sideloading

Sideloading to instalowanie aplikacji z pominięciem oficjalnego sklepu, na przykład z pliku APK pobranego z linku w SMS-ie. CERT Polska pisze, że instalowanie aplikacji spoza oficjalnych sklepów omija procesy weryfikacji, a na Androidzie wymaga włączenia opcji „Nieznane źródła” ^[1]. Sam mechanizm jest legalny i przydatny, ale według analizy Google z aplikacji instalowanych z internetu pochodzi ponad 50 razy więcej złośliwego oprogramowania niż z aplikacji dostępnych w Google Play ^[3]. Dlatego sideloading jest częstą drogą infekcji telefonów, zwłaszcza malware bankowym.

Jak działa

Android jest platformą otwartą: dokumentacja dla twórców wprost dopuszcza dystrybucję aplikacji przez inne sklepy, e-mail albo własną stronę internetową ^[4]. Użytkownik musi jednak wcześniej wyrazić zgodę. Od Androida 8.0 robi to na ekranie „Instaluj nieznane aplikacje”, osobno dla każdego źródła, na przykład dla konkretnej przeglądarki; w wersji 7.1.1 i starszych służył do tego jeden przełącznik „Nieznane źródła” w ustawieniach zabezpieczeń ^[4].

Na iPhonie sideloading był historycznie ograniczony do urządzeń po jailbreaku ^[1], czyli po zabiegu opisanym w haśle rootowanie / jailbreak telefonu. W Unii Europejskiej stał się możliwy pod pewnymi warunkami ^[1]: od iOS 17.4 działają alternatywne sklepy, a rozprowadzane w nich aplikacje muszą przejść notaryzację Apple ^[6]. Operator takiego sklepu musi być zarejestrowany jako organizacja, opublikować zasady zbierania danych i prowadzić monitoring, który wykrywa oszustwa oraz aplikacje złośliwe lub nielegalne ^[6]. Nie jest to więc instalacja z dowolnego pliku, tylko drugi, nadzorowany kanał dystrybucji.

Typowy przebieg infekcji przez sideloading pokazuje schemat poniżej.

RYS. 1Infekcja przez aplikację spoza sklepu

Odmiany

Kanały instalacji różnią się tym, kto i w jakim stopniu sprawdza aplikację.

Pojęcie obejmuje także rozszerzenia przeglądarek instalowane ręcznie, poza oficjalnym sklepem rozszerzeń.

Zagrożenia i skutki

Sideloading sam w sobie nie jest atakiem. Jest kanałem, którym przestępcy dostarczają złośliwe oprogramowanie (malware), najczęściej po udanej socjotechnice. Google wskazuje, że przestępcy wykorzystują anonimowość, by podszywać się pod prawdziwych twórców i masowo rozprowadzać fałszywe aplikacje ^[3].

• Trojany bankowe rozsyłane przez smishing udają aplikacje banków, kurierów albo urzędów.
• Nakładka na aplikację bankową (overlay) wyświetla fałszywy ekran logowania nad prawdziwą aplikacją.
• Fałszywe aplikacje bankowe służą też do kradzieży danych karty, jak w przypadku, który opisuje hasło atak NFC relay.
• stalkerware bywa instalowany ręcznie przez osobę z dostępem do telefonu ofiary.

W WordPressie

W WordPressie odpowiednikiem sideloadingu jest instalowanie wtyczek i motywów spoza katalogu WordPress.org. Dokumentacja opisuje trzy drogi instalacji wtyczki: automatyczną z katalogu, wgranie archiwum ZIP przyciskiem „Upload Plugin” oraz ręczne przesłanie plików przez SFTP ^[7]. O wtyczkach z katalogu pisze, że są dokładnie testowane i uważane za bezpieczne, choć różnej jakości ^[7]. Archiwum wgrane ręcznie nie przechodzi tej drogi.

Najczęstszym źródłem problemów jest piracka wtyczka (nulled plugin), czyli płatny dodatek z nieoficjalnego źródła, oraz fałszywa wtyczka podszywająca się pod znaną nazwę. Taki plik może zawierać tylną furtkę (backdoor) albo webshell. Bezpieczniej jest pobierać płatne wtyczki wyłącznie od ich producenta i traktować każde ręcznie wgrane archiwum jak element łańcucha dostaw, który trzeba sprawdzić.

Jak się bronić

• Oficjalne sklepy. Najprostsza ochrona to instalowanie aplikacji wyłącznie ze sklepu producenta systemu ^[1] i niewłączanie zgody na nieznane źródła. Zgoda jest udzielana osobno dla każdego źródła ^[4], więc jeśli była potrzebna jednorazowo, warto ją potem cofnąć.
• Play Protect. Usługa Google sprawdza aplikacje przed pobraniem ze sklepu, skanuje urządzenie w poszukiwaniu szkodliwych aplikacji z innych źródeł, ostrzega przed nimi i może je wyłączyć lub usunąć ^[5].
• Tarcie przy instalacji. Google wprowadziło dla aplikacji od niezweryfikowanych twórców tak zwany advanced flow: restart urządzenia, 24-godzinne oczekiwanie i ponowne potwierdzenie biometrią lub kodem PIN ^[2]. Opóźnienie ma przerywać scenariusze ataków opartych na presji i pośpiechu ^[2]; instalacje przez narzędzie Android Debug Bridge nie są nim objęte ^[2].
• Zarządzanie flotą. Firmowe telefony można objąć MDM (zarządzanie urządzeniami mobilnymi) i zablokować na nich instalację spoza zatwierdzonych źródeł.

Historia i przykłady

W sierpniu 2025 roku Google zapowiedziało, że aplikacje na certyfikowanych urządzeniach z Androidem będą musiały pochodzić od zweryfikowanych twórców ^[3]. Weryfikacja ma działać jak kontrola dokumentu na lotnisku: potwierdza tożsamość twórcy, ale nie ocenia treści aplikacji ^[3]. Harmonogram przewidywał otwarcie weryfikacji dla wszystkich twórców w marcu 2026 roku, wejście wymagań w życie we wrześniu 2026 roku w Brazylii, Indonezji, Singapurze i Tajlandii oraz rozszerzenie na cały świat od 2027 roku ^[3]. Google podkreśla, że sideloading i alternatywne sklepy pozostają dozwolone ^[3]. W marcu 2026 roku Security Bez Tabu opisał 24-godzinne opóźnienie instalacji aplikacji od niezweryfikowanych twórców ^[2].