Apps falsos: como identificar antes de instalar no celular

Para identificar apps falsos, confira quem fez o app, há quanto tempo ele existe e se as avaliações parecem reais, e nunca instale um app a partir de um arquivo que alguém mandou por mensagem, SMS ou QR Code. A maioria dos aplicativos maliciosos copia um app conhecido na loja oficial ou chega como download direto acompanhado de uma história urgente. Se um app chegou até você por uma mensagem, e não por uma busca sua no Google Play ou na App Store, trate isso como sinal de alerta.

Isso importa porque um app malicioso pode ler suas mensagens, inclusive os códigos de verificação do banco, mostrar telas de login falsas ou até deixar um criminoso controlar sua tela. Uma única instalação errada pode terminar com a conta do banco zerada e contas roubadas. Algumas verificações simples barram quase todos esses truques.

Apps imitadores nas lojas oficiais

O Google Play e a App Store analisam os apps, mas algumas falsificações ainda passam por um tempo. Elas copiam o nome e o ícone de um app popular, como o de um banco, de um serviço de entregas ou de um serviço do governo.

Antes de tocar em Instalar, confira estes detalhes:

• Nome do desenvolvedor. Compare com o site oficial da empresa. O app de um banco deve ser publicado pelo próprio banco, não por uma pessoa ou por uma empresa de nome parecido.
• Nome e ícone. Procure pequenas diferenças: uma palavra a mais, como "Pro" ou "Plus", erros de grafia ou um ícone meio borrado.
• Número de downloads comparado com as avaliações. O app verdadeiro de um grande banco costuma ter muitos downloads e um longo histórico de avaliações. Um imitador muitas vezes tem poucos downloads, mas muitas avaliações de cinco estrelas.
• Avaliações recentes. Ordene pelas mais novas. Elogios curtos e genéricos publicados nos mesmos poucos dias são suspeitos, e reclamações como "este não é o app oficial" são um alerta claro.
• Permissões. Se uma ferramenta simples quer seus SMS, seus contatos ou os recursos de acessibilidade, pergunte por quê. Nosso guia de permissões de aplicativos explica quais são arriscadas.

O hábito mais seguro é seguir o link da loja que está no site oficial do banco ou do serviço, em vez de tocar no primeiro resultado da busca, que pode ser um anúncio.

Arquivos APK enviados por WhatsApp, SMS ou QR Code

Esse é um dos golpes de celular mais comuns hoje, principalmente no Android. Alguém se passando por banco, Receita, empresa de entregas ou polícia entra em contato com uma história urgente:

• "Instale este app para receber sua restituição."
• "Pague sua multa de trânsito por este app antes que ela dobre."
• "Sua encomenda está retida. Instale nosso app de rastreio para reagendar a entrega."

O "app" é um arquivo APK (o instalador de apps do Android) enviado como link, anexo no app de mensagens ou QR Code. Depois de instalado, ele pede acesso de acessibilidade ou aos SMS, o que permite aos criminosos ler os códigos do banco e acompanhar sua tela.

Guarde uma regra simples: bancos e órgãos do governo de verdade não mandam arquivos de app por WhatsApp, outros apps de mensagem ou SMS. Se receber um pedido assim, desligue, feche a conversa e fale com a instituição pelo telefone oficial.

Se o link chegou como QR Code, você pode ler o QR Code online para ver o endereço completo antes de abrir. Um link terminado em ".apk", ou uma página que já começa um download sozinha, é um forte sinal de golpe.

Falsas atualizações e o aviso de "fontes desconhecidas"

Mensagens de atualização falsas

Janelas dizendo "Seu navegador está desatualizado" ou "Seu celular está infectado" não são mensagens reais do sistema. As atualizações de verdade vêm das Configurações do celular, da App Store ou do Google Play. Feche a página.

O aviso de "instalar apps desconhecidos" no Android

Por padrão, o Android bloqueia instalações de fora do Google Play. Para instalar um APK, você precisa permitir que um app específico, como o navegador ou um app de mensagens, "instale apps desconhecidos", e o Android mostra um aviso. O Google Play Protect também pode alertar que o app é perigoso.

