Gooligan: il furto di token Google nella campagna Android del 2016

Correzione del 31 ottobre 2026. Contestualizzati i numeri nel 2016 e distinta la capacità potenziale dei token dalle attività effettivamente descritte nelle indagini.

Il 30 novembre 2016 Check Point pubblicò un'analisi della campagna Gooligan, riportando oltre un milione di account coinvolti e circa 13.000 dispositivi compromessi al giorno in quel periodo. Sono stime storiche della campagna, non dati attuali. Rapporto Check Point.

Il malware cercava privilegi elevati su versioni vulnerabili di Android e sottraeva token di autenticazione. Un token non è la password: rappresenta un'autorizzazione, con un proprio ambito e ciclo di vita.

Cosa risultava dall'indagine

Il rapporto Android Security 2016 di Google descrive soprattutto l'abuso dei token per promuovere applicazioni su Google Play, scaricarle e pubblicare recensioni false. Google e Check Point collaborarono alla revoca dei token e al contrasto dell'infrastruttura.

Da questo non segue che fossero stati letti i messaggi Gmail o tutti i file di ogni vittima. Possibilità tecnica, permessi del token e attività osservata vanno distinti.

Un vecchio checker per indirizzi email non è una diagnosi completa del dispositivo. In caso di sospetta compromissione servono verifica del sistema e revoca degli accessi secondo le procedure ufficiali; un eventuale ripristino deve usare immagini e istruzioni affidabili del produttore.