O aplicativo falso deixou de ser um arquivo estranho que alguém manda por link: hoje ele imita a tela do seu banco, aparece em busca patrocinada e, em alguns casos, chega a passar pela loja oficial. O risco não é o app em si, é o que ele pede depois de instalado. Veja como identificar um clone antes de instalar, quais são as imitações mais comuns no Brasil e o que fazer se você já instalou.
Resposta rápida
Antes de instalar, confira na página do app: nome do desenvolvedor (tem que ser a empresa), número de downloads (banco grande tem milhões), data da última atualização e avaliações recentes. Clone costuma ser novo, ter poucos downloads e um nome de desenvolvedor parecido, mas não idêntico. Na dúvida, entre pelo site oficial do banco, não pela busca da loja.
O essencial
- O que checar: desenvolvedor, downloads, data e avaliações
- Alvos mais imitados: bancos, Pix, Mercado Livre, Shopee, Shein e Magalu
- Regra do setor: banco não liga pedindo senha nem instalação de app
- Se instalou: modo avião, desinstalar, trocar senha de OUTRO aparelho
- Play Protect: ajuda, mas não reconhece clone visual
Como o aplicativo falso chega até você
Quase ninguém procura por um app falso. Ele aparece em quatro caminhos, e reconhecer o caminho já é metade da defesa.
| Por onde chega | Como se apresenta |
|---|---|
| Link em mensagem | SMS ou WhatsApp com “atualize seu app” e um endereço encurtado |
| Anúncio em busca | Resultado patrocinado acima do site verdadeiro, com nome quase igual |
| Loja oficial | Clone que passou pelo filtro e continua no ar até ser denunciado |
| Ligação do falso funcionário | Alguém pede que você instale um app para “resolver” a conta |
O quarto caso é o mais perigoso porque não depende de você errar: alguém liga, cria urgência e conduz a instalação passo a passo. A Febraban descreve esse enredo no catálogo de golpe de acesso remoto, também chamado de mão fantasma, e a regra que a entidade repete é simples: o banco não liga pedindo senha, número de cartão nem instalação de aplicativo.
Os 7 sinais de um aplicativo falso
Nenhum sinal isolado condena um app. Dois ou mais juntos, sim.
- Desenvolvedor com nome parecido, mas não igual. É o sinal número um. O app do banco é publicado pela empresa, não por “Apps Financeiros” nem por um nome de pessoa.
- Poucos downloads. App de banco grande está na casa dos milhões. Alguns milhares em um app que deveria ser popular é incoerência, não novidade.
- Publicado há pouco tempo. Clone é recente por natureza: ele nasce, é denunciado e some.
- Avaliações genéricas ou em bloco. Muitas notas 5 curtas e parecidas, publicadas em datas próximas, e reclamações recentes dizendo que o app não abre.
- Permissões que não combinam. Um app de banco não precisa de acesso a SMS e a acessibilidade para funcionar. Esses dois pedidos, juntos, são o que permite ler código de verificação e controlar a tela.
- Erros de português e logotipo esticado. Clone costuma ser montado às pressas, com imagem de baixa resolução.
- Pede dados logo na abertura. Aplicativo legítimo abre e pede login. Falso costuma pedir CPF, senha e número do cartão de uma vez, antes de mostrar qualquer coisa.
O par de permissões que entrega o golpe
Se um aplicativo pedir acesso às mensagens SMS e serviço de acessibilidade ao mesmo tempo, pare a instalação. Essa dupla permite ler o código de verificação que o banco envia e operar a tela do aparelho no lugar do usuário. É o que transforma um app falso em conta esvaziada.
Como conferir o desenvolvedor antes de instalar
Esse é o passo que quase ninguém dá e que resolve a maioria dos casos. Leva menos de um minuto.
- Na página do app, role até a seção de informações e toque no nome do desenvolvedor.
- Veja quais outros apps aquele desenvolvedor publica. O banco publica os apps do banco; um clone costuma publicar utilitários aleatórios.
- Confira o site e o e-mail de contato declarados. O endereço tem que ser o domínio oficial da empresa, não um e-mail gratuito.
- Compare com o link do app publicado no site oficial do banco. É o caminho mais seguro: entre pelo site, não pela busca.
O procedimento para achar essas informações está descrito na central de ajuda do Google Play. O que isso significa para você: a busca da loja mostra o que é parecido; o site do banco mostra o que é dele.
Aplicativo falso de banco: o golpe que usa aproximação
As imitações mais procuradas no Brasil são de bancos e do Pix, e o objetivo mudou. Antes o clone queria só a senha digitada. Hoje existe um estágio a mais.
A Febraban alertou para um golpe em que o aplicativo falso funciona como uma ponte de comunicação: instalado no celular da vítima, ele lê os dados do cartão por aproximação (NFC), inclusive a senha digitada, e retransmite tudo ao criminoso. Ou seja, não é preciso clonar o cartão físico nem interceptar a mensagem do banco: o próprio aparelho da vítima vira o leitor.
O que isso significa para você: desconfiar de link já não basta. Se um aplicativo pedir para você aproximar o cartão do celular para “validar”, “desbloquear” ou “recadastrar”, encerre. Nenhum banco valida cartão por aproximação dentro de um app instalado a pedido de terceiro.
Vale lembrar que o SMS que abre esse caminho pode nem vir da operadora: em outro golpe documentado, o criminoso usa uma antena falsa para injetar mensagens diretamente nos celulares por perto.
