Aplicativos fraudulentos para Android obtiveram milhões de downloads de uma forma assustadora

Supõe-se que o Google Play seja o lugar mais seguro para obter aplicativos Android, mas nem todos os aplicativos da loja merecem sua confiança, especialmente se você os estiver procurando para fins potencialmente nefastos. Um golpe recentemente detalhado mostra até onde um aplicativo duvidoso pode ir antes de ser interrompido, com 28 aplicativos no Google Play acumulando mais de 7,3 milhões de downloads, prometendo acesso a registros de chamadas de outras pessoas, registros de SMS e histórico de chamadas do WhatsApp.

Os pesquisadores da ESET detalharam o golpe em um WeLiveSegurança relatórioonde eles se referem coletivamente aos aplicativos como “CallPhantom”. Os aplicativos diferiam na aparência, mas o truque era o mesmo: você digitava um número de telefone, pagava para desbloquear os supostos registros de comunicação e recebia dados falsos em troca.

Os pesquisadores descobriram que alguns aplicativos geravam números de telefone aleatórios e os associavam a nomes e detalhes de chamadas já incorporados no código. Outros pediram aos usuários um endereço de e-mail para onde o histórico ‘recuperado’ supostamente seria enviado. De qualquer forma, a ESET afirma que os aplicativos não solicitaram permissões intrusivas nem tiveram qualquer capacidade real de acessar os dados solicitados.

Não vamos ignorar o elefante na sala aqui. Ninguém merece ser enganado, mas este é um caso incomum em que a isca em si era bastante duvidosa. Os aplicativos não prometiam papéis de parede mais baratos ou um widget de clima melhor – eles alegavam oferecer acesso ao histórico de comunicação privada de outra pessoa.

O lado do pagamento também tornou as coisas mais complicadas. Alguns aplicativos usavam o sistema de faturamento oficial do Google Play, permitindo potencialmente que algumas vítimas reivindicassem reembolsos. Mas a ESET diz que outros direcionaram os usuários para aplicativos de pagamento de terceiros ou formulários de pagamento direto com cartão dentro do aplicativo. Em um caso, quando os usuários tentaram sair do aplicativo, ele mostrou alertas enganosos no estilo de novos e-mails que afirmavam que os resultados do histórico de chamadas haviam chegado e, em seguida, direcionavam os usuários de volta para uma tela de assinatura.

A ESET relatou os 28 aplicativos ao Google em 16 de dezembro, e todos eles haviam sido removidos do Google Play no momento da publicação do relatório. Embora o sideload possa ser mais criticado quando se trata de proteção contra golpes, somos lembrados de que a Play Store ainda pode dar a aplicativos ruins um grande público, uma vez que eles escapam.