应用要求。建议在Play商店中点击关于此应用 > 应用信息 > 应用权限旁的查看更多，重点关注底部其他组中的高风险权限。
此外，可通过非营利目录Exodus Privacy查询应用。该平台在GitHub公开代码，从Play商店下载APK并读取权限，与已知跟踪器签名比对。虽无需登录或安装，但其仅能检测列表中的跟踪器，应视为审计过程的一部分而非完整解决方案。
最终建议：直觉优先，果断卸载
即使经过上述检查，若对应用仍存疑虑，应避免使用。直觉往往基于过往与特洛伊木马交锋的经验。建议定期审计已安装应用，甚至可通过USB连接PC，使用代码检查工具分析APK。曾有修改版APK将会话详情、用户ID和活动历史记录以未加密形式存储，任何获取手机的人均可读取，且其缓存会快速填满存储空间。此类软件应立即卸载。