Aplicativo falso de loja: Mercado Livre, Shopee, Shein e Magalu
Depois dos bancos, as imitações mais buscadas são as de loja. O padrão é diferente e engana justamente por parecer inofensivo: o app promete cupom exclusivo do aplicativo, frete grátis ou participação em sorteio, e pede o cadastro do cartão para “liberar o benefício”.
| Promessa do clone | O que costuma acontecer |
|---|---|
| Cupom exclusivo do app | Cadastro de cartão em formulário que não é da loja |
| Rastreio de pedido “mais rápido” | Pede login da loja verdadeira e captura a senha |
| Sorteio ou cashback | Pede CPF e dados completos para revenda |
| Segunda via de boleto | Boleto com beneficiário trocado |
A checagem é a mesma dos bancos, com um detalhe extra: loja grande não distribui cupom que só existe em aplicativo baixado por link de mensagem. Se a promoção não aparece no site oficial da loja, ela não existe.
O que o Play Protect faz, e o que ele não faz
O Google Play Protect vem ligado no Android e é uma camada real de defesa: ele analisa os aplicativos antes do download e procura comportamento nocivo também depois de instalado. Dá para conferir se está ativo abrindo a Play Store, tocando na foto do perfil e entrando em Play Protect, conforme a documentação do Android.
O limite é o que quase nenhuma matéria diz: ele avalia comportamento, não semelhança visual. Um clone que apenas imita a tela do banco e envia o que você digita para um servidor pode não disparar nenhum alarme, porque tecnicamente ele não faz nada além de enviar dados de um formulário. É por isso que a conferência do desenvolvedor continua sendo sua, e não do sistema.
Esse cenário deve mudar aos poucos: o Android passará a exigir verificação de identidade dos desenvolvedores, com o Brasil entre os primeiros países. Enquanto a regra não vale para tudo, a checagem manual segue valendo.
Instalei um aplicativo falso. O que fazer agora
A ordem aqui importa mais que a pressa. Fazer na sequência errada piora o estrago.
- Modo avião. Corta a comunicação do aplicativo com o servidor do criminoso antes de qualquer coisa.
- Desinstale o app. Se ele tiver ativado a acessibilidade e não deixar desinstalar, reinicie o aparelho em modo de segurança e remova por lá.
- Troque as senhas de OUTRO aparelho. Este é o erro mais comum: trocar a senha no celular comprometido entrega a senha nova de bandeja.
- Ligue para o banco pelo número impresso no cartão ou pelo site oficial, nunca por número recebido em mensagem. Peça bloqueio preventivo e contestação do que já saiu.
- Revise os dispositivos conectados nas suas contas e encerre as sessões que não reconhecer.
- Registre a ocorrência. Os canais oficiais estão reunidos na página de comunicação de crimes da Polícia Federal, e o registro é o que sustenta a contestação junto ao banco.
Depois de resolver o urgente, ative a verificação em duas etapas em tudo que aceitar. É o que impede que uma senha vazada vire uma conta invadida.
Para se aprofundar sem depender de dica solta, a cartilha do CERT.br reúne o material de referência sobre segurança na internet, mantido pelo centro nacional de resposta a incidentes.
O tamanho do problema
Não é caso isolado: um levantamento apontou que 81% dos brasileiros foram alvo de tentativa de golpe em 12 meses, e só 4% chegaram a denunciar.
Perguntas frequentes
Como saber se um aplicativo é falso antes de instalar?
Confira quatro coisas na página do app, nesta ordem: o nome do desenvolvedor (tem que ser a empresa, não uma pessoa ou variação do nome), o número de downloads (banco grande tem milhões, não milhares), a data da última atualização e as avaliações recentes. Clone costuma ser recente, ter poucos downloads e um desenvolvedor com nome parecido, mas não igual.
O aplicativo falso do meu banco pode estar na Play Store?
Pode. A loja oficial faz uma checagem automática, mas clones passam pelo filtro e ficam no ar até serem denunciados. Estar na Play Store reduz o risco, não elimina. Por isso o caminho mais seguro é abrir o app pelo link do site oficial do banco, não pela busca da loja.
O Google Play Protect avisa se o aplicativo é falso?
Ele ajuda, mas tem limite. O Play Protect analisa os apps antes do download e verifica comportamento nocivo no aparelho. O que ele não faz é julgar se um app é um clone visual convincente de um banco: se o aplicativo não executa código malicioso reconhecido, ele pode passar.
Instalei um aplicativo falso. O que faço primeiro?
Coloque o celular em modo avião para cortar a comunicação do app, desinstale, troque as senhas de outro aparelho (não daquele) e ligue para o banco pelo número do cartão ou do site oficial. Depois registre a ocorrência. A ordem importa: trocar a senha no aparelho comprometido entrega a senha nova.
O banco liga pedindo para instalar aplicativo?
Nunca. A Febraban é explícita: o banco não liga pedindo senha, número de cartão nem instalação de aplicativo de acesso remoto. Esse pedido é a assinatura do golpe conhecido como mão fantasma.
Aplicativo falso consegue roubar a senha do cartão por aproximação?
Sim, e é um golpe recente. Segundo alerta da Febraban, existe um malware que funciona como ponte: com o aplicativo falso instalado, ele lê os dados do cartão por NFC, incluindo a senha digitada, e retransmite para o criminoso.
Como denunciar um aplicativo falso?
Denuncie o app dentro da própria loja, na opção de sinalizar como inadequado, avise o banco ou a loja imitada e registre a ocorrência nos canais oficiais. Se houve prejuízo financeiro, o registro é o que sustenta a contestação.
Aplicativo falso de loja também existe?
Sim. As imitações mais buscadas são de Mercado Livre, Shopee, Shein, Magalu e Amazon, geralmente prometendo cupom, frete grátis ou sorteio exclusivo do aplicativo. O objetivo costuma ser o cartão cadastrado, não a compra.
