Razvijalci brez integritete preverjajo integriteto

Aplikaciji NLB Klik in NLB Klikpro se ne ustavita pri preverjanju integritete naprave. NLB Klik od Androida zahteva dovoljenje QUERY_ALL_PACKAGES (poročilo Exodus Privacy), s katerim vidi vse aplikacije, nameščene na vašem telefonu – podatek, ki ga celo Google obravnava kot oseben in občutljiv in ga finančnim aplikacijam dovoli uporabljati izključno v varnostne namene. V oddaljeni konfiguraciji obeh aplikacij pa je seznam aplikacij, ki jih po mnenju banke na svojem telefonu ne smete imeti: pri NLB Kliku se imenuje android_blocked_apps_list, pri poslovnem NLB Klikpro pa kar klikpro_malicious_apps_list – banka torej AnyDesk, TeamViewer in ostale brez zadržkov razglaša za zlonamerne. NLB to pove tudi sama: Dostop do NLB Klika je onemogočen tudi, če imate na napravi zlonamerne ali potencialno nevarne aplikacije, ki omogočajo oddaljen dostop do mobilne naprave in zlorabe. Enak stavek velja za NLB Klikpro. Seznama pa nikjer ne objavi – zato ga objavljamo mi.

Seznama sta trenutno enaka: na vsakem je 23 aplikacij. Vsaj 12 od teh je povsem običajnih, legitimnih orodij. Večinoma gre za programe za pomoč na daljavo, s katerimi sistemski administratorji vzdržujejo naprave, otroci pa staršem in starim staršem pomagajo pri težavah s telefonom. Uporabniki so na forumu Slo-Tech leta 2024 poročali, da aplikacija ob tem niti ne pove, katera aplikacija jo moti – izpisala je le, da je telefon rootan ali da so na njem zlonamerne oziroma nevarne aplikacije, iskanje krivca pa je prepustila njim.

Spletni goljufi žrtve res prepričujejo v namestitev programov za oddaljeni dostop in nekatere aplikacije s seznama so dejansko zlonamerne. A nameščena aplikacija ni isto kot aktivna oddaljena seja. Bančna aplikacija lahko svoje zaslone zaščiti pred zajemom in deljenjem (FLAG_SECURE), občutljive elemente skrije pred storitvami dostopnosti, ki niso pravi pripomočki za dostopnost (accessibilityDataSensitive, Android 14+), in uporabnika opozori – namesto da mu zaradi same prisotnosti aplikacije zaklene dostop do lastnega denarja. Nobena zaščita ni popolna, a te merijo na dejansko nevarnost, ne na ikono na domačem zaslonu. Brskanje po seznamu nameščenih aplikacij in kaznovanje uporabnika zgolj zato, ker ima na telefonu orodje za svoje delo, ni varnost – je nadzor. Goljuf bo žrtev pač napotil na program, ki ga na seznamu še ni; pošten uporabnik pa mora izbirati med banko in svojim orodjem.