Google prepara il blocco delle app non verificate su Android: un virus di sistema, secondo F-Droid

F-Droid accusa Google: Android Developer Verification agirà come un blocco permanente alle app non certificate, con debutto forzato dal 30 settembre 2026 in Brasile, Indonesia, Singapore e Thailandia, primi mercati toccati dal piano globale

F-Droid ha alzato la voce contro Android Developer Verification, il sistema con cui Google impone la registrazione centralizzata di ogni sviluppatore Android. Nel report pubblicato il 1° luglio 2026, il team dello store di app open source paragona il meccanismo a un virus già installato su circa 4 miliardi di dispositivi Android, in attesa silenziosa di un segnale di attivazione da remoto.

Il processo, abbreviato in ADV, gira come servizio di sistema con privilegi root e secondo F-Droid non può essere disattivato dall'utente. A renderlo insidioso, denuncia l'organizzazione, è il fatto che venga distribuito proprio attraverso Play Protect, lo scanner antimalware presente su tutti i dispositivi Android Certified. Una volta attivo, il suo unico compito sarà impedire l'esecuzione di software scritto da sviluppatori non approvati centralmente da Google.

Google aveva presentato il programma nell'agosto 2025 come risposta a un dato preciso: le app diffuse tramite canali di sideload genererebbero, a detta dell'azienda, fino a 50 volte più infezioni rispetto a quelle scaricate dal Play Store. Da qui l'obbligo, per chi vuole distribuire software su Android, di registrarsi con documento d'identità e chiave di firma tramite un account Full Distribution da 25 dollari, oppure con un account Limited gratuito riservato a hobbisti e studenti, limitato a 20 dispositivi.

Le prime verifiche obbligatorie scatteranno a settembre 2026 in Brasile, Indonesia, Singapore e Thailandia, mercati che insieme contano circa 580 milioni di abitanti, prima dell'estensione globale prevista dal 2027. Per chi insiste a installare app non registrate resterà disponibile un "flusso avanzato": attivazione della modalità sviluppatore, attesa protettiva di 24 ore e riconferma biometrica, pensato da Google come deterrente contro il social engineering.

La zona grigia della parola "malware"

Il nodo più delicato individuato da F-Droid riguarda la clausola 6.5 dei termini di servizio dell'Android Developer Console, quella che autorizza Google a revocare l'accesso a chi distribuisce malware. Il documento non fornisce però alcuna definizione del termine, lasciando all'azienda la facoltà di decidere caso per caso cosa rientri nella categoria. Il precedente citato è quello degli ad blocker, già banditi dal Play Store e in alcuni casi già classificati come malware.

Per F-Droid esistevano alternative meno invasive: un Play Protect rafforzato sui permessi sensibili delle nuove app, oppure un modello di verifica come quello descritto nel paper accademico "DCM" del 2023, che avrebbe lasciato agli utenti la scelta dell'autorità certificatrice. Google ha scelto invece la strada della registrazione unica e obbligatoria, ridisegnando per decreto un ecosistema aperto da 18 anni.

La resistenza al progetto non manca. La coalizione Keep Android Open ha raccolto oltre 70 organizzazioni, tra cui EFF, FSF, FSFE, ACLU e il norvegese Forbrukerrådet, mentre una petizione online ha già superato le centinaia di migliaia di firme. F-Droid mette in dubbio anche il dato del 99% di sviluppatori registrati rivendicato da Google: includerebbe chi era già vincolato dai contratti del Play Store, senza un consenso realmente informato, e persino Gemini, interpellato sul tema, riconoscerebbe che il sostegno pubblico al programma resta pressoché nullo fuori da Google stessa.

Restano aperte le domande più concrete per chi vive nei quattro paesi pilota: cosa accadrà alle app F-Droid già installate, se i dati salvati resteranno accessibili e quali informazioni di telemetria verranno inviate a Google a ogni installazione. F-Droid dichiara di aver già scritto all'azienda per chiedere chiarimenti e promette aggiornamenti man mano che si avvicina la scadenza di settembre.