假抖音 APK 會利用側載安裝，避開官方商店的上架流程，再以熟悉的 App 名稱和圖示降低戒心。Google Play 會在 App 上架前審查程式和開發者；直接從網站取得的檔案沒有經過這道商店審查。Google Play Protect 雲端防護說明。Google 也提醒，不明來源的程式可能危及裝置與個人資料。Android 下載 App 說明。Android 的 APK 簽章能確認檔案是否被更動、更新是否沿用原簽章，簽章本身不能證明發布者就是抖音官方。Android APK 簽章機制。TVBS報導的假抖音木馬個案中，受害者下載網站提供的安裝檔後，Google 帳號遭改密碼，電子支付綁定銀行存款約14萬元被轉出。若手機安裝 APK 時出現警告，可先看APK安裝被擋時的提示與處理方式。

手機旁的 APK 檔案與應用程式安全檢查畫面
從網站取得的安裝檔，應先確認來源和安全提示。（示意圖）

側載為什麼容易成為感染入口

從網站、通訊軟體或檔案分享連結下載 APK，代表使用者直接安裝商店外的程式。Google Play Protect 仍會掃描外部來源 App，可能發出警告、停用或移除有害程式，但新檔案或新變種未必已被辨識。Google 說明。因此，掃描沒有警告不能取代來源查核。也可參考Android開發者驗證與 APK 側載規則，理解商店外安裝多了哪些驗證環節。

手機顯示應用程式安全提示與來源驗證通知
Play Protect 會檢查商店外安裝的 App，但仍要先核對下載來源。（示意圖）

APK 簽章能證明什麼

Android 會驗證 APK 是否有有效簽章，並用簽章維持 App 更新時的來源連續性。Android Open Source Project 的簽章說明但簽章不等同政府或商店替開發者身分背書。仿冒者可以修改程式內容後重新簽署，手機仍可能確認「這份檔案簽署後沒有再被改動」，卻不會因此認定它是官方版本。要確認是否為原開發者簽署，必須把憑證指紋和開發者透過可信管道公布的資料核對。Android Developers 的驗證說明

使用者在 Android 手機安全設定中查看應用程式掃描功能
簽章能檢查檔案完整性，官方開發者身分仍須另外核對。（示意圖）

安裝前與疑似中毒後怎麼做

安裝前，從 Google Play 或開發者官方網站進入下載頁，核對開發者名稱、App 用途和更新紀錄；Android 建議 App 只索取完成功能所需的權限，使用者也可確認權限和功能是否相符。Android 權限說明若短影音 App 索取簡訊、通知或無障礙服務控制權，先停止安裝。安裝後若手機異常、帳號被登出或出現不明交易，先停止用該手機登入銀行及電子支付，從另一台可信任裝置更改 Google、電子郵件和金融帳號密碼，檢查登入裝置並聯絡銀行或支付業者處理交易。Google 建議開啟 Play Protect、移除不信任 App、檢查系統更新；仍有惡意程式跡象時，可能需要重設手機或請裝置廠商協助。Google 的 Android 惡意軟體處理步驟帳號疑似遭盜時，也應依Google 帳戶安全指引檢查近期活動、移除陌生裝置並改密碼。

使用者手持 Android 手機查看應用程式驗證通知
疑似中毒時，先用可信任裝置處理帳號，再清理手機。（示意圖）

常見問題

從 Google Play 下載 App 就一定安全嗎？
Google Play Protect 會在下載前檢查商店 App，也會持續掃描裝置上的程式，但掃描無法保證每個新威脅都已被辨識。下載前仍應核對開發者名稱、用途和權限，並維持 Play Protect 開啟。Google Play Protect 說明

手機顯示應用程式安全提示與來源驗證通知
商店下載仍要核對開發者和 App 權限。（示意圖）

安裝過假 APK 後，刪掉 App 就夠了嗎？
先開啟 Play Protect 掃描、移除不信任的 App，並從另一台可信任裝置更改已登入的重要帳號密碼。若異常仍持續，Google 建議考慮重設 Android 裝置或聯絡手機廠商；涉及不明交易時，應立即通知銀行或支付業者。Google 惡意軟體處理步驟

使用者在 Android 手機安全設定中查看應用程式掃描功能
Play Protect 掃描後，仍有異常可依官方流程重設手機。（示意圖）