UPD 15 января, 11:00 Мск
Вынесли в отдельный пост-post-mortem ответы на вопросы и всё, что известно на сегодняшний день.
UPD 13 января, 15:00 Мск
Ищем причину ошибочной информации. Сейчас пробуем выключать фичи по очереди, чтобы понять, что Google посчитал ошибкой. Из основного приложения 2ГИС на Android убраны:
Работа с адресной книгой (использовалось для соцграфа: отзывы знакомых, добавления друзей); android.permission.READ_CONTACTS
Автоматическое подставление из SMS-кода подтверждения регистрации пользователя (SMS читались через библиотеку Google, мы не добавляли пермиссий).
Звонок в один клик: android.permission.CALL_PHONE
Из бета-версии убрали работу с адресной книгой (android.permission.READ_CONTACTS).
Статусы по текущим версиям:
6.29.0.530 Рабочая версия
6.30.2.533 Признана вредоносной (включая 6.30.0.531 и 6.30.1.532)
6.31.0.534 Признана вредоносной
6.31.0.535 Рабочая версия
***
Пользователи 2ГИС на Android начали получать системное сообщение, что 2ГИС — приложение вредоносное, оно опасно для устройства и личных данных.
Если коротко — конечно же, это не так. 2ГИС всегда соблюдал все правила и продолжает это делать. Более того, в новых версиях приложения ничего принципиально не поменялось, и мы пытаемся выяснить, почему Google считает нас вредоносными.
Проверка перед публикацией
В Google Play нас нет с лета, и всё это время мы выкладываем 2ГИС в альтернативных сторах для Android: RuStore, Huawei AppGallery, Samsung Galaxy Store и других.
У каждого стора свои правила, но в общих моментах они похожи. Если приложение их не нарушает, то после ревью оно публикуется, и всё ок. Если есть какая-то проблема, разработчики получают от стора обратную связь «пофиксите вот это, и мы опубликуем». То есть в любой подобной ситуации мы понимаем, где искать ошибку или хотя бы примерно понимаем, какое правило нарушили, куда копать.
Сейчас ситуация в корне иная. Так как нас нет в Google Play, разработчики не получают обратную связь, что не так.
Кто присылает сообщения
Разработчикам уведомления об ошибках перед публикацией приложения присылает Google Play. Пользователям же системные приложения шлёт сама операционная система.
На устройстве приложения, установленные из сторонних источников (не из Google Play), проверяются Google Play Protect (Google Play Защита) — сканером потенциальных опасностей. Как часто это происходит и с какой регулярностью, делается это автоматически или вручную, Google не раскрывает.
После такого очередного «прогона» Google Play Protect, система и отправила пользователям очень общее уведомление с жёстким словом «вредоносное».
Что вредоносного обнаружено
Короткий ответ — мы не знаем. В сообщении, которое получают пользователи, написано, что 2ГИС хочет получать доступ к вашим СМС, фотографиям, аудиозаписям и журналам звонков. Это и так, и не так одновременно.
Мы запрашиваем пермишны — разрешения — для того, чтобы пользователь сам разрешил себе пользоваться определёнными фичами телефона. Это доступы к разным участкам системы. Их всегда можно отключить или включить обратно. Так делает очень много приложений, вы наверняка давали разрешение или, наоборот, запрещали доступ к этим же функциям для других приложений на вашем устройстве. Что это за фичи и функции:
Микрофон — в 2ГИС вы можете давать команды голосовому помощнику.
Звонки — если хотите звонить в организации прямо из приложения, просто нажав на телефон в карточке. Доступ к журналу звонков мы не запрашиваем.
SMS используем для кодов авторизации в приложении. Мы имеем доступ только к своим СМС, ни к каким другим сообщениям на устройстве доступа у нас нет.
Местоположение, чтобы корректно работал навигатор и функция «Друзья на карте».
Контакты, чтобы вы могли находить друзей и знакомых в приложении.
Фото и видео, чтобы публиковать их в отзывах.
Эти фичи были в 2ГИС всегда. Ничего не поменялось 10 января.
Что делать
Спокойно продолжать пользоваться 2ГИС.
Если вы беспокоитесь, можно ограничить доступ к системным настройкам (например, забрать доступ к микрофону, если не пользуетесь голосовым вводом).
2ГИС по-прежнему работает стабильно, он безопасен и не использует ваши личные данные в корыстных целях. Это подтверждают эксперты, например, безопасность приложения проверил Rozetked.
Подписывайтесь на официальный телеграм-канал 2ГИС, держим в курсе ситуации.
