نصب یک اپ آنتی‌ویروس اندروید را تصور کنید. از شما می‌خواهد به پیامک‌هایتان دسترسی داشته باشد. به اعلان‌های تلگرام و واتساپ. به تماس‌های ورودی. و بعضی‌ها حتی به «دسترسی‌پذیری» — قدرتمندترین مجوز اندروید.

واکنش اول خیلی از کاربران این است: این اپ می‌خواهد همه چیزم را بخواند. شاید خودش خطرناک باشد!

این سوال منطقی است. اما پاسخ ساده نیست. در این مقاله توضیح می‌دهیم کدام دسترسی‌ها واقعاً لازم‌اند، کدام‌ها اضافی‌اند — و از کجا بفهمید یک اپ از اعتمادتان سوءاستفاده می‌کند.

۱. مجوز خواندن پیامک — برای چه؟

اندروید پیامک‌های دریافتی را به‌صورت پیش‌فرض نمایش می‌دهد. اما یک اپ برای خواندن متن پیامک‌ها باید مجوز READ_SMS داشته باشد.

آنتی‌ویروسی که ادعا می‌کند پیامک‌های فیشینگ را تشخیص می‌دهد، بدون این مجوز کاری نمی‌تواند بکند. مثل این است که از یک پزشک بخواهید بیماری را تشخیص دهد، اما اجازه ندهید به بیمار نگاه کند.

READ_SMS فقط خواندن را مجاز می‌کند — نه ارسال، نه حذف. اما همین خواندن هم بسیار حساس است.

۲. سرویس اعلان‌ها — پیام‌های تلگرام و واتساپ

مشکل: تلگرام، واتساپ، بله، روبیکا، ایتا، و سروش پیام‌هایشان را به‌عنوان پیامک ارسال نمی‌کنند. هر کدام یک اپ جداگانه با پایگاه داده مستقل دارند. پس READ_SMS اینجا کافی نیست.

راه‌حل اندروید: Notification Listener Service — سرویسی که به اپ اجازه می‌دهد اعلان‌های ورودی همه اپ‌ها را ببیند، درست مثل وقتی پیام تلگرامی روی صفحه ظاهر می‌شود.

آنتی‌ویروسی که می‌خواهد پیام‌رسان‌ها را هم پوشش دهد، باید این سرویس را فعال کند. بدون آن، نیمی از تهدیدات را اصلاً نمی‌بیند — چون امروز بیشتر کلاهبرداری‌ها از طریق پیام‌رسان‌ها اتفاق می‌افتد.

۳. غربال تماس — اندروید ۱۰ به بالا

اندروید از نسخه ۱۰، یک API اختصاصی برای آنتی‌ویروس‌ها ایجاد کرد: Call Screening Service. این سرویس به اپ اجازه می‌دهد قبل از زنگ خوردن گوشی تماس را بررسی کند.

اگر شماره در لیست کلاهبرداران شناخته‌شده باشد، اپ می‌تواند قبل از اینکه گوشی‌تان زنگ بزند، هشدار نشان دهد یا حتی تماس را رد کند.

بدون این مجوز، اپ فقط می‌تواند بعد از تماس به شما بگوید «این شماره مشکوک بود» — دیر است.

۴. اجرا در پس‌زمینه — بدون این، حفاظت وجود ندارد

یکی از مجوزهایی که کاربران زیاد می‌بینند، FOREGROUND_SERVICE یا درخواست برای اجرا در پس‌زمینه است.

آنتی‌ویروس باید قبل از کلیک شما هشدار دهد — نه وقتی خودتان اپ را باز کنید. این یعنی باید همیشه آماده باشد. اندروید به‌خاطر مصرف باتری، اپ‌ها را متوقف می‌کند — مگر اینکه صراحتاً اجازه اجرای مداوم داده شود.

این مجوز به اپ اجازه نمی‌دهد داده بیشتری بخواند — فقط می‌گوید «در پس‌زمینه فعال بمان».

۵. دسترسی‌پذیری — خط قرمز

دسترسی‌پذیری (Accessibility Service) قدرتمندترین مجوز اندروید است. اپ می‌تواند:

  • هر چیزی که روی صفحه نمایش هست را بخواند
  • دکمه‌ها را به‌جای شما بزند
  • هر اپ باز را زیر نظر داشته باشد

آنتی‌ویروس‌های سنتی (مثل سبک ویندوزی) از این مجوز استفاده می‌کنند تا «رفتار اپ‌ها» را تجزیه‌وتحلیل کنند.

اما این روش خطرناک است — هر بدافزاری که تظاهر به آنتی‌ویروس کند، دقیقاً همین مجوز را می‌خواهد. گوگل هم از اپ‌هایی که بدون دلیل مشخص این مجوز را می‌خواهند، در پلی‌استور جلوگیری می‌کند.

اگر اپی که ادعا می‌کند آنتی‌ویروس است، دسترسی‌پذیری می‌خواهد — نصبش نکنید.

۶. پارادوکس حریم خصوصی

اینجاست که اصل ماجرا است: آنتی‌ویروس برای انجام کارش به خواندن پیام‌ها نیاز دارد. اما همین «خواندن پیام‌ها» می‌تواند حریم خصوصی را نقض کند — اگر محتوا به سرور شرکت ارسال شود.

سوال اصلی این نیست که «چند تا مجوز می‌خواهد». سوال این است: این داده‌ها کجا می‌روند؟

  • آیا پردازش روی همان گوشی انجام می‌شود (آفلاین)؟
  • یا متن پیام‌هایتان به سرور شرکت می‌رود؟

اکثر آنتی‌ویروس‌های خارجی از مدل دوم استفاده می‌کنند — چون به ابر (cloud) متکی‌اند. این یعنی پیام‌های خصوصی شما از گوشی خارج می‌شود.


چه کنید؟

قبل از نصب هر اپ امنیتی، این ۴ سوال را بپرسید:

  1. پردازش آنلاین است یا آفلاین؟ اپ‌هایی که روی گوشی پردازش می‌کنند، داده‌ای ارسال نمی‌کنند.
  2. دسترسی‌پذیری می‌خواهد؟ اگر بله — رد کنید.
  3. سیاست حریم خصوصی را خوانده‌اید؟ دنبال عبارت «اشتراک‌گذاری با شخص ثالث» بگردید.
  4. منبع اپ معتبر است؟ اپ‌های مارکت‌های معتبر حداقل یک لایه بررسی دارند.

زنهار چه می‌کند؟

زنهار پیامک، پیام‌رسان‌ها، و تماس‌ها را بررسی می‌کند — و برای این کار از همان مجوزهایی استفاده می‌کند که در این مقاله توضیح دادیم: خواندن پیامک، سرویس اعلان‌ها، و غربال تماس.

تفاوت اصلی: همه پردازش‌ها روی همان گوشی شما انجام می‌شود. هیچ پیامی، هیچ لینکی، هیچ اطلاعاتی به سرور ارسال نمی‌شود. موتور تشخیص ۱۰۰٪ آفلاین کار می‌کند.

دسترسی‌پذیری را هم نمی‌خواهیم — نه الان، نه در آینده.