Is de New Profile Pic-app veilig of is het Russische malware?

De app New Profile Pic staat zowel in de Apple App Store als in de Google Play Store op nummer één in de ranglijst van de populairste, meest gedownloade apps. Daarmee is de app momenteel dus populairder dan apps als Instagram, TikTok, Snapchat, YouTube en Messenger. Maar om deze app is momenteel het één en ander te doen: zo gaat het gerucht dat de app in werkelijkheid malware bevat van Russische makelij, dat gebruikers van de app slachtoffer worden van oplichting én dat de app data doorsluist naar het Kremlin. Hoe zit dat? In dit artikel leggen we het uit.

Met deze app kun je bestaande foto's eenvoudig voorzien van allerlei filters, waardoor je deze foto's als het ware kunt transformeren in een schilderij of tekening. En eerlijk is eerlijk, op basis van de screenshots ziet dat er gelikt uit. Dat zal ongetwijfeld voor een groot deel de plotselinge populariteit verklaren.

Zo kun je in een handomdraai een nieuwe profielfoto maken om te gebruiken op WhatsApp of op sociale media als Facebook, Instagram, Snapchat en TikTok, of waar je ook maar op actief bent.

Hieronder een schermafbeelding uit de Google Play Store. Het artikel gaat verder na onderstaande afbeelding.

In de Google Play Store kun je de app vinden onder de naam NewProfilePic: Profile Picture. In de Apple App Store heet dezelfde app NewProfilePic Picture Editor. De app is deze maand pas gelanceerd, maar domineert in beide stores de hitlijsten: een teken dat de app massaal is gedownload.

De Britse tabloid The Daily Mail, in alle redelijkheid toch een enigszins sensationeel dagblad, kopte dat "Rusland achter JOUW data aan zit" en dat experts gebruikers voor deze app waarschuwen.

Het zou namelijk gaan om geavanceerde gezichtsherkenningsoftware, zo wordt beweerd. Door foto's in hoge resolutie te uploaden in deze app, stuur je als het ware jouw biometrische gegevens linea recta naar het Kremlin. En ja, ontwikkelaar Linerock Investments Ltd zit inderdaad gevestigd in de Russische hoofdstad Moskou.

The Daily Mail hecht er bovendien aan te benadrukken dat de ontwikkelaar op een steenworp afstand ligt van het Rode Plein, en suggereert daarmee een directe link met het Kremlin. Reden genoeg voor sommigen om de alarmbel te luiden, zoals in deze Facebookpost (die we normaliter zouden embedden, ware het niet dat deze functionaliteit momenteel voor wat problemen zorgt).

Ergens is het ook wel begrijpelijk. Een gloednieuwe app schiet als een razende omhoog in de hitlijsten, er is een link met Rusland, en gezien de populariteit van de app gaan ook eventuele verhalen over deze app rond als een lopend vuurtje.

Behalve de Kremlin-connectie wordt her en der ook beweerd dat de app persoonsgegevens steelt én dat er sprake is van financiële fraude: de app zou gebruikers namelijk ook ongemerkt kosten in rekening brengen, waarmee de suggestie van creditcardfraude wordt gewekt.

Ook factchecker Snopes boog zich over de zaak: wat klopt er nou écht van alle aantijgingen?

Het is nuttig om even te kijken naar de verschillende zaken waarvan de app gebruikers om toestemming vraagt om erbij te kunnen.

Onderstaande afbeelding circuleert op het internet en dekt de lading heel aardig.

Het artikel gaat verder na onderstaande afbeelding.

Dat lijkt op het eerste gezicht een behoorlijke waslijst, maar vergelijk het maar eens met de gegevens waar andere populaire apps zoals Facebook of Instagram bijvoorbeeld om vragen. In beginsel wijkt New Profile Pic in dit opzicht niet significant af van andere apps, en van datadiefstal is volgens Snopes dan ook geen sprake.

Het is daarentegen wél goed om je te realiseren dat je doorgaans wel degelijk 'betaalt' voor gratis apps, maar dan met jouw gegevens. Voor niets gaat immers de zon op, zullen we maar zeggen.

Om die reden kun je bijvoorbeeld advertenties verwachten, maar ook trackers die jouw surfgedrag in de gaten houden, op basis daarvan advertentieprofielen samenstellen en deze profielen mogelijk doorverkopen aan geïnteresseerde commerciële partijen.

Wat dit specifiek betekent voor New Profile Pic, kun je nalezen in het Privacybeleid. Ze erkennen dat jouw data wordt gedeeld met derden om relevante advertenties voor te schotelen, maar stellen deze data niet te verkopen.

