Criminosos criam site e app falsos do Mercado Livre para invadir celulares de vítimas

Golpistas desenvolveram um site e um aplicativo falsos em nome do Mercado Livre Coleta para tentarinvadir celulares e obter dados pessoais das vítimas. A ação foi descoberta pela empresa de segurança digital ESET. Og1teve acesso aos links usados no golpe e confirmou a prática.

O Mercado Livre Coleta é um serviço de logísticavoltado aos vendedoresque usam a plataforma. Com ele, o próprio Mercado Livre retira os produtos no endereço dos lojistas e faz a entrega aos clientes que realizaram a compra.

A empresa, no entanto, não oferece um aplicativo exclusivo para esse serviço. Por isso, o app apresentado pelos criminosos como parte do Mercado Livre Coleta não é oficial.

O site que divulga o aplicativo também dá indícios de não ser oficial,já que termina em "pages.dev". Sites oficiais de grandes empresas costumam terminar em".com.br"ou".com".

Procurado pelog1, o Mercado Livre disse que tomou conhecimento do golpe e que está atuando para derrubar a URL maliciosa.

"A companhia reforça que não envia links para downloads de aplicativos fora das lojas oficiais, como Google Play e App Store", completou.(leia a nota abaixo)

Como os criminosos atuam

Ao acessar o site falso, os criminosos tentam atrair a vítima com informações atrativas: "Acumule pontos e aproveite! Troque por viagens, descontos na fatura, cashback ou até Pix direto na conta. Tudo pelo app!", diz a mensagem.

Logo abaixo, há um botão"Baixar APK". É ali que está o arquivo malicioso,disfarçado de aplicativo e capaz de infectar o celular da vítima.

APK é a sigla para "Android Package Kit", um formato de arquivo usado pelo Android para distribuir e instalar aplicativos no celular. Normalmente, os apps são baixados pela Google Play Store, loja oficial do Android, mas também é possível instalar arquivos APK obtidos fora dela.

Esse tipo de instalação pode oferecer riscos, principalmente quando o arquivo vem de uma fonte desconhecida, como neste caso.

Segundo a ESET, o próprio Android alerta que baixar o aplicativo pode trazer riscos.No teste feito pelog1, o sistema exibiu um aviso de que o "arquivo pode ser nocivo", mas ainda assim permitiu a instalação.(veja na imagem acima)

"Após a instalação, surge uma tela solicitando a liberação de acesso a uma VPN externa, o que permite que o dispositivo da vítima se conecte à mesma rede do criminoso, possibilitando o acesso remoto ao aparelho", explicou a empresa de segurança.

Após a instalação, oapp falso solicita permissões para gravar a tela, capturar o que é digitado no teclado e acessar a câmera. Com esses acessos, os criminosos conseguem controlar o aparelho sem que a vítima perceba.

A partir daí, eles podem tentar roubar senhas, números de cartões de crédito e códigos de autenticação recebidos por SMS. Também podem ativar recursos de acessibilidade do celular para monitorar senhas digitadas, mensagens enviadas e outras ações realizadas no aparelho.

"As permissões solicitadas são justamente o que pode transformar um simples download em uma porta de entrada para o criminoso acessar recursos críticos. Por isso, qualquer pedido de acesso a VPN, acessibilidade ou controle remoto feito por um app desconhecido deve ser tratado como um forte sinal de alerta", explica Jonathan Ramos, pesquisador de segurança da ESET Brasil.

O que fazer se você baixou o app falso e como se proteger

Se você baixou esse ou qualquer outro app suspeito, a recomendação é ativar o modo avião e desligar as conexões Wi-Fi e de rede móvel do celular.Isso pode interromper a comunicação do aplicativo com os criminosos.

Em seguida, tente desinstalar o app. Caso não seja possível removê-lo,a recomendação é restaurar o aparelho para as configurações de fábrica. Esse procedimento apaga os dados armazenados no celular,por isso é importante manter um backup atualizado.

Também é aconselhável alterar as senhas de contas importantes, como as de bancos, e-mail e redes sociais. "Deve-se procurar as instituições financeiras em que tem conta para acompanhar possíveis movimentações suspeitas. A ativação da autenticação em duas etapas nas contas importantes adiciona uma camada extra de proteção", aconselha a ESET.

Veja, a seguir, outras dicas para se proteger:

O que diz o Mercado Livre

"O Mercado Livre informa que tomou conhecimento do caso e acionou suas equipes para a análise do conteúdo e solicitação de derrubada da URL maliciosa. A empresa esclarece que a ação se trata de uma tentativa de fraude externa ao seu ecossistema e que não possui um aplicativo ou site exclusivo para o serviço Mercado Livre Coleta.

A companhia reforça que não envia links para downloads de aplicativos fora das lojas oficiais (como Google Play e App Store) e reitera que todas as operações e interações devem ser realizadas exclusivamente por meio do site ou aplicativo oficial do Mercado Livre.

O Mercado Livre mantém monitoramento contínuo para atuar preventivamente na identificação de uso indevido de sua marca e reafirma seu compromisso com a segurança e a proteção do seu ecossistema e de seus usuários."