Google laat 'ervaren Android-gebruikers' alsnog ongeverifieerde apps sideloaden

'Ervaren Android-gebruikers' kunnen ook nog in de toekomst niet-geverifieerde apps blijven sideloaden. Dat belooft Google, dat juist wil dat zoveel mogelijk Android-apps in de toekomst van geverifieerde makers komen. Voor die ervaren gebruikers komt een 'geavanceerde flow'.

Google werkt sinds dit jaar aan een identiteitscheck, die verplicht wordt voor appmakers die apps willen aanbieden op Android, ook als ze niet via de Play-appwinkel geïnstalleerd worden. Critici vrezen dat dit sideloaden drastisch zou inperken. Google zegt nu op basis van feedback van powerusers het alsnog mogelijk te gaan maken om apps te sideloaden die van niet-geverifieerde appmakers komen.

Hiervoor komt een 'geavanceerde flow', die 'speciaal ontwikkeld is om dwang of druk van scammers tegen te gaan'. Deze flow krijgt ook 'duidelijke waarschuwingen, zodat gebruikers volledig weten wat de risico's zijn, maar uiteindelijk legt hij de keuze wel in handen van gebruikers'. Google zegt de komende maanden meer details te delen over deze flow.

Het nieuwe beleid van Google is opmerkelijk, aangezien het bedrijf aanvankelijk juist wilde dat alle gesideloade apps van geverifieerde appmakers zouden komen. Dit zou het platform veiliger moeten maken. Het bedrijf wilde een scamtechniek tegengaan waarbij mensen gebeld worden en te horen krijgen dat hun bankrekening gehackt is. Slachtoffers zouden een verificatieapp moeten sideloaden om hun geld veilig te stellen. In werkelijkheid is juist die verificatieapp malware, die 2fa-codes onderschept en de hackers zo laat inbreken op de bankrekening van de gebruiker.

Google blokkeert die malware wel, maar omdat appmakers van gesideloade apps niet geverifieerd zijn, kunnen criminelen eindeloos nieuwe malware maken. Daarom wil Google dat ook die gesideloade apps van geverifieerde appmakers komen. Dit nieuwe beleid moet in 2027 wereldwijd ingaan. Alternatieve Android-appstores waarschuwden eerder dat het beleid het einde voor hen zou betekenen.

Overigens is het niet de eerste draai die Google bij dit nieuwe beleid maakt. Het bedrijf wil het bijvoorbeeld ook mogelijk maken dat studenten en hobbyisten alsnog zonder verificatie apps kunnen blijven aanbieden om te sideloaden. Hiervoor komen speciale accounttypes, waarvan apps een beperkt aantal keer geïnstalleerd kunnen worden.

Reacties (40)

[DonJunior]

Scammers gaan vaak voor snelheid en angst: "doe het nu snel want anders..."

Een oplossing zou kunnen zijn om een vinkje te hebben (onder developer modus) voor het accepteren van sideloading, maar die pas in gaat een 24 uur nadat je deze hebt omgezet.

Dus je zet het vinkje voor 'sta sideloading toe' en dan kun je pas na 24 uur daadwerkelijk dit doen.

Powerusers weten dit dus bij aanschaf telefoon kunnen ze dit direct instellen.

Mensen zonder kennis die in een scam trappen hebben nu extra veiligheid omdat het 'paniek' verhaaltje niet op gaat.

Of denk ik dan te simpel?

[mbovenka]

Nee, ik denk dat het een heel goed idee is. Banken (in ieder geval de ING) doen dit ook met het verhogen van je daglimiet, dat gaat ook pas na 4 uur in.

[rko4u]

Dat kan best irritant zijn denk ik, toen ik mijn nieuwe telefoon had, kwam ik er achter dat de app voor mijn oortjes inmiddels was teruggetrokken en ik dus mijn noice canceling niet meer kon bedienen zonder de app te downloaden van mijn oude telefoon en te sideloaden op de nieuwe. Best irritant als je dan halverwege het proces hoort dat je 24 uur moet wachten. Slimme mensen zetten deze optie namelijk alleen aan op de momenten dat ze werkelijk willen sideloaden en laten deze niet open staan.

[jkommeren]

Erg goed idee. Als "power user" die soms iets buiten de store installeert heb ik hier absoluut geen problemen mee.

Is er ergens een Android dev forum oid waar je dit idee kunt pitchen?

(misschien waren ze het al van plan, maar op deze manier 2 vliegen in 1 klap denk ik: Onaangetaste flow voor experienced users, veiligere flow voor de rest)

[Reactie gewijzigd door jkommeren op 13 november 2025 09:38]

[Ulster Seedling]

Dan belt de scammer je na 24 uur terug met een smoes om dan verder te gaan?

