ESET ontdekt grootschalige Android-oplichting

De apps, die door ESET de naam CallPhantom kregen, zijn gezamenlijk meer dan 7,3 miljoen keer gedownload. In totaal identificeerde ESET 28 verschillende apps die onderdeel uitmaakten van deze grootschalige scam. Na melding door ESET heeft Google alle betreffende apps uit de Play Store verwijderd.

De frauduleuze apps richtten zich voornamelijk op Android-gebruikers in India en de bredere Azië-Pacificregio. Veel apps hadden standaard het Indiase landnummer (+91) geselecteerd en ondersteunden UPI, een populair betaalsysteem in India.

“In november 2025 kwamen we via Reddit een app tegen genaamd Call History of Any Number,” zegt ESET-onderzoeker Lukáš Štefanko, die de fraude onderzocht. “Uit onze analyse bleek al snel dat alle weergegeven gegevens volledig verzonnen waren. De app genereerde willekeurige telefoonnummers en koppelde deze aan vaste namen, gesprekstijden en gespreksduren die rechtstreeks in de code waren opgenomen.”

Apps

De apps hadden een eenvoudige gebruikersinterfaceen vroegen opvallend weinig gevoelige toestemmingen aan gebruikers. Dat was ook niet nodig: de apps beschikten namelijk helemaal niet over functionaliteit om echte oproep-, sms- of WhatsApp-gegevens op te halen.

ESET ontdekte daarnaast dat sommige apps het officiële betaalsysteem van Google Play omzeilden. In plaats daarvan werden gebruikers doorgestuurd naar externe betaalmethoden of moesten zij direct hun betaalkaartgegevens invoeren in de app zelf. Daarmee overtreden de apps de betalingsrichtlijnen van Google Play én wordt het voor slachtoffers lastiger om hun geld terug te krijgen.

De bedragen die gebruikers moesten betalen liepen sterk uiteen. Sommige apps boden wekelijkse, maandelijkse of jaarlijkse “abonnementen” aan, met prijzen tot wel 80 dollar. Het goedkoopste abonnement kostte gemiddeld ongeveer vijf euro.

Gebruikers die via het officiële betaalsysteem van Google Play betaalden, kunnen hun abonnement doorgaans annuleren en in sommige gevallen een terugbetaling aanvragen. Wie echter buiten Google Play betaalde, bijvoorbeeld via een externe betaalprovider of direct met een creditcard in de app, moet contact opnemen met de eigen betalingsprovider om een terugbetaling te proberen te regelen.

Meer informatie over CallPhantom is te vinden in het nieuwste blog van ESET Research: “Fake call logs, real payments: How CallPhantom tricks Android users” op WeLiveSecurity.com.