Alerta: criminosos criam site e app falsos do Mercado Livre para invadir celulares de vítimas

Como os criminosos atuam

Ao acessar o site falso, os criminosos tentam atrair a vítima com informações atrativas: “Acumule pontos e aproveite! Troque por viagens, descontos na fatura, cashback ou até Pix direto na conta. Tudo pelo app!”, diz a mensagem.

Logo abaixo, há um botão “Baixar APK”. É ali que está o arquivo malicioso, disfarçado de aplicativo e capaz de infectar o celular da vítima.

APK é a sigla para “Android Package Kit”, um formato de arquivo usado pelo Android para distribuir e instalar aplicativos no celular. Normalmente, os apps são baixados pela Google Play Store, loja oficial do Android, mas também é possível instalar arquivos APK obtidos fora dela.

Esse tipo de instalação pode oferecer riscos, principalmente quando o arquivo vem de uma fonte desconhecida, como neste caso.

Segundo a ESET, o próprio Android alerta que baixar o aplicativo pode trazer riscos. No teste feito pelo G1,  o sistema exibiu um aviso de que o “arquivo pode ser nocivo”, mas ainda assim permitiu a instalação.

“Após a instalação, surge uma tela solicitando a liberação de acesso a uma VPN externa, o que permite que o dispositivo da vítima se conecte à mesma rede do criminoso, possibilitando o acesso remoto ao aparelho”, explicou a empresa de segurança.

Após a instalação, o app falso solicita permissões para gravar a tela, capturar o que é digitado no teclado e acessar a câmera. Com esses acessos, os criminosos conseguem controlar o aparelho sem que a vítima perceba.

A partir daí, eles podem tentar roubar senhas, números de cartões de crédito e códigos de autenticação recebidos por SMS. Também podem ativar recursos de acessibilidade do celular para monitorar senhas digitadas, mensagens enviadas e outras ações realizadas no aparelho.

“As permissões solicitadas são justamente o que pode transformar um simples download em uma porta de entrada para o criminoso acessar recursos críticos. Por isso, qualquer pedido de acesso a VPN, acessibilidade ou controle remoto feito por um app desconhecido deve ser tratado como um forte sinal de alerta”, explica Jonathan Ramos, pesquisador de segurança da ESET Brasil.

O que fazer se você baixou o app falso e como se proteger

Se você baixou esse ou qualquer outro app suspeito, a recomendação é ativar o modo avião e desligar as conexões Wi-Fi e de rede móvel do celular. Isso pode interromper a comunicação do aplicativo com os criminosos.

Em seguida, tente desinstalar o app. Caso não seja possível removê-lo, a recomendação é restaurar o aparelho para as configurações de fábrica. Esse procedimento apaga os dados armazenados no celular, por isso é importante manter um backup atualizado.

Também é aconselhável alterar as senhas de contas importantes, como as de bancos, e-mail e redes sociais. “Deve-se procurar as instituições financeiras em que tem conta para acompanhar possíveis movimentações suspeitas. A ativação da autenticação em duas etapas nas contas importantes adiciona uma camada extra de proteção”, aconselha a ESET.

Veja, a seguir, outras dicas para se proteger:

 Observe o endereço (URL): o endereço de sites oficiais de grandes empresas costuma usar o domínio da própria companhia. No Brasil, é comum que esses endereços terminem em “.com.br”, mas algumas empresas usam apenas “.com” ou outros domínios. Por isso, confira se a URL corresponde ao endereço oficial da empresa e se não há alterações ou caracteres estranhos.

 Analise a estrutura do site: golpistas costumam copiar páginas oficiais, mas erros de português, imagens de baixa qualidade, informações inconsistentes e elementos que não funcionam corretamente podem indicar uma tentativa de fraude.

Baixe aplicativos apenas de fontes confiáveis: evite instalar APKs recebidos por links, mensagens ou sites desconhecidos. Dê preferência às lojas oficiais, como a App Store, no iPhone, e a Google Play Store, no Android.

Desconfie de mensagens que criam senso de urgência: páginas falsas podem exibir alertas de tempo esgotando ou “últimas unidades”, por exemplo, para pressionar a vítima a clicar e concluir uma compra rapidamente. Também desconfie de ofertas que prometem vantagens fáceis ou benefícios muito acima do normal, como cashback, dinheiro ou pontos para trocar por viagens.

 Atenção a preços muito abaixo do mercado: em sites que anunciam produtos e serviços, criminosos podem oferecer preços muito inferiores aos praticados por lojas confiáveis para atrair vítimas. Desconfie de ofertas que estejam muito abaixo do valor normalmente cobrado.

Cuidado com anúncios na internet: criminosos podem usar anúncios patrocinados em redes sociais e mecanismos de busca para aumentar a visibilidade e a aparência de legitimidade de páginas falsas. Por isso, mesmo que o site apareça como anúncio, confira o endereço antes de fornecer dados ou fazer uma compra.

Caiu em um golpe? Entre em contato com o banco o quanto antes e solicite o Mecanismo Especial de Devolução (MED) para tentar reverter o PIX.

O que diz o Mercado Livre

“O Mercado Livre informa que tomou conhecimento do caso e acionou suas equipes para a análise do conteúdo e solicitação de derrubada da URL maliciosa. A empresa esclarece que a ação se trata de uma tentativa de fraude externa ao seu ecossistema e que não possui um aplicativo ou site exclusivo para o serviço Mercado Livre Coleta.

A companhia reforça que não envia links para downloads de aplicativos fora das lojas oficiais (como Google Play e App Store) e reitera que todas as operações e interações devem ser realizadas exclusivamente por meio do site ou aplicativo oficial do Mercado Livre.

O Mercado Livre mantém monitoramento contínuo para atuar preventivamente na identificação de uso indevido de sua marca e reafirma seu compromisso com a segurança e a proteção do seu ecossistema e de seus usuários.”