Golpistas usam falso Mercado Livre Coleta para roubar dados e controlar celulares
Uma campanha criminosa identificada pela ESET Brasil está usando a marca e a identidade visual do Mercado Livre para convencer usuários de Android a instalar um aplicativo malicioso. A fraude promete benefícios financeiros, descontos e oportunidades relacionadas a um suposto serviço chamado “Mercado Livre Coleta”, mas o objetivo real é obter dados e ampliar o controle sobre o celular da vítima.
O golpe começa com anúncios, mensagens ou páginas que imitam a comunicação oficial da empresa. O usuário é direcionado a um site falso e incentivado a baixar um arquivo APK, geralmente com o nome “Mercado Coleto”. Como o aplicativo não está disponível na loja oficial do Android, a vítima precisa autorizar a instalação de programas provenientes de fontes externas, processo conhecido como sideloading.
Segundo a análise da ESET, o arquivo é detectado como Android/HiddenApp.NH, uma ameaça capaz de esconder o próprio ícone depois da instalação. Esse comportamento dificulta a identificação do programa e pode levar a vítima a acreditar que nada foi instalado no aparelho.
Como o golpe funciona
A abordagem utiliza promessas de pontuação, cashback, viagens, descontos, dinheiro via Pix ou participação em algum programa de benefícios. A aparência da página, o uso das cores da empresa e a menção a um serviço real tornam a fraude mais convincente.
O Mercado Envios possui, de fato, modalidades de coleta nas quais produtos podem ser retirados no endereço do vendedor. Em determinados procedimentos legítimos, o vendedor pode escanear um QR Code com a câmera e concluir a confirmação pelo navegador, sem instalar um aplicativo específico ou iniciar uma nova sessão.
Essa informação é importante porque não existe um aplicativo independente exclusivo do serviço “Mercado Livre Coleta”. A ativação e o gerenciamento das coletas acontecem dentro dos canais oficiais do ecossistema Mercado Livre. Portanto, um anúncio que exija o download de um APK separado deve ser tratado como altamente suspeito.
Depois da instalação, o aplicativo fraudulento pode pedir permissões para instalar outros APKs, acompanhar alterações nos programas instalados e configurar uma conexão VPN. Uma solicitação desse tipo, feita por um aplicativo desconhecido, é um forte sinal de perigo.
VPN, acessibilidade e controle remoto
A VPN permite que o tráfego do aparelho seja redirecionado ou intermediado. Quando essa função aparece combinada com permissões excessivas, pode facilitar a interceptação de informações e a comunicação com a infraestrutura dos criminosos.
O risco aumenta quando o aplicativo solicita acesso aos recursos de acessibilidade. Essa função foi criada para ajudar pessoas com deficiência, mas também pode ser abusada para ler o conteúdo da tela, clicar em botões, preencher campos, alterar configurações e executar ações sem o conhecimento do proprietário.
A ameaça também pode tentar obter acesso à câmera, ao microfone, à gravação de tela e ao conteúdo digitado. Com essas capacidades, criminosos podem capturar senhas, números de cartão, mensagens, tokens e códigos de autenticação recebidos por SMS.
Na prática, o celular comprometido pode ser usado para acessar contas bancárias, carteiras digitais, e-mails, redes sociais e sistemas corporativos. Em alguns casos, o criminoso ainda utiliza o aparelho para confirmar transações, alterar senhas ou instalar novas ferramentas de espionagem.
Por que a fraude parece legítima
O ataque combina três elementos eficazes de engenharia social: uma marca conhecida, uma vantagem financeira e uma tarefa aparentemente simples. A vítima não recebe apenas uma mensagem pedindo dados; ela é conduzida por uma sequência de etapas que simulam um procedimento oficial.
O senso de urgência também pode ser explorado. Frases como “últimas vagas”, “resgate disponível por tempo limitado” ou “confirme agora para receber o benefício” reduzem o tempo que a pessoa tem para avaliar a situação.
