Що таке APK-файл і чи безпечно його встановлювати у 2026 році

APK — стандартний формат інсталяційних пакетів Android і водночас один із головних каналів, через який на смартфони українців потрапляє шкідливе ПЗ. Фейкова «Дія», підроблений «Резерв+», «оновлений застосунок банку» — усе це поширюється саме такими файлами, поза офіційними магазинами. Водночас із 30 вересня 2026 року Google починає змінювати правила гри: встановлення застосунків від неверифікованих розробників поступово обмежуватимуть.

Що таке файл APK

APK (Android Package) — це формат інсталяційного пакета для Android, приблизний аналог EXE або MSI у Windows. Технічно це ZIP-архів, усередині якого міститься скомпільований код застосунку, ресурси, графіка, файл маніфесту з переліком потрібних дозволів і цифровий підпис розробника.

Цифровий підпис — ключова деталь для теми безпеки. Android дозволяє оновити застосунок лише файлом, підписаним тим самим ключем. Саме тому будь-який «модифікований», «зламаний» або «преміальний» APK завжди має чужий підпис: оригінальний розробник його не підписував і не контролює, що туди додали.

Із серпня 2021 року розробники завантажують у Google Play не APK, а AAB (Android App Bundle) — універсальний пакет, з якого магазин сам збирає APK під конкретну модель пристрою. Формат нікуди не зник: у вигляді APK застосунок урешті потрапляє на телефон, просто складання відбувається на боці Google.

Поза магазином APK досі використовують, щоб установити бета-версію, повернути попередню версію застосунку, поставити програму, недоступну в регіоні, або застосунок, якого немає в Play Маркеті. Це легітимні сценарії — проблема не у форматі, а в джерелі файлу.

Що змінюється у 2026 році: верифікація розробників Google

Найбільша за останні роки зміна в механіці встановлення застосунків на Android стосується не користувачів, а розробників — але наслідки відчують саме користувачі. Google запровадив обовʼязкову верифікацію особи розробника: застосунок має бути зареєстрований на реального підтвердженого автора, незалежно від того, поширюється він через магазин чи окремим файлом.

Згідно з офіційним таймлайном Google, етапи такі:

• червень 2026 — на більшість пристроїв з Android 8 і новіших автоматично встановлюється системна служба, яка згодом перевірятиме реєстрацію розробника;
• серпень 2026 — глобально запускаються облікові записи з обмеженим розповсюдженням (для студентів і любителів, без держпосвідчення та оплати) і «розширений сценарій» встановлення застосунків від неверифікованих розробників;
• 30 вересня 2026 — реєстрація стає обовʼязковою для семи магазинів застосунків (Google Play, Galaxy Store, Xiaomi GetApps, HONOR, OPPO, vivo, Palm Store) у Бразилії, Індонезії, Сінгапурі й Таїланді;
• 2027 рік — вимогу планують поширити на всі сертифіковані пристрої Android у світі.

Для України це означає, що прямо зараз нічого не блокується: країна не входить до першої четвірки. Але глобальний етап 2027 року торкнеться й українських користувачів. Для переважної більшості людей, які ставлять застосунки з Play Маркета, не зміниться нічого. Зміниться сценарій для тих, хто встановлює файли вручну: незареєстрований застосунок доведеться ставити або через Android Debug Bridge з компʼютера, або через розширений сценарій.

Окрема деталь, важлива для української аудиторії: Google прямо зазначає, що розширений сценарій містить контрольні точки, які мають протидіяти схемам із примусом — тобто ситуаціям, коли жертву по телефону вмовляють встановити файл. За описом The Hacker News, цей шлях передбачає увімкнення режиму розробника, перезавантаження, добу очікування та повторну автентифікацію. Шахрай, який тисне на жертву в режимі реального часу, такої паузи не витримує.

Деталі процедури верифікації — на сторінці Android Developers.