Leve esses avisos a sério. Se alguém ao telefone estiver guiando você para ativar essa opção, pare: é exatamente isso que os golpistas fazem. Se você já liberou no passado, procure "instalar apps desconhecidos" nas Configurações e desative.

Truques no iPhone: perfis de configuração e apps corporativos

• Perfis de configuração. Um site pode pedir que você baixe um "perfil" para ganhar Wi-Fi grátis, um prêmio ou um "certificado de segurança". Um perfil malicioso pode desviar seu tráfego pelo criminoso. Confira em Ajustes > Geral > VPN e Gerenciamento de Dispositivos. Se aparecer um perfil que você não reconhece e que não foi instalado pela sua empresa ou escola, remova.
• Apps corporativos e de teste. Empresas podem instalar apps internos sem passar pela App Store, e desenvolvedores podem convidar pessoas para testar apps. Golpistas abusam disso com apps falsos de investimento e de banco. Se pedirem para você "confiar" em um desenvolvedor nos ajustes antes de o app abrir, ou para instalar uma "versão beta" de um app de investimentos, é quase certamente golpe.

Fora do trabalho ou da escola, um usuário comum de iPhone não deveria precisar de nenhum dos dois.

O que fazer se você instalou um app falso

1. Desconecte. Ative o modo avião para que o app não consiga enviar dados nem receber comandos.
2. Remova os direitos especiais. No Android, confira os "apps de administrador do dispositivo" (muitas vezes em Segurança) e as configurações de acessibilidade, e desative tudo o que você não reconhecer. Sem isso, o app pode se recusar a ser desinstalado.
3. Desinstale o app. No Android, se ele ainda não sair, reinicie no modo de segurança e tente de novo. No iPhone, apague o app e qualquer perfil desconhecido.
4. Ligue para o banco. Use o número que está no cartão e peça para verificarem as transações e bloquearem o acesso, se for preciso.
5. Troque suas senhas a partir de outro aparelho. Comece pelo e-mail, pelo banco e pelas redes sociais. Ative a verificação em duas etapas onde ainda não estiver ativa.
6. Verifique e acompanhe. Rode o Google Play Protect no Android, instale as atualizações e confira os sinais do nosso guia sobre vírus no celular. Se os problemas continuarem, faça backup das fotos e restaure o celular para as configurações de fábrica.

Checklist rápido

1. Instale apps só do Google Play ou da App Store, nunca de um arquivo enviado por mensagem, SMS ou QR Code.
2. Compare o nome do desenvolvedor com o site oficial da instituição.
3. Compare o número de downloads com o de avaliações e leia as avaliações mais recentes.
4. Desconfie de qualquer app que promete restituição, notícia da encomenda ou desconto na multa.
5. Mantenha "instalar apps desconhecidos" desativado no Android.
6. Ignore janelas que pedem para instalar uma atualização a partir de um site.
7. No iPhone, nunca instale um perfil nem "confie" em um desenvolvedor, a não ser que sua empresa ou escola tenha pedido.
8. Se instalou algo suspeito, desconecte, desinstale, ligue para o banco e troque as senhas a partir de outro aparelho.

FAQ

Apps falsos conseguem entrar no Google Play ou na App Store?

Sim, às vezes, embora as duas lojas removam as falsificações quando as encontram. Conferir o nome do desenvolvedor, o número de downloads e as avaliações recentes ajuda a pegá-las.

É seguro instalar um arquivo APK?

Só se você tiver certeza absoluta da origem. Um APK enviado por alguém que diz ser do banco, de um órgão do governo ou de uma empresa de entregas é golpe.

Como saber se um app é seguro?

Pergunte: ele está na loja oficial, o desenvolvedor é a empresa verdadeira, as avaliações parecem naturais e as permissões fazem sentido? Se alguma resposta for não, não instale.

O iPhone também pode ter app falso?

Sim. De vez em quando aparecem imitadores na App Store, e os golpistas usam perfis, apps corporativos e convites de teste para driblar a loja.

A maioria dos apps falsos chega às pessoas por um link ou QR Code numa mensagem urgente. Antes de abrir, confira para onde ele realmente leva com o leitor de QR Code online grátis do QR-TH e, se o endereço terminar em ".apk", pare por aí.