Outro fator é a familiaridade com a instalação de aplicativos. Muitos usuários aceitam permissões automaticamente, sem observar o nome do programa, a origem do arquivo ou a justificativa apresentada. É justamente nesse momento que o golpe consegue ampliar o acesso ao dispositivo.
Como identificar uma página ou aplicativo falso
O primeiro cuidado é observar o endereço do site. Domínios com palavras adicionais, erros de grafia, combinações estranhas de letras ou terminações incomuns podem indicar uma página fraudulenta. A presença do logotipo da empresa não comprova a autenticidade.
Também é importante desconfiar de links recebidos por mensagens, anúncios ou redes sociais que prometem dinheiro, cupons ou benefícios em troca da instalação de um aplicativo. Serviços legítimos normalmente podem ser acessados pelos canais oficiais, digitados manualmente no navegador ou encontrados na loja de aplicativos.
Um APK enviado por link, WhatsApp, SMS ou página desconhecida deve ser considerado perigoso. Mesmo que o Android exiba um alerta, não se deve desativar as proteções do sistema para concluir a instalação.
Após instalar qualquer programa, confira as permissões solicitadas. Um aplicativo relacionado a compras ou entregas não deveria exigir acesso irrestrito à acessibilidade, gravação de tela, instalação de outros aplicativos, VPN, SMS e controle do dispositivo.
O que fazer se o aplicativo já foi instalado
Se houver suspeita de infecção, o aparelho deve ser isolado imediatamente. Desative o Wi-Fi e os dados móveis ou ative o modo avião para dificultar a comunicação com os servidores criminosos. Evite acessar bancos, e-mails e outros serviços importantes enquanto o dispositivo não for analisado.
Em seguida, tente remover o aplicativo pelas configurações do Android. Antes disso, verifique se ele recebeu privilégios de administrador, acesso à acessibilidade, permissão para instalar programas ou autorização para operar como VPN. Essas permissões devem ser revogadas antes da desinstalação.
Caso o programa impeça a remoção, desapareça da lista de aplicativos ou continue apresentando comportamento estranho, pode ser necessário iniciar o aparelho em modo de segurança. Também é recomendável executar uma verificação com uma solução de segurança confiável e atualizada.
Se persistirem sinais de comprometimento, a restauração de fábrica pode ser a alternativa mais segura. Antes de realizar o procedimento, faça backup apenas de documentos, fotos e contatos essenciais. Não restaure automaticamente aplicativos desconhecidos ou configurações completas, pois isso pode reintroduzir a ameaça.
Depois da limpeza, altere as senhas usando outro dispositivo confiável. Comece pelo e-mail principal, contas financeiras, redes sociais e serviços que utilizam autenticação em dois fatores. Revise sessões ativas, dispositivos autorizados e transações recentes. Se houver movimentação suspeita, entre em contato imediatamente com o banco ou a instituição responsável.
Prevenção para usuários e empresas
A regra mais importante é nunca instalar um aplicativo fora da loja oficial apenas porque uma página promete um benefício. Mesmo as lojas oficiais não são infalíveis, mas oferecem camadas adicionais de verificação e dificultam a distribuição de arquivos maliciosos.
Mantenha o Android atualizado, deixe o Google Play Protect ativado e evite conceder permissões sem necessidade. Bloquear a instalação por fontes desconhecidas também reduz significativamente o risco de sideloading acidental.
Empresas devem tratar celulares como parte da superfície de ataque. Um dispositivo comprometido pode oferecer acesso a e-mails corporativos, aplicativos em nuvem, sistemas de mensageria e mecanismos de autenticação. Políticas de gerenciamento de dispositivos, autenticação resistente a phishing e treinamento dos funcionários ajudam a limitar o impacto.
A existência de um serviço legítimo de coleta não transforma qualquer aplicativo com o mesmo nome em uma ferramenta oficial. Antes de baixar, confirme o procedimento dentro do aplicativo ou site oficial, não forneça códigos de autenticação a terceiros e desconfie de qualquer exigência para conceder controle amplo sobre o telefone.