Operação logística do Mercado Livre Mercado Livre Golpistas desenvolveram um site e um aplicativo falsos em nome do Mercado Livre Coleta para tentar invadir celulares e obter dados pessoais das vítimas. A ação foi descoberta pela empresa de segurança digital ESET. O g1 teve acesso aos links usados no golpe e confirmou a prática.

O Mercado Livre Coleta é um serviço de logística voltado aos vendedores que usam a plataforma. Com ele, o próprio Mercado Livre retira os produtos no endereço dos lojistas e faz a entrega aos clientes que realizaram a compra. 🗒️ Tem alguma sugestão de reportagem?

Mande para o g1 A empresa, no entanto, não oferece um aplicativo exclusivo para esse serviço. Por isso, o app apresentado pelos criminosos como parte do Mercado Livre Coleta não é oficial. O site que divulga o aplicativo também dá indícios de não ser oficial, já que termina em "pages.dev".

Sites oficiais de grandes empresas costumam terminar em ".com.br" ou ".com". Agora no g1 Procurado pelo g1, o Mercado Livre disse que tomou conhecimento do golpe e que está atuando para derrubar a URL maliciosa. "A companhia reforça que não envia links para downloads de aplicativos fora das lojas oficiais, como Google Play e App Store", completou.

(leia a nota abaixo) Como os criminosos atuam Criminosos criam site e app falsos do Mercado Livre para invadir celulares de vítimas Reprodução Ao acessar o site falso, os criminosos tentam atrair a vítima com informações atrativas: "Acumule pontos e aproveite! Troque por viagens, descontos na fatura, cashback ou até Pix direto na conta. Tudo pelo app!", diz a mensagem.

Logo abaixo, há um botão "Baixar APK". É ali que está o arquivo malicioso, disfarçado de aplicativo e capaz de infectar o celular da vítima. APK é a sigla para "Android Package Kit", um formato de arquivo usado pelo Android para distribuir e instalar aplicativos no celular.

Normalmente, os apps são baixados pela Google Play Store, loja oficial do Android, mas também é possível instalar arquivos APK obtidos fora dela. Esse tipo de instalação pode oferecer riscos, principalmente quando o arquivo vem de uma fonte desconhecida, como neste caso. Segundo a ESET, o próprio Android alerta que baixar o aplicativo pode trazer riscos.

No teste feito pelo g1, o sistema exibiu um aviso de que o "arquivo pode ser nocivo", mas ainda assim permitiu a instalação. (veja na imagem acima) "Após a instalação, surge uma tela solicitando a liberação de acesso a uma VPN externa, o que permite que o dispositivo da vítima se conecte à mesma rede do criminoso, possibilitando o acesso remoto ao aparelho", explicou a empresa de segurança.

App pede permissão para acessar informações no celular Reprodução Após a instalação, o app falso solicita permissões para gravar a tela, capturar o que é digitado no teclado e acessar a câmera. Com esses acessos, os criminosos conseguem controlar o aparelho sem que a vítima perceba. A partir daí, eles podem tentar roubar senhas, números de cartões de crédito e códigos de autenticação recebidos por SMS.

Também podem ativar recursos de acessibilidade do celular para monitorar senhas digitadas, mensagens enviadas e outras ações realizadas no aparelho. "As permissões solicitadas são justamente o que pode transformar um simples download em uma porta de entrada para o criminoso acessar recursos críticos.

Por isso, qualquer pedido de acesso a VPN, acessibilidade ou controle remoto feito por um app desconhecido deve ser tratado como um forte sinal de alerta", explica Jonathan Ramos, pesquisador de segurança da ESET Brasil. O que fazer se você baixou o app falso e como se proteger Se você baixou esse ou qualquer outro app suspeito, a recomendação é ativar o modo avião e desligar as conexões Wi-Fi e de rede móvel do celular. Isso pode interromper a comunicação do aplicativo com os criminosos.

Em seguida, tente desinstalar o app. Caso não seja possível removê-lo, a recomendação é restaurar o aparelho para as configurações de fábrica. Esse procedimento apaga os dados armazenados no celular, por isso é importante manter um backup atualizado.

Também é aconselhável alterar as senhas de contas importantes, como as de bancos, e-mail e redes sociais. "Deve-se procurar as instituições financeiras em que tem conta para acompanhar possíveis movimentações suspeitas. A ativação da autenticação em duas etapas nas contas importantes adiciona uma camada extra de proteção", aconselha a ESET.

Veja, a seguir, outras dicas para se proteger: 🌎 Observe o endereço (URL): o endereço de sites oficiais de grandes empresas costuma usar o domínio da própria companhia. No Brasil, é comum que esses endereços terminem em ".com.br", mas algumas empresas usam apenas ".com" ou outros domínios. Por isso, confira se a URL corresponde ao endereço oficial da empresa e se não há alterações ou caracteres estranhos.

🦹‍♂️ Analise a estrutura do site: golpistas costumam copiar páginas oficiais, mas erros de português, imagens de baixa qualidade, informações inconsistentes e elementos que não funcionam corretamente podem indicar uma tentativa de fraude. 📱 Baixe aplicativos apenas de fontes confiáveis: evite instalar APKs recebidos por links, mensagens ou sites desconhecidos. Dê preferência às lojas oficiais, como a App Store, no iPhone, e a Google Play Store, no Android.

📣 Desconfie de mensagens que criam senso de urgência: páginas falsas podem exibir alertas de tempo esgotando ou "últimas unidades", por exemplo, para pressionar a vítima a clicar e concluir uma compra rapidamente. Também desconfie de ofertas que prometem vantagens fáceis ou benefícios muito acima do normal, como cashback, dinheiro ou pontos para trocar por viagens.

🤑 Atenção a preços muito abaixo do mercado: em sites que anunciam produtos e serviços, criminosos podem oferecer preços muito inferiores aos praticados por lojas confiáveis para atrair vítimas. Desconfie de ofertas que estejam muito abaixo do valor normalmente cobrado. ⚠️ Cuidado com anúncios na internet: criminosos podem usar anúncios patrocinados em redes sociais e mecanismos de busca para aumentar a visibilidade e a aparência de legitimidade de páginas falsas.

Por isso, mesmo que o site apareça como anúncio, confira o endereço antes de fornecer dados ou fazer uma compra. 💳 Caiu em um golpe? Entre em contato com o banco o quanto antes e solicite o Mecanismo Especial de Devolução (MED) para tentar reverter o PIX.

O que diz o Mercado Livre "O Mercado Livre informa que tomou conhecimento do caso e acionou suas equipes para a análise do conteúdo e solicitação de derrubada da URL maliciosa. A empresa esclarece que a ação se trata de uma tentativa de fraude externa ao seu ecossistema e que não possui um aplicativo ou site exclusivo para o serviço Mercado Livre Coleta.

A companhia reforça que não envia links para downloads de aplicativos fora das lojas oficiais (como Google Play e App Store) e reitera que todas as operações e interações devem ