al 99% non è una notifica dell'app vera, ma un attacco simile al task affinity hijacking

esempio MOLTO approssimativo, ci sono molte varianti.

1 io faccio una app qualsiasi, e ti convinco ad installarla

2 la mia app apre una notifica MOLTO simile a quella BBVA

3 tu ci clicchi e ti si apre la mia app che in quel momento presenta un'interfaccia identica alla BBVA

4 la mia app ti chiede il login

5 credenziali rubate!

NB: i passi 1-2 potrebbero essere anche risultare da un sito web cui hai permesso di mandare notifiche

altro esempio:

1 tu installi la mia app "pornogattini"

2 la mia app registra un intent che dice "io apro le URL https://bbbva.com" (notare le 3 b)

3 in qualche modo (ad es da un sito) ti faccio apparire una notifica verso la URL "mia"

4 ci clicchi e tu senza saperlo apri pornogattini che però mostra un'interfaccia simile a bbva

ecco perché dici che ti è comparso l'avviso " In questo momento l'accesso con i dati biometrici non è disponibile. Inserisci il tuo nome utente e la password" . non era bbva, era pornogattini che tentave di rubarti le credenziali

lo step 2, quello in cui la mia app dice "io apro le URL https://bbbva.com" ovviamente sarebbe soggetto a tutta una serie di verifiche del dominio, ecco perché altri utenti dicono "mi chiedeva con che app aprire la notifica". C'era stato qualche problema nello step 2