Het zal zeker wat helpen, maar waterdicht wordt het er niet van.

[com2,1ghz]

Liever niet. Ik installeer wel eens een aantal applicties die niet beschikbaar zijn in de store en sta niet te wachten om weer 24 uur te moeten wachten als ik bij iemand even thuis ben. Zeker met initiele installaties.

Developer modus is al goed verstopt naar mijn idee. Heel dit gedoe met het beperken van sideloading vind ik een slecht idee. Zet er dan nog een vervelende captcha achtig puzzel erop met en je houdt al de power users over.

Maar goed ik begrijp je oplossing. Ik zou dan eerder zeggen 5 of 10 mimuten met een waarschuwingstekst die heel je scherm blokkeert en niet werkt als je aan de lijn bent.

[Advanced03]

Er is helemaal niets "side" aan. Google die zegt hoe je een Android apparaat waar jij voor betaald heb wel of niet mag gebruiken.


Walgelijk, en ik hoop dat de EU dit keihard gaat aanpakken.

[Reactie gewijzigd door Advanced03 op 13 november 2025 08:32]

[Snow_King]

Google, maar ook Apple hebben een zorgplicht. Te veel mensen trappen er in en sideloaden malware waarna hun spaargeld gejat wordt. Deze mensen moeten we ook beschermen.

Als niemand malware zou schrijven zou dit niet nodig zijn, maar het is wel de realiteit.

Je moet afwegen wat je wel en niet doet. Google lijkt hier goed over na te denken om zo de massa te beschermen.

[Caelestis]

Te veel mensen trappen er in en sideloaden malware waarna hun spaargeld gejat wordt.

Heb je hier een voorbeeld van? Als het vaak genoeg gebeurt dan zal het toch wel een keer in het nieuws belanden.

[Niema]

Naar mijn medeweten zijn de grootschalige scams op basis van emails die plaatsvinden in de webbrowser om de Bunq rekening leeg te stelen en telefoontjes. Er zijn wel nieuwsberichten geweest over apps die over een bank app weer werden gegeven in de hoop pincodes enzo te krijgen, maar als ik sites zoals hackernews mag geloven gebeurt dit in Brazilië Afrika en soms de VS, maar niet in eu/Nederland. Misschien hebben banken gewoon best effectieve anti fraude beveiliging

[Caelestis]

Er zijn wel nieuwsberichten geweest over apps die over een bank app weer werden gegeven in de hoop pincodes enzo te krijgen

Kan je er eentje vinden?

[mhnl1979]

Dat mag ook wel, want tegenwoordig werken er meer mensen bij de bank bij de anti witwas afdeling, dan bij de serviceafdeling. En dat is bij beide te merken...

[R_Zwart]

Ik weet niet of scammen via sideloaden nu al een groot probleem is, maar het is een kwestie van tijd voordat het wel een probleem is. Als andere manieren worden doorzien is het gewoon de volgende stap.

[bzzzt]

Heb je hier een voorbeeld van? Als het vaak genoeg gebeurt dan zal het toch wel een keer in het nieuws belanden.

Je kan natuurlijk zelf ook even zoeken in plaats van net doen of het niet voorkomt als het niet in het nieuws is.
Voorbeeld bericht van eergisteren: https://tecnobits.com/nl/...den--spyware--NFC-fraude/

En nu wil ik wel als kanttekening plaatsen dat het vasts niet het grootste risico is, maar waarom zou je als telefoonfabrikant dit soort praktijken niet aan willen pakken? Hier niets aan doen betekent gewoon dat mensen je producten niet kunnen vertrouwen.

[Reactie gewijzigd door bzzzt op 13 november 2025 09:34]

[closefuture]

Google, maar ook Apple hebben een zorgplicht.

Het zijn geen banken he, ze hebben helemaal geen "zorgplicht". Je zou op zijn hoogst kunnen stellen dat als de beveiliging van Android extreem slecht was Google nalatig is. Beetje raar om zo'n term als "zorgplicht" erin te gooien. Komt een beetje over als stemmingmakerij.

Ik hoor ook geen stemmen in de maatschappij die zeggen: "De beveiliging omtrent side-loading is zo slecht dat daardoor continue mensen opgelicht worden daar zou Google echt wat aan moeten doen".

[AnonymousGerbil]

Maar gaan mensen hierdoor minder voor dergelijke babbeltrucs vallen?

