Golpistas desenvolveram um site e um aplicativo falsos em nome do Mercado Livre Coleta para tentar invadir celulares e obter dados pessoais das vítimas. A ação foi descoberta pela empresa de segurança digital ESET. O g1 teve acesso aos links usados no golpe e confirmou a prática.
O Mercado Livre Coleta é um serviço de logística voltado aos vendedores que usam a plataforma. Com ele, o próprio Mercado Livre retira os produtos no endereço dos lojistas e faz a entrega aos clientes que realizaram a compra.
A empresa, no entanto, não oferece um aplicativo exclusivo para esse serviço. Por isso, o app apresentado pelos criminosos como parte do Mercado Livre Coleta não é oficial.
O site que divulga o aplicativo também dá indícios de não ser oficial, já que termina em “pages.dev”. Sites oficiais de grandes empresas costumam terminar em “.com.br” ou “.com”.
Procurado pelo g1, o Mercado Livre disse que tomou conhecimento do golpe e que está atuando para derrubar a URL maliciosa.
“A companhia reforça que não envia links para downloads de aplicativos fora das lojas oficiais, como Google Play e App Store”, completou. (leia a nota abaixo)
Como os criminosos atuam
Ao acessar o site falso, os criminosos tentam atrair a vítima com informações atrativas: “Acumule pontos e aproveite! Troque por viagens, descontos na fatura, cashback ou até Pix direto na conta. Tudo pelo app!”, diz a mensagem.
Logo abaixo, há um botão “Baixar APK”. É ali que está o arquivo malicioso, disfarçado de aplicativo e capaz de infectar o celular da vítima.
APK é a sigla para “Android Package Kit”, um formato de arquivo usado pelo Android para distribuir e instalar aplicativos no celular. Normalmente, os apps são baixados pela Google Play Store, loja oficial do Android, mas também é possível instalar arquivos APK obtidos fora dela.
Esse tipo de instalação pode oferecer riscos, principalmente quando o arquivo vem de uma fonte desconhecida, como neste caso.
Segundo a ESET, o próprio Android alerta que baixar o aplicativo pode trazer riscos. No teste feito pelo g1, o sistema exibiu um aviso de que o “arquivo pode ser nocivo”, mas ainda assim permitiu a instalação.
“Após a instalação, surge uma tela solicitando a liberação de acesso a uma VPN externa, o que permite que o dispositivo da vítima se conecte à mesma rede do criminoso, possibilitando o acesso remoto ao aparelho”, explicou a empresa de segurança.
Após a instalação, o app falso solicita permissões para gravar a tela, capturar o que é digitado no teclado e acessar a câmera. Com esses acessos, os criminosos conseguem controlar o aparelho sem que a vítima perceba.
A partir daí, eles podem tentar roubar senhas, números de cartões de crédito e códigos de autenticação recebidos por SMS. Também podem ativar recursos de acessibilidade do celular para monitorar senhas digitadas, mensagens enviadas e outras ações realizadas no aparelho.
“As permissões solicitadas são justamente o que pode transformar um simples download em uma porta de entrada para o criminoso acessar recursos críticos. Por isso, qualquer pedido de acesso a VPN, acessibilidade ou controle remoto feito por um app desconhecido deve ser tratado como um forte sinal de alerta”, explica Jonathan Ramos, pesquisador de segurança da ESET Brasil.
O que fazer se você baixou o app falso e como se proteger
Se você baixou esse ou qualquer outro app suspeito, a recomendação é ativar o modo avião e desligar as conexões Wi-Fi e de rede móvel do celular. Isso pode interromper a comunicação do aplicativo com os criminosos.
Em seguida, tente desinstalar o app. Caso não seja possível removê-lo, a recomendação é restaurar o aparelho para as configurações de fábrica. Esse procedimento apaga os dados armazenados no celular, por isso é importante manter um backup atualizado.
Também é aconselhável alterar as senhas de contas importantes, como as de bancos, e-mail e redes sociais. “Deve-se procurar as instituições financeiras em que tem conta para acompanhar possíveis movimentações suspeitas. A ativação da autenticação em duas etapas nas contas importantes adiciona uma camada extra de proteção”, aconselha a ESET.
Veja, a seguir, outras dicas para se proteger:
- 🌎 Observe o endereço (URL): o endereço de sites oficiais de grandes empresas costuma usar o domínio da própria companhia. No Brasil, é comum que esses endereços terminem em “.com.br”, mas algumas empresas usam apenas “.com” ou outros domínios. Por isso, confira se a URL corresponde ao endereço oficial da empresa e se não há alterações ou caracteres estranhos.
- 🦹♂️ Analise a estrutura do site: golpistas costumam copiar páginas oficiais, mas erros de português, imagens de baixa qualidade, informações inconsistentes e elementos que não funcionam corretamente podem indicar uma tentativa de fraude.
- 📱 Baixe aplicativos apenas de fontes confiáveis: evite instalar APKs recebidos por links, mensagens ou sites desconhecidos. Dê preferência às lojas oficiais, como a App Store, no iPhone, e a Google Play Store, no Android.
- 📣 Desconfie de mensagens que criam senso de urgência: páginas falsas podem exibir alertas de tempo esgotando ou “últimas unidades”, por exemplo, para pressionar a vítima a clicar e concluir uma compra rapidamente. Também desconfie de ofertas que prometem vantagens fáceis ou benefícios muito acima do normal, como cashback, dinheiro ou pontos para trocar por viagens.
- 🤑 Atenção a preços muito abaixo do mercado: em sites que anunciam produtos e serviços, criminosos podem oferecer preços muito inferiores aos praticados por lojas confiáveis para atrair vítimas. Desconfie de ofertas que estejam muito abaixo do valor normalmente cobrado.
- ⚠️ Cuidado com anúncios na internet: criminosos podem usar anúncios patrocinados em redes sociais e mecanismos de busca para aumentar a visibilidade e a aparência de legitimidade de páginas falsas. Por isso, mesmo que o site apareça como anúncio, confira o endereço antes de fornecer dados ou fazer uma compra.
- 💳 Caiu em um golpe? Entre em contato com o banco o quanto antes e solicite o Mecanismo Especial de Devolução (MED) para tentar reverter o PIX.
O que diz o Mercado Livre
“O Mercado Livre informa que tomou conhecimento do caso e acionou suas equipes para a análise do conteúdo e solicitação de derrubada da URL maliciosa. A empresa esclarece que a ação se trata de uma tentativa de fraude externa ao seu ecossistema e que não possui um aplicativo ou site exclusivo para o serviço Mercado Livre Coleta.
A companhia reforça que não envia links para downloads de aplicativos fora das lojas oficiais (como Google Play e App Store) e reitera que todas as operações e interações devem ser realizadas exclusivamente por meio do site ou aplicativo oficial do Mercado Livre.
O Mercado Livre mantém monitoramento contínuo para atuar preventivamente na identificação de uso indevido de sua marca e reafirma seu compromisso com a segurança e a proteção do seu ecossistema e de seus usuários.”
Uma resposta