Golpistas usam falso Mercado Livre Coleta para roubar dados e controlar celulares
Uma campanha criminosa identificada pela ESET Brasil utiliza a identidade visual do Mercado Livre para distribuir um aplicativo malicioso a usuários de celulares Android. A fraude promete benefícios financeiros, descontos, cashback, viagens, pontuação e pagamentos via Pix, mas, na prática, tenta convencer a vítima a instalar um APK fora da loja oficial e conceder permissões capazes de expor dados e permitir o controle remoto do aparelho.
O arquivo fraudulento é apresentado com o nome “Mercado Coleto”. Segundo a análise de segurança, ele é detectado como Android/HiddenApp.NH, um tipo de trojan que pode esconder o próprio ícone depois da instalação. Essa característica dificulta a identificação do programa e pode fazer com que a vítima continue usando o celular sem perceber que o dispositivo foi comprometido.
Como funciona o golpe do falso Mercado Livre Coleta
A abordagem começa normalmente por um anúncio, mensagem ou página que imita a comunicação visual do Mercado Livre. O usuário é informado de que teria acesso a uma suposta plataforma de coleta, campanha promocional ou programa de recompensas. Para participar, precisa baixar um aplicativo Android por meio de um link.
O problema é que o serviço “Coleta” não exige a instalação de um aplicativo independente distribuído por sites desconhecidos. O Mercado Envios possui modalidades legítimas de coleta, nas quais produtos podem ser retirados no endereço do vendedor. Em determinados procedimentos oficiais, o vendedor pode escanear um QR Code usando a câmera e concluir a operação pelo navegador, sem instalar um app específico nem iniciar sessão no aplicativo principal.
Por isso, um APK separado, recebido por anúncio, mensagem ou página não oficial, deve ser considerado um forte sinal de fraude. O fato de existir um serviço legítimo com nome semelhante é justamente o recurso usado pelos criminosos para tornar a mentira mais convincente.
Permissões que ampliam o risco
Durante a instalação, o aplicativo pode pedir autorização para instalar outros APKs, acompanhar mudanças no aparelho e configurar uma conexão VPN. Um pedido de VPN feito por um programa desconhecido precisa ser tratado com cautela. Dependendo da forma como o recurso é utilizado, o aplicativo pode intermediar ou redirecionar parte do tráfego do celular.
A ameaça se torna ainda mais grave quando o programa solicita acesso à acessibilidade, gravação da tela, câmera e registro do que é digitado. Isoladamente, algumas dessas permissões podem ter usos legítimos. Reunidas em um aplicativo falso, porém, elas podem permitir que criminosos observem a atividade do usuário e executem ações remotamente.
Com esse conjunto de recursos, os golpistas podem tentar capturar senhas, números de cartão, mensagens, códigos recebidos por SMS, informações de aplicativos bancários e credenciais utilizadas em redes sociais ou serviços corporativos. O acesso à acessibilidade também pode ser abusado para tocar na tela, abrir menus, confirmar operações e alterar configurações sem que o criminoso esteja fisicamente com o aparelho.
Por que a fraude parece verdadeira
A estratégia combina três elementos de engenharia social. O primeiro é a reputação de uma marca conhecida. O segundo é a promessa de uma vantagem imediata, como dinheiro, desconto ou benefício exclusivo. O terceiro é a sensação de urgência, geralmente criada por frases que indicam prazo limitado, vagas reduzidas ou necessidade de concluir um cadastro rapidamente.
A identidade visual copiada, os logotipos, as cores e a linguagem semelhante à comunicação oficial diminuem a desconfiança. Muitas pessoas também acreditam que qualquer aplicativo instalado no Android é automaticamente seguro, especialmente quando o download aparece em uma página com aparência profissional.
Outro fator explorado é o desconhecimento sobre arquivos APK. Esse formato permite instalar aplicativos fora da loja oficial, mas também elimina parte das barreiras de segurança e do processo de verificação normalmente aplicado pelas plataformas oficiais. Mesmo quando o Android exibe um alerta, a vítima pode ignorá-lo por acreditar que perderá uma promoção ou uma oportunidade de receber dinheiro.
Como identificar páginas e aplicativos falsos
O endereço da página deve ser analisado antes de qualquer download. Domínios com erros de ortografia, combinações incomuns de palavras, excesso de números ou extensões pouco familiares podem indicar uma página fraudulenta. Também é importante desconfiar de links encurtados e de anúncios que não levam diretamente aos canais oficiais da empresa.
