Google advarer: Slik kan svindelapper bytte ut telefonnumre i kontaktlisten din

Google advarer selv mot risikoen og forbereder et nytt tillatelsessystem som skal stoppe misbruket. Endringen kommer med Android 18 neste år, men trusselbildet gjelder alle Android-telefoner allerede i dag.

Problemet er den gamle tillatelsen WRITE_CONTACTS. Gir du en app denne tilgangen, kan appen «gjøre omfattende endringer i kontakter over hele enheten i bakgrunnen, uten at brukeren interagerer», skriver Google i sin utviklerblogg.

De fleste apper trenger ikke så bred tilgang, men får den likevel med én enkelt godkjenning ved installasjonen.

Slik kan en svindelapp slå til

Den konkrete trusselen er enkel å forstå. En app med kontakttillatelse kan bytte ut telefonnummeret til en kontakt i telefonboken din, for eksempel erstatte bankens offisielle nummer med et svindelnummer, uten å vise noe på skjermen.

Når banken deretter «ringer opp» deg med navnet som dukker opp som vanlig, er det i virkeligheten svindleren som når frem.

Scenariet er ikke hypotetisk: Å få en samtale fra et nummer som ser ut til å tilhøre banken, er et av de mest brukte grepene ved telefonsvindel, og det er nettopp dette mønsteret Android Police fremhever som den tydeligste risikoen med den gamle tillatelsen.

Slik bygger Google om systemet

Google presenterte planen i forbindelse med Android Dev Summit i slutten av oktober. Løsningen består av to deler.

For apper som bare trenger å lagre eller redigere enkeltkontakter, forsvinner behovet for WRITE_CONTACTS helt. I stedet skal de bruke en standardisert kontaktredigerer via intents (ACTION_INSERT, ACTION_EDIT, ACTION_INSERT_OR_EDIT), som viser brukeren et vanlig redigeringsgrensesnitt; ingenting skjer stille i bakgrunnen.

Google har samtidig rettet flere mangler: Tidligere «oppførte kontakt-intents seg ulikt fra en enhet til en annen. En del redigerere slapp data du sendte inn, som et kontaktbilde», skriver selskapet i utviklerbloggen.

For dialer-erstatninger, kontakthåndterere og synkroniseringsapper som virkelig trenger bred tilgang, innføres en ny såkalt «special app access»-tillatelse, MANAGE_CONTACTS. Den innvilges ikke via den vanlige pop-up-dialogen, men må aktiveres manuelt under Innstillinger og Spesiell app-tilgang, ifølge Android Developers’ Blog. Dessuten må utvikleren deklarere i Google Play Console at appen trenger tilgangen.

MANAGE_CONTACTS lanseres med Android 17 QPR2 i fjerde kvartal 2026, mens selve blokkeringen av gamle WRITE_CONTACTS-skrivinger trer i kraft for apper som retter seg mot Android 18 i 2027.

Slik kontrollerer du appene dine nå

Frem til Android 18 rulles ut, finnes det ingen automatisk beskyttelse. Risikoen gjelder alle Android-telefoner uansett versjon så lenge WRITE_CONTACTS fortsatt er åpen.

Slik går du gjennom appene dine på en Android-telefon:

1. Åpne Innstillinger

   
   

2. Velg Apper (eller Apper og varsler)

   
   

3. Gå til Tillatelser eller Tillatelsesbehandler

   
   

4. Velg Kontakter

   
   

5. Gå gjennom listen over apper som har tilgang og tilbakekall tillatelser for apper som ikke trenger det

   
   

Fokuser spesielt på apper du har lastet ned utenfor Google Play, eldre spill eller verktøy du ikke lenger bruker, samt apper hvis funksjon ikke har noen rimelig kobling til kontaktboken. En taklampe-app eller et enkelt spill har ingen grunn til å få skrive i telefonboken din.

For dialer, meldingsapper og skysynkronisering som Google-, Microsoft- eller Samsung-kontoer er kontaktilgang derimot ofte nødvendig; de er nettopp den typen tjenester som fremover vil trenge den nye MANAGE_CONTACTS-tillatelsen.