Apps falsos de Android estão sendo usados para roubar contas e espionar mensagens

Pesquisadores de segurança alertaram para uma plataforma criminosa que distribui versões adulteradas de aplicativos populares de Android. Com elas, golpistas conseguem roubar credenciais, monitorar mensagens e assumir contas de serviços como Telegram e WeChat.

Como a infecção acontece

Não há mágica envolvida, e isso é a boa notícia. A contaminação depende quase sempre do mesmo passo: a pessoa instala um aplicativo modificado baixado de um site falso ou recebido por engenharia social — aquele link no grupo com a versão turbinada, sem anúncio, com recurso premium liberado.

Uma vez instalado, o app funciona aparentemente normal. Ele abre, faz o que promete e, em segundo plano, entrega o acesso ao criminoso. O relato dos pesquisadores menciona ainda o uso de um aplicativo que cria um ambiente virtual isolado no aparelho, o que ajuda a esconder a atividade maliciosa de quem olha a lista de apps instalados.

Por que app modificado é uma armadilha tão eficiente

Porque o apelo é genuinamente atraente. Versão sem anúncio, recurso pago liberado, função que o app oficial não tem — para muita gente, parece um ganho sem custo.

O custo existe e é alto. Quando você instala um aplicativo fora da loja oficial, você abre mão de toda a camada de verificação que existe entre o desenvolvedor e o seu celular. Ninguém conferiu aquele pacote. Ninguém assinou. E, se ele pedir permissão de acessibilidade ou de leitura de notificação, ele passa a enxergar praticamente tudo o que acontece na tela.

O que fazer agora

• Instale apps só pela loja oficial. Play Store ou a loja do fabricante. É chato repetir, mas é a medida que sozinha resolve a maior parte dos casos.
• Revise as permissões de acessibilidade. Nas configurações do Android, veja quais apps têm esse acesso. Se tem algum que você não reconhece ou que não precisa disso, revogue agora.
• Olhe a lista de apps instalados com calma e desinstale o que não reconhece.
• Ative a verificação em duas etapas no Telegram, no WhatsApp e no e-mail. Mesmo que a senha vaze, a conta não cai tão fácil.
• Desconfie de link de instalação recebido em grupo, mesmo vindo de conhecido. Conta invadida distribui golpe em nome do dono.

Se você suspeita que foi atingido

Desconecte as sessões ativas nos aplicativos de mensagem (todos têm essa opção nas configurações), troque as senhas usando outro aparelho, ative a verificação em duas etapas e avise seus contatos para desconfiarem de pedidos de dinheiro feitos em seu nome.

Em caso de infecção persistente, backup dos arquivos pessoais e restauração de fábrica continuam sendo a solução mais segura.