Als iemand zó overdonderd kan worden om zo een applicatie te installeren, dan maak ik me sterk dat het evengoed zal lukken om ze aan te praten dat ze zelf over moeten boeken "om hun rekening te behouden".

In mijn omgeving en in nieuwsberichten hoor/lees ik daar ook veel meer over, tegenover welgeteld nul gevallen van kennissen die ervan overtuigd worden door de al bestaande hoepels te springen van het installeren van een niet-play-store applicatie.

[Reactie gewijzigd door AnonymousGerbil op 13 november 2025 09:03]

[Brent]

Volgens mij staat er _zat_ van deze malware gewoon in de Play en App store. Ik hoor ook zelden van mensen die via sideloaden shit binnenhalen.

Ik adviseer mensen juist die Play en App stores te vermijden. Teveel malware. Wijst ook onderzoek op onderzoek uit dat het geen uitzonderingen zijn daar.

[Haterbot800]

Ik ben er niet op tegen dat er voor risico's wordt gewaarschuwd als je apps buiten de Play Store installeert.

Maar hoe kom je er bij dat die bedrijven een zorgplicht hebben? Als je zo denkt, moet de bouwmarkt ook controleren of je wel timmeren kan al je een hamer koopt. Je kan je op je vinger slaan. Je kan ook gewoon een keukenmes of een lamp kopen, zonder dat iemand kijkt of je je niet per ongeluk gaat snijden of aan de stroom komt.

Er zijn wat mij betreft andere fronten waar meer gedaan mag (en al lang had mogen) worden (zoals scam en malware uit reclame banners). Deze betutteling helpt daarbij niet echt, lijkt mij.

[readefries]

Te veel mensen trappen er in en sideloaden malware waarna hun spaargeld gejat wordt

Ik moet zeggen dat ik hier zelden tot nooit iets over hoor. Heb je daar bronnen voor?

[biteMark]

Ja en nee. De gemiddelde Android gebruiker (of smartphone gebruiker in het algemeen) is natuurlijk niet heel tech-savvy. Mensen zijn, zoals het artikel al beschrijft, heel makkelijk over te halen om malware te sideloaden dus volgens mij is het best een goed idee om dat standaard te blokkeren. De manier waarop je het kan ontgrendelen (en vooral in hoeverre je hierbij afhankelijk bent van Google) zijn volgens mij vooral belangrijk.

[oef!]

Je ziet op tweakers met enige regelmaat berichten voorbij komen over malware die in gesideloade apps zit.

Tijdens mijn werk maak ik nog wel eens mensen mee die gekraakte betaalde apps of andersoortige meuk installeren uit vage bronnen. Dit kan vervelende gevolgen hebben zoals bijvoorbeeld credential stealing, met alle gevolgen van dien.

Het beschermen van deze mensen heeft prioriteit. Zolang je als poweruser de mogelijkheid hebt het alsnog te doen vind ik het fair game.

[n4m3l355]

Aangezien de EU Aple de gebruikers laat treiteren, zie ik niet in waarom Google zich anders zou opstellen. Sterker nog het zou me verbazen gezien hoe de EU met Apple omgaat, dat Google niet precies hetzelfde doet.

Het is toch wel bijzonder hoe een probleem wat vroeger niet speelde nu opeens voor Google een reden is om er aandacht aan te geven. Immers als het echt zovaak voor zou komen, dan zou Google wellicht met data hebben gepoogd om de gebruiker er warm voor te maken. Maar gezien het uitblijven van harde informatie lijkt het eerder een power-grab.

[readefries]

Hmmn, ik zie het juis andersom. Er zijn groepen gebruikers die de vrijheid willen. Het is Apple die dat jaren moeilijk gemaakt heeft. Heel blij dat de EU hier tegenin gaat.

Mijn apparaat, mijn keuze!

[Elorad]

Nee hoor, google zegt hoe jjj de software, waar jij een licentie op hebt gekregen via de fabrikant van je telefoon, moet gebruiken. Je mag nog steeds AOSP of een custom rom installeren.

Maar niet om te trollen of een zinloze discussie aan te slingeren, is dit niet al sinds jaar en dag het beleid van die andere grote smartphone met software fabrikant? Alles alles via hun winkel, niks side loaden. Volgens mij is het unlocken van de bootloader ook nog eens nodeloos ingewikkeld gemaakt (maar dat heb ik va horen zeggen)

Overigens wil ik niet zeggen dat ik het eens ben met de plannen van google, en jiemand hier gelooft dat het is om de gebruiker beter te beschermen. Da's hooguit een gelukkig bijeffect (als het zo is)

[The Zep Man]

Hiervoor komt een 'geavanceerde flow', die 'speciaal ontwikkeld is om dwang of druk van scammers tegen te gaan'. Deze flow krijgt ook 'duidelijke waarschuwingen, zodat gebruikers volledig weten wat de risico's zijn, maar uiteindelijk legt hij de keuze wel in handen van gebruikers'. Google zegt de komende maanden meer details te delen over deze flow.