Hoe dan ook, als jij een gratis app downloadt en daar niet voor betaalt, dan ben jij in feite niet zozeer de gebruiker, maar eerder het product. En het is altijd goed om daar even bij stil te staan, voordat je zomaar klakkeloos allemaal apps downloadt en installeert.

Ook hierover doen de nodige geruchten de ronde. Maar concreet wordt het nergens.

De app biedt volgens informatie in de Apple App Store en de Google Play Store wel de mogelijkheid om zogenaamde in-app aankopen te doen, en bedragen daarvoor lopen uiteen van 28,49 euro tot 33,99 euro. Het lijkt te gaan om een zogeheten Premium-account, waarvoor je in ruil aanvullende, meer geavanceerde functionaliteiten kunt verwachten.

Daarvoor geldt in de regel echter wél dat je als gebruiker bewust een aanvraag moet indienen en de app vervolgens toestemming moet geven om daar een bedrag voor in rekening te brengen. Doorgaans moet je dan betaalinformatie opgeven én de betaling bevestigen.

In verreweg de meeste gevallen dat mensen claimen dat een app ten onrechte geld in rekening brengt, blijkt dat ze simpelweg niet goed hebben gelezen en lukraak maar ergens op hebben gedrukt. Er bestaat wel malware in apps die ongemerkt proberen om creditcardgegevens te stelen, maar daarvan is sprake in een kleine minderheid van de gevallen. Er is geen bewijs waaruit blijkt dat daarvan sprake is in het geval van New Profile Pic.

Snopes vroeg Google, Apple én de app-ontwikkelaar om een reactie. Een reactie van Google en Apple blijft vooralsnog uit, maar de ontwikkelaar reageerde wél: "De app is honderd procent gratis, bevat géén in-app aankopen, en betaalinformatie van gebruikers is dan ook niet nodig."

De ontwikkelaar suggereert dat gedupeerde gebruikers misschien een copycat-achtige app hebben gedownload die heel erg op New Profile Pic lijkt. Maar het is wel merkwaardig dat de officiële pagina's in beide Stores aangeven dat er wel degelijk sprake is van in-app aankopen. 

Voor een uitgebreide toelichting verwijzen we je graag naar Snopes, maar in de basis komt het erop neer dat dat niet kan worden bewezen. De website van de ontwikkelaar stond enige tijd geregistreerd in Moskou, maar dat zou slechts komen doordat de oprichter van het bedrijf daar enige tijd heeft gewoond.

Om verwarring te voorkomen, is het vestigingsadres van de domeinnaam verhuisd naar de Britse Maagdeneilanden. En ook de oprichter zou niet langer woonachtig zijn in Moskou.

De servers van de ontwikkelaar zijn evenmin in Rusland: er wordt gebruik gemaakt van infrastructuur van Amazon AWS en Microsoft Azure, en deze zijn gevestigd in de Verenigde Staten. Wél zijn er ontwikkelaars actief in zowel Rusland, Wit-Rusland als Oekraïne, aldus een woordvoerder.

Maar, zo vervolgt de woordvoerder, "er gaan géén persoonlijke gegevens en/of foto's van gebruikers naar Rusland."

De ontwikkelaar van New Profile Pic is geen gloednieuwe, onbekende speler in de markt. Ze hebben eerder apps ontwikkeld als "Photo Lab Picture Editor & Art" en "Toonme - Cartoons From Photos". Met beoordelingen van respectievelijk een 4,6 en een 4,5 op een schaal van 1 tot 5 zijn de beoordelingen overweldigend positief.

Gecombineerd zijn beide apps meer dan 150 miljoen keer gedownload, en dan hebben we het slechts over de Google Play Store (statistieken over het aantal downloads uit de Apple App Store zijn niet beschikbaar).

Als er sprake was van malversaties in de vorm van grootschalige datahandel of creditcardfraude, zou dat met aan zekerheid grenzende waarschijnlijkheid al eerder aan het licht zijn gekomen.

De bewering dat de app "gegevens doorsluist naar het Kremlin" kan niet worden bewezen, net als de bewering dat er sprake is van creditcardfraude. En zoals eerder opgemerkt, de app New Profile Pic vraagt gebruikers ook niet om een ongebruikelijke hoeveelheid permissies vergeleken met andere populaire apps.

Het enige dat we nogmaals kunnen herhalen, is dat je je ervan bewust moet zijn dat er aan gratis apps bijna altijd een commercieel haakje zit. Dat betreft het verzamelen van informatie en surfgedrag om gericht te kunnen adverteren. Het is dan ook een persoonlijke afweging of jij met deze data wenst te 'betalen' voor een gratis app.

Bron: Snopes, The Daily Mail, Google Play Store, Apple App Store, Linerock Investments