Gehackte versies van apps verspreid via Apple’s bedrijfscertificaten

Misbruik van Apple’s Enterprise Certificate

Met Apple’s Enterprise Certificate programma is het mogelijk om apps binnen een organisatie te distribueren en te testen. Maar de certificaten blijken ook te worden gebruikt voor het verspreiden van gehackte versies van populaire apps. Daarmee kunnen kwaadwillende ontwikkelaars de strenge App Store-richtlijnen omzeilen. Het gaat om bedrijven als TutuApp, Panda Helper, AppValley en TweakBox. Zij misbruiken de certificaten om illegale versies van apps aan te bieden en ze verdienen daar geld aan.

Gehackte Minecraft en Spotify

Gebruikers kunnen met de apps muziek en films streamen zonder te betalen, ze kunnen advertenties blokkeren of de in-app aankopen omzeilen. Daardoor lopen de makers van officiële apps inkomsten weg. Het treft ook Apple in de portemonnee, want het bedrijf loopt daardoor de gebruikelijke 30 procent van App Store-aankopen mis. TutuApp biedt bijvoorbeeld Minecraft aan, waar je in de App Store een paar euro voor moet betalen. AppValley heeft een versie van Spotify waarmee je zonder reclame kunt luisteren.

Het is de derde keer in korte tijd dat Apple’s Enterprise Certificate programma op een negatieve manier in het nieuws is. Een paar dagen geleden was er ophef over het feit dat Facebook en Google met deze certificaten spionage-apps verspreidden, waarbij ze bijvoorbeeld het gedrag van jongeren in de gaten konden houden in ruil voor geld. Vlak daarna kwam aan het licht dat de certificaten worden gebruikt voor porno- en gokapps, die normaal niet langs Apple’s goedkeuring zouden komen.

Daar is het programma uiteraard niet voor bedoeld. Het idee is dat er beta’s en andere testversies mee verspreid kunnen worden, maar ook interne bedrijfsapps die niet voor het grote publiek zijn bedoeld. Zo kan een bedrijf een app voor urenregistratie maken, die alleen voor het eigen personeel is bedoeld.

Kat- en muisspel
Apple heeft al een aantal apps onklaar gemaakt, nadat Reuters ze op de praktijken had gewezen. Dat deden ze door de ontwikkelaarscertificaten in te trekken. Binnen een paar dagen waren dezelfde apps echter alweer terug, waarbij gebruik werd gemaakt van andere certificaten. Het lijkt nu een kat- en muisspelletje te worden. Apple heeft aangegeven dat de ontwikkelaars de regels overtreden en dat certificaten zullen worden ingetrokken. Maar er kan best wat tijd overheen gaan tussen het moment dat een illegale app wordt ontdekt en het moment dat Apple ingrijpt.