Чому APK — улюблений інструмент шахраїв в Україні

Формат APK став універсальним інструментом для атак на українців саме тому, що дозволяє обійти магазин застосунків разом із усіма його перевірками. Кілька задокументованих прикладів 2026 року.

Банківський троян Manic

У серпні 2026 року компанія ThreatFabric опублікувала дослідження шкідливого ПЗ Manic, яке діє щонайменше з лютого 2026 року і має виражену українську спрямованість. Програма відстежує 169 ідентифікаторів застосунків — переважно це українські банки, державні та ідентифікаційні сервіси, месенджери, а також засоби звʼязку військового призначення.

Manic перебуває на перетині банківського шкідливого ПЗ і мобільного шпигунського ПЗ

Manic поширюється через фішингові сайти та застосунки-дропери, які маскуються під утиліти. Після отримання доступу до спеціальних можливостей і сповіщень він здатен перехоплювати одноразові коди, фіксувати введений PIN-код і фактично керувати пристроєм. Окрема особливість — передавання викрадених даних через сусідні заражені смартфони по Wi-Fi Direct або Bluetooth: відключення телефона від інтернету не гарантує, що витік припинився.

Фейкова «Дія» і Дія.BankID

У червні 2026 року виявили підроблену сторінку, яка імітувала сервіс Дія.BankID і замість переходу в Google Play чи App Store запускала завантаження APK-файлу просто з браузера. Після встановлення застосунок просив доступ до SMS, сповіщень і файлів — набір, який дозволяє перехоплювати банківські коди підтвердження.

Практичний висновок простий: офіційна «Дія» не існує у вигляді APK-файлу. Жоден державний застосунок не поширюється посиланням на файл.

Підроблений «Резерв+»

У червні 2026 року кіберполіція спільно зі СБУ припинила діяльність групи, яка створила копію державного застосунку «Резерв+» і продавала до неї доступ. Клон зовні повністю імітував оригінал, але дозволяв вносити фіктивні дані про відстрочку; користувачів було понад чотири тисячі, доступ коштував 1200 гривень на місяць.

Розсилки під виглядом органів влади

Починаючи з січня 2026 року CERT-UA фіксує листи нібито від центральних органів виконавчої влади та обласних адміністрацій із закликом терміново оновити мобільні застосунки цивільних і військових систем. Активність відстежується за ідентифікатором UAC-0252; за даними Інтерфакс-Україна, у підтверджених випадках вкладення містило виконуваний файл для компʼютера — приманкою було саме «оновлення застосунку».

Спільна ознака всіх схем однакова: файл надходить не з магазину, а з месенджера, SMS, електронного листа або напряму з браузера — і завжди під приводом терміновості.

Як перевірити APK перед встановленням

Якщо встановлення файлу вручну справді потрібне, перед цим варто пройти короткий чекліст.

1. Джерело. Тільки офіційний сайт розробника. Державні та банківські застосунки в Україні поширюються виключно через Google Play і App Store — будь-яка інша пропозиція є шахрайством за визначенням.
2. Назва пакета. Її варто звірити зі сторінкою застосунку в Google Play: ідентифікатор видно в адресному рядку сторінки маркета після параметра id. Підробки зазвичай мають схожу, але не тотожну назву.
3. Контрольна сума. Якщо розробник публікує хеш SHA-256 файлу, його слід порівняти з реальним. Розбіжність означає, що файл змінено.
4. Перевірка у VirusTotal. Корисний, але не достатній крок: дропери спеціально проєктують так, щоб на момент перевірки вони були «чистими», а шкідливий модуль довантажували пізніше.
5. Дозволи. Червоні прапорці — спеціальні можливості (Accessibility), доступ до SMS, читання сповіщень, накладання поверх інших вікон, права адміністратора пристрою та дозвіл встановлювати інші застосунки. Калькулятору чи ліхтарику вони не потрібні.
6. Play Protect має бути увімкнений — вимикати його «щоб файл встановився» не варто ніколи.
7. Жодних установок під супровід по телефону. Якщо «співробітник банку», «рекрутер» чи «служба підтримки» диктує кроки встановлення — це шахрайство, незалежно від того, наскільки переконливо звучить співрозмовник.

Як встановити APK-файл на Android

Технічно процедура проста: завантажений файл потрібно відкрити, після чого система запропонує надати дозвіл на встановлення застосунків з невідомих джерел. Важливий нюанс: дозвіл видається не системі загалом, а конкретному застосунку-джерелу — браузеру, месенджеру або файловому менеджеру. Після встановлення його варто одразу відкликати в налаштуваннях, щоб випадковий файл не встановився наступного разу.

Два обмеження, про які варто знати заздалегідь:

• починаючи з Android 14, система блокує встановлення застосунків зі значенням targetSdkVersion нижче 23. Це прямий антималварний захід: шкідливе ПЗ роками використовувало старі рівні API, щоб уникати сучасної моделі дозволів. Обійти блок можна лише через ADB;
• в Android 16 зʼявився режим «Додатковий захист», який вимикає встановлення застосунків поза Play Маркетом і попередньо встановленими магазинами, не дає вимкнути Play Protect і блокує зʼєднання 2G. Для журналістів, військових, активістів і всіх, хто перебуває в зоні ризику цільових атак, це розумний компроміс: сайдлоадинг стає недоступним, зате зникає ціла категорія загроз.

Наскільки захищає Google Play Protect

Play Protect перевіряє не лише застосунки з магазину. За річним звітом Google, у 2025 році сканування в реальному часі виявило понад 27 мільйонів нових шкідливих застосунків поза Google Play. Окремий механізм блокує встановлення з «інтернет-джерел» — браузера чи месенджера, — якщо застосунок одразу запитує чутливі дозволи, характерні для фінансового шахрайства.

Це суттєвий захист, але не підстава вважати сайдлоадинг безпечним. Дропери на кшталт Manic будують свою логіку саме на обході перевірки на етапі встановлення: у момент інсталяції застосунок виглядає нешкідливим.

Чи законно завантажувати APK-файли

Завантаження APK з офіційного сайту розробника законне. Використання сайтів, які пропонують «зламані» версії платних застосунків, розблокований преміум або обхід підписки, порушує авторські права — і водночас гарантує, що файл підписаний чужим ключем і в нього могли додати будь-що.

Чи можна встановити APK на iPhone, iPad або macOS

Ні. iOS та iPadOS використовують власний формат інсталяційних пакетів — IPA, і APK на цих системах не відкривається в принципі. macOS теж не запускає APK: єдиний варіант — емулятор Android, з усіма ризиками, які супроводжують запуск неперевіреного коду.

Запит «як відкрити APK на айфоні» найчастіше виникає, коли користувачеві надіслали файл і просять його встановити. Сама неможливість це зробити — непогана перевірка: якщо співрозмовник наполягає, що «зараз усе налаштуємо», розмову варто завершити.

Що робити, якщо підозрілий застосунок уже встановлено

1. Увімкнути режим польоту, щоб обмежити передавання даних.
2. Зняти з застосунку доступ до спеціальних можливостей і права адміністратора пристрою — без цього видалення часто блокується.
3. Видалити застосунок; якщо він не видаляється, завантажити телефон у безпечному режимі.
4. Зателефонувати в банк і заблокувати доступ до рахунків. Номер слід брати з платіжної картки або офіційного сайту, а не з історії дзвінків.
5. З іншого пристрою змінити паролі до ключових акаунтів і завершити активні сесії.
6. Подати повідомлення на сайті Кіберполіції або зателефонувати на 102.

Якщо є підозра на глибоку компрометацію, надійний варіант — повне скидання пристрою до заводських налаштувань із подальшим відновленням лише перевірених застосунків із Play Маркета.