Aplicativos legítimos devem ser procurados na loja oficial do sistema, sempre conferindo o nome do desenvolvedor, a quantidade de downloads, as avaliações e o histórico de atualizações. Esses dados não garantem segurança absoluta, mas ajudam a identificar cópias malfeitas e programas recém-criados.
Nenhuma promoção deve justificar a concessão indiscriminada de acesso à acessibilidade, à gravação de tela, à instalação de outros aplicativos ou à configuração de VPN. Se um app de compras ou logística exige permissões que não têm relação clara com sua função, o usuário deve cancelar a instalação.
Também é recomendável evitar aplicativos enviados por mensagens, anúncios em redes sociais e páginas que insistem na instalação imediata. A empresa pode ser consultada por seus canais oficiais, digitando o endereço manualmente no navegador, em vez de utilizar o link fornecido na mensagem suspeita.
O que fazer se o aplicativo já foi instalado
Se o APK foi instalado, o primeiro passo é interromper a conexão do celular. Ative o modo avião ou desligue o Wi-Fi e os dados móveis. Essa medida pode limitar a comunicação do malware com os servidores criminosos, embora não elimine a ameaça.
Em seguida, tente remover o aplicativo pelas configurações do Android. Antes disso, verifique se o programa recebeu privilégios de administrador, acessibilidade, VPN ou permissão para instalar outros aplicativos. Essas autorizações devem ser revogadas quando possível. Caso o app impeça a desinstalação, o aparelho pode precisar ser iniciado em modo de segurança.
A partir de outro dispositivo confiável, altere as senhas de e-mail, bancos, redes sociais, mensageiros e demais contas utilizadas no celular infectado. Ative a autenticação em dois fatores, dê preferência a aplicativos autenticadores ou chaves de segurança e encerre sessões abertas em outros aparelhos.
Também é necessário avisar o banco imediatamente se o celular tinha acesso a contas financeiras, cartões ou aplicativos de pagamento. O usuário deve verificar transações recentes, bloquear cartões se houver suspeita e contestar movimentações não reconhecidas.
Quando houver indícios de persistência, dificuldade para remover o malware ou acesso a informações sensíveis, a restauração de fábrica pode ser a alternativa mais segura. Antes de executá-la, arquivos importantes devem ser preservados com cuidado, evitando fazer backup de aplicativos desconhecidos ou arquivos suspeitos. Depois da restauração, o sistema deve ser atualizado e os programas reinstalados apenas pelas lojas oficiais.
Impactos para empresas
O comprometimento não afeta apenas o usuário individual. Um celular pessoal ou corporativo pode armazenar tokens de autenticação, e-mails, documentos, conversas e acessos a plataformas empresariais. Se o dispositivo for controlado por terceiros, contas corporativas podem ser usadas para fraudes, roubo de informações ou novos ataques contra colegas e clientes.
Empresas devem adotar políticas que limitem a instalação de aplicativos fora das lojas oficiais, exigir atualizações de sistema e incentivar o uso de autenticação multifator resistente a golpes de captura de código. Também é importante manter mecanismos para revogar rapidamente sessões e credenciais quando um aparelho for perdido ou comprometido.
Treinamentos periódicos ajudam a mostrar que marcas conhecidas também podem ser utilizadas em campanhas falsas. Funcionários devem saber que promoções, reembolsos e processos de logística nunca devem ser validados apenas pelo visual de uma página ou pelo nome exibido no aplicativo.
Como evitar novas infecções
Mantenha o Android e os aplicativos atualizados, ative o Google Play Protect e revise regularmente as permissões concedidas. Remova programas que não são utilizados e desconfie daqueles que tentam permanecer ativos em segundo plano sem uma justificativa clara.
Nunca informe códigos de autenticação, senhas ou dados bancários para concluir uma suposta entrega, liberar uma recompensa ou ativar uma coleta. Empresas legítimas não precisam que o consumidor instale um aplicativo desconhecido para receber uma promoção inesperada.
A principal defesa contra esse tipo de golpe é interromper a pressa. Verificar o endereço, procurar o serviço no aplicativo oficial e recusar permissões incompatíveis com a função do programa pode impedir que um simples download se transforme em roubo de dados e controle total do celular.