De traditionele vorm van phishing, een valse link in een mail of sms, is ons wel bekend. Dezelfde truc is nu in een nieuw jasje gegoten: phishing via Android-apps. Zo werkt het en zo voorkom je dat je een onbetrouwbare app installeert. 

In 2024 heeft Malwarebytes meer dan 22.800 phishing-apps op Android gedetecteerd, blijkt uit het recente State of Malware rapport uit 2025. Door zich voor te doen als betrouwbare apps, kunnen deze phishing-apps slachtoffers ertoe verleiden hun inloggegevens in te voeren. Het doel? Al deze inloggegevens en wachtwoorden bundelen en verkopen op het dark web, meldt Malwarebytes. Zodra deze persoonsgegevens in handen komen van andere kwaadwillenden, zullen zij deze gebruiken om in te loggen bij belangrijke accounts van hun slachtoffers, zoals online bankieren. 

Zorgwekkende ontwikkeling

Het feit dat sommige apps multifactorauthenticatie kunnen omzeilen is zorgwekkend. Dit is momenteel de sterkste vorm van cyberbeveiliging. Met deze authenticatie is inloggen met alleen je gebruikersnaam en wachtwoord onvoldoende. Naast je reguliere inloggegevens dien je, in de meeste gevallen, een aparte code in te voeren om te kunnen inloggen. Vaak wordt deze code verstuurd per mail of sms. Tegenwoordig kunnen deze codes worden gestolen door phishing-apps. 

Vorig jaar ontdekte Malwarebytes 5200 kwaadaardige Android-apps die multifactorauthenticatie konden omzeilen. De apps stalen deze codes door mee te kijken met sms-berichten. Nog eens 4800 apps konden de informatie uitlezen uit de meldingenbalk van een Android-apparaat. 

Zo herken je Android-phishing-apps

Sommige apps zijn vermomd als onschuldige videogames, anderen als hulpprogramma’s die vragen om te verbinden met een social media-account. Deze verzoeken zijn vals en enkel een methode om wachtwoorden te verzamelen, meldt Malwarebytes. Er zijn ook phishing-apps die zich voordoen als bekende apps, zoals WhatsApp, TikTok of Spotify. Deze worden gehost op minder bekende appwinkels, omdat de Google Play Store deze apps vaak al herkent als malafide en verwijdert. 

Er zijn ook phishing-apps ontdekt die alleen advertenties tonen die jou als slachtoffer naar externe malafide websites sturen. Doordat de oplichting buiten de app om gebeurt, kunnen deze apps makkelijker worden gehost op legitieme mobiele app stores. Hierdoor zijn ze zichtbaarder en is de kans groter dat ze door meer mensen worden gedownload. 

Voorkom dat je een phishing app installeert 

Malwarebytes geeft enkele tips hoe je je kunt beschermen tegen phishing-apps voor Android:

• Gebruik mobiele beveiligingssoftware die phishing-apps voor Android detecteert en voorkomt dat deze op jouw apparaat worden geïnstalleerd.
• Download alleen apps via de Google Play Store en nooit rechtstreeks van een website. 
• Controleer het aantal beoordelingen voordat je een app downloadt. Een laag aantal beoordelingen kan duiden op een misleidende app.
• Gebruik een wachtwoordmanager om unieke wachtwoorden te maken.
• Zet waar mogelijk tweestapsverificatie aan. We begrijpen dat je na het lezen van dit artikel misschien twijfels hebt over multifactorauthenticatie, maar deze maatregel is zeker niet overbodig. Door tweestapsverificatie te combineren met andere beveiligingsmaatregelen, zoals de bovenstaande tips, verklein je de kans op phishing aanzienlijk.