Come capire se l’APK di un casinò è autentico: la firma

Due APK aperti il 4 novembre 2026

Abbiamo scaricato dai rispettivi siti gli APK di Betflag e Lottomatica e ne abbiamo letto firma e manifest con un nostro script, senza installarli; poi li abbiamo cancellati.

Le impronte complete le teniamo nei nostri appunti e non le pubblichiamo: sono una fotografia di un giorno e nessun operatore le ha rese pubbliche come riferimento.

Perché il nome non basta

Nei certificati Android l’autore inserisce da sé nome, organizzazione e città, e il certificato è di norma autofirmato (documentazione sulla firma). Chiunque può scrivere «Betflag» in quel campo. Quello che non si copia è l’impronta, la sequenza breve e unica che rappresenta il certificato: per questo Android confronta i certificati, non i nomi, quando arriva un aggiornamento.

Il messaggio da non forzare

Se provi a installare un file sopra l’app già presente e Android risponde «App non installata poiché il pacchetto è in conflitto con un pacchetto esistente», di solito il nuovo file ha una firma diversa. A quel punto disinstallare l’originale per far posto al nuovo è esattamente ciò di cui ha bisogno un falso. La strada giusta è riscaricare dal sito del concessionario.

Il controllo con apksigner, per chi ha un computer

Lo strumento apksigner fa parte dei Build Tools dell’SDK Android (documentazione). Il comando apksigner verify conferma che la firma è valida; l’opzione --print-certs mostra i certificati con le impronte. Insieme, su un file chiamato app.apk:

apksigner verify --print-certs app.apk

Ha senso soprattutto per confrontare due file: quello già installato, estratto dal telefono, e quello nuovo. Se le impronte SHA-256 sono diverse, i due file non vengono dallo stesso editore.