Dit doet mij denken aan de bijna doodsbedreigingen die ik ooit ontving van Xiaomi toen ik de bootloader van mijn toestel wilde unlocken. Het ironische is dat ik dit juist doe om van dit soort onzin van Google en fabrikanten af te komen. Mijn hardware, dus ik bepaal welke software erop draait.

We zijn Web Environment Integrity nog niet vergeten. Hou op met het excuus dat je het zo goed voor hebt met gebruikers om draconische maatregelen op te leggen. Maak het desnoods een vinkje achter Developer Options en ga weer over tot de orde van de dag.

Het nieuwe beleid van Google is opmerkelijk, aangezien het bedrijf aanvankelijk juist wilde dat alle gesideloade apps van geverifieerde appmakers zouden komen.

Ik denk dat de EU Google te veel in de nek hijgt om dit door te zetten.

[Reactie gewijzigd door The Zep Man op 13 november 2025 08:23]

[GertMenkel]

Een simpel vinkje is het nu ook, scammers laten mensen die vinkjes dus aanklikken en de bestaande waarschuwingen wegklikken.

Banken en overheden in Brazilië, Thailand, en Indonesië zullen niet blij zijn met dit nieuws. Die vierden juist dat Google dit ging doen. Wellicht dat Google met hun developer verification de boel daar alsnog probeert te sussen.

[The Zep Man]

Een simpel vinkje is het nu ook,

Het is nu een simpel vinkje dat niet achter Developer Options verstopt zit. Developer Options staan standaard niet aan.

Banken en overheden in Brazilië, Thailand, en Indonesië zullen niet blij zijn met dit nieuws. Die vierden juist dat Google dit ging doen.

Banken en overheden kunnen hun gebruikers/onderdanen ook opvoeden en op eigen verantwoording wijzen. With great power comes great responsibility. Een apparaat dat in je broekzak past waarmee je de hele wereld kan bereiken is best wel veel macht.

[Reactie gewijzigd door The Zep Man op 13 november 2025 08:26]

[GertMenkel]

Of je nu zeven keer op buildversie drukt of op "ja, installeer mogelijk een virus" maalt voor de scammers niks uit. "Wij zijn de ontwikkelaars van uw bank, daarom moet die modus aan," boem daar gaat je extra beveiliging. Als ze je telefonisch een APK weten te doen installeren, gaat het vinkje verplaatsen echt niks doen.

With great power comes great responsibility. Een apparaat dat in je broekzak past waarmee je de hele wereld kan bereiken is best wel veel macht.

Ja, daarom kijken overheden dus naar Google en fabrikanten om hun verantwoordelijkheid te nemen voor de producten die ze de wereld inslingeren. Ik ben het niet met ze eens, maar dat argument werkt dus ook de andere kant op.

[The Zep Man]

Of je nu zeven keer op buildversie drukt of op "ja, installeer mogelijk een virus" maalt voor de scammers niks uit.

Je denkt met name vanuit de huidige situatie. Google kan prima diens waarschuwingen toevoegen aan het activeren van de Developer Options. Daarna houdt het wel een keertje op met waarschuwen.

Ja, daarom kijken overheden dus naar Google en fabrikanten om hun verantwoordelijkheid te nemen voor de producten die ze de wereld inslingeren.

Er is niets mis met fabrikanten wijzen op hun verantwoordingen, net als dat er niets mis is met het wijzen van gebruikers en burgers op hun verantwoordingen.

[Reactie gewijzigd door The Zep Man op 13 november 2025 08:47]

[Marrtijn]

Zo lang de 'geavanceerde flow' bestaat uit het uitvoeren van een paar klikjes lijkt het me een prima compromis.

[Vexxon]

De grote kritiek richting iOS was altijd dat het teveel gesloten was/is. En hoewel dat waar is, is Android tegenwoordig toch niet veel meer open dan iOS

[Gerjannn]

Vermoed dan dat dat via adb moet. Dat zou m.i. prima werkbaar zijn en werkt volgens mij tegenwoordig ook zonder tussenkomst van een pc.

[Webarcher]

Loop je dan niet een extra risico met bijv bank apps of andere apps waar je identiteit belangrijk is? Kan door het installeren van apps niet gevaarlijke maalbare meekomen? Wie is dan verantwoordelijk? De bank?

[ShadLink]

Telefoons (en andere apparaten) zouden mi. 2 varianten van hun OS moeten hebben. Een "open" variant waar je in principe alles op kan veranderen, maar dat wanner je bv een Bank applicatie opent je een extra verificatie moet uitvoeren voordat je de app kan gebruiken. En een "gesloten" variant waarbij de gebruiker enkel Apps uit de officiële store kunnen installeren. En dat is dan altijd de store van de leverancier van het OS.
De kosten voor het gebruik van de store en voor het verkopen via de store moeten dan via een wet worden begrenst op een maximaal percentage. (dekkend voor transactiekosten, hosting op de server en het werk van support medewerkers) De apps in deze store moeten gecontroleerd worden op legaliteit (geen spam, geen malware) maar verder moet iedereen op store sofware kunnen uitbrengen.

[gamezfreak]

Telefoons (en andere apparaten) zouden mi. 2 varianten van hun OS moeten hebben. Een "open" variant waar je in principe alles op kan veranderen, maar dat wanner je bv een Bank applicatie opent je een extra verificatie moet uitvoeren voordat je de app kan gebruiken. En een "gesloten" variant waarbij de gebruiker enkel Apps uit de officiële store kunnen installeren. En dat is dan altijd de store van de leverancier van het OS.
De kosten voor het gebruik van de store en voor het verkopen via de store moeten dan via een wet worden begrenst op een maximaal percentage. (dekkend voor transactiekosten, hosting op de server en het werk van support medewerkers) De apps in deze store moeten gecontroleerd worden op legaliteit (geen spam, geen malware) maar verder moet iedereen op store sofware kunnen uitbrengen.

Je bedoeld net als Windows 11S mode? By default staat op Android de opties om te sideloaden uit en moet je zelfs per app aangeven welke wel en niet andere applicaties mogen installeren (bijv. vanuit Chrome of vanuit File Explorer). Kwestie van vinkjes uitlaten en geen apps installeren die er "vertrouwd" uitzien, maar eigenlijk vol met malware bevatten + DNS filtering en een AV bij gebruiken lost het probleem al op.

[ShadLink]

Windows S-mode is idd een mooi voorbeeld, maar ik dat gaat denk ik niet ver genoeg. Wat ik bedoel is dat de twee varianten van het OS exclusief aan elkaar zijn en dan énkel door je OS te resetten (apps worden verwijderd, maar niet persoonlijke gegevens) tussen de twee kan switchen. Anders zou je zo eerst "open" kunnen aanzetten, een slechte app installeren en dan weer "veilig" aanzetten. Ook moet de App van het OS kunnen weten in welke modus het draait.

[xoniq]

Zolang ik gewoon Infinity+ (Reddit), YouTube via ReVanced (met zaken als SponsorBlock etc) kan draaien, en daarnaast mijn hobby projecten, vind ik het prima. Ik heb jaren iPhone gehad, en als ik daar m'n eigen hobby projecten wou sideloaden moest ik elke 7 dagen opnieuw signen. Ben je op vakantie, werkt je app niet meer, dan is dat stront irritant. Als Google zoiets gaat doen is het voor mij weer exit.

[dimdek]

Allereerst snap ik de term sideloaden niet. Het impliceert dat Android een gesloten systeem is van een Google appstore met een OS en dat gebruikers iets illegaals doen door op andere wijze software te installeren (maar dat is natuurlijk wat Google iedereen wil aansmeren zodat ze hun machtspositie behouden).

Verder lijken de maatregelen allemaal ingesteld te worden vanwege risico's bij bankzaken die op de telefoon worden afgehandeld. Zelf ben ik nooit van plan om bankapps op mijn smartphone te gaan gebruiken en is het te bizar voor woorden dat iedereen min of meer wordt gedwongen om dat wel te doen terwijl er zoveel risico aan kleven die dan weer worden ingedamd door gebruikers rechten te ontnemen en te beknotten bij het gebruik. Kortom, mensen die hun smartphone uitsluitend gebruiken voor handige apps die geen enkel risico opleveren worden beperkt. Het is natuurlijk goed te verklaren omdat Google goud geld verdient met de data die wordt opgehaald van de smartphones. Met name de gegevens rond de banktransacties zijn zeer interessant en het is voor banken heel interessant gemaakt omdat de diensten goedkoop woeden aangeboden. Eigenlijk is het dus alleen nog een smartphone voor Google en bedrijven die met hun apps privacygegevens binnenhalen en voor gebruikers vwordt het steeds meer een slavery phone.