Opinie: de App Store is helemaal geen veilige plek

Ontwikkelaar Kosta Eleftheriou ontdekt elke week wel een nieuwe scam in de App Store. De bedenker van FlickType en Fleksy vraagt regelmatig aandacht voor het feit dat Apple slordig omgaat met het vertrouwen van de gebruikers. Apple wekt zelf de indruk dat alle apps in de App Store zorgvuldig zijn gecontroleerd en dat je erop kunt vertrouwen dat alles betrouwbaar en veilig is. Maar dat is schijn: er glippen heel wat apps tussendoor die je geld afhandig proberen te maken.

Dat gebeurde al in 2009, vlak nadat de App Store van start ging. Sindsdien zijn er tientallen verhalen geweest van ontwikkelaars die zich in allerlei bochten moesten wringen om door de strenge selectie van Apple te komen. Soms om legitieme redenen, omdat niet aan de App Store-richtlijnen was voldaan, maar soms waren er ook heel flauwe redenen om af te wijzen. Dat fanatisme heeft vooral te maken met het beschermen van de eigen intellectuele eigendommen en voor een kleiner deel met het beschermen van gebruikers.

Apple benadrukt graag hoe veilig de App Store is: “For over a decade, the App Store has proved to be a safe and trusted place to discover and download apps” is er te lezen op een pagina. Deels is dat ook wel waar. De bewering dat 100% van alle apps wordt gecheckt op bekende malware, is niet gelogen. Er zijn dan ook geen verhalen bekend van mensen die door de App Store een virus of andere malware hebben opgelopen.

Toen ontwikkelaar Kosta Eleftheriou voor het eerst begon met het ontmaskeren van scam-apps klonk het voor veel mensen misschien als overdreven gezeur. Het was toch ondenkbaar dat er huichelachtige apps door het strenge reviewproces komen, waarmee miljoenen per jaar wordt verdiend? Apple zou toch nooit apps toestaan die honderden euro’s per jaar vragen voor functies die normaal niet meer dan een paar euro kosten? En als een app veel nepreviews krijgt, moet dat Apple toch ook opvallen? De meest recente scam die Eleftheriou ontdekte betreft een app waarbij je binnen 5 minuten kunt zien dat de reviews nep zijn.

Als je de overdreven positieve 5-sterrenreviews negeert en naar de 1-sterrenreviews kijkt ontdek je al snel dat er heel wat mensen zijn opgelicht door deze app. Eleftheriou noemt het een ‘security theater’: er is een overdreven streng reviewproces, dat vooral nadelig is voor eerlijke developers. Maar het levert goede PR op, omdat mensen zich veilig voelen.

Uit de rechtszaak met Epic is gebleken dat appreviewers bij Apple gemiddeld 50 tot 100 apps per dag beoordelen. Soms besteden ze nog geen minuut aan een app. Bovendien hebben deze reviewers vaak geen technische achtergrond en weinig kennis op het gebied van iOS of macOS. Gezien de aantallen apps die beoordeeld moeten worden, zou zelfs een goed opgeleide reviewer geen grondige beoordeling kunnen doen. Een reviewer heeft geen tijd om te controleren of een app misschien een 1-op-1 kopie is van een bestaande succesvolle app, of om te kijken of alle gebruikersreviews wel eerlijk zijn.

Maar wat Apple wel zou kunnen doen is alles veel meer automatisch afvangen. Een app met louter 5-sterrenreviews in vrijwel dezelfde bewoordingen, deugt waarschijnlijk niet. En een app met absurd hoog geprijsde in-app zou meteen afgewezen moeten worden. Apple heeft beloofd dit te doen, maar ondernam pas actie op het moment dat gebruikers en ontwikkelaars gingen klagen.

Apple heeft er zelf ook belang bij dat gebruikers ‘een beetje dom’ zijn en zich op langlopende in-app abonnementen abonneren. Het proces om een abonnement op te zeggen zit goed verstopt en de meeste abonnementen werken met auto-renewal zodat je ongemerkt blijft betalen. Apple dringt er bij ontwikkelaars sterk op aan om op een abonneemodel over te stappen, want dat levert niet alleen een vaste inkomstenstroom op voor de ontwikkelaar, maar ook voor Apple.

De meest verdienende ontwikkelaars hebben allerlei mechanismen bedacht om hun apps extra verslavend te maken en gebruiken ‘dark patterns’ (vuile trucjes) om te zorgen dat het ‘Nee bedankt’-knopje vrijwel onzichtbaar is.

Apple’s reviewteam is ondergekwalificeerd en onderbetaald. Medewerkers die geen flauw benul hebben moeten in een paar minuten apps beoordelen waar ontwikkelaars vaak maanden aan hebben gewerkt. Het leidt tot inconsistente beslissingen en een wisselende interpretatie van de App Store-richtlijnen. Vaak gaat het goed, maar als je toevallig de verkeerde reviewmedewerker treft kun je met een berg extra werk opgescheept worden om je app toch zo te krijgen als Apple het wil.

Hoe kan Apple het oplossen? Misschien door de App Store gewoon open te zetten, zoals Google doet. Door naast de App Store andere softwarewinkels toe te staan. Of door te kijken hoe het bij macOS werkt. Daar zijn ontwikkelaars vrij om buiten de Mac App Store hun apps aan te bieden. De beveiliging van het besturingssysteem zorgt ervoor dat je ook op de Mac eigenlijk nooit met malware te maken hebt. Daarmee is ook meteen een ander probleem opgelost, namelijk de vele antitrust-onderzoeken die momenteel tegen Apple lopen omdat ontwikkelaars niet om de App Store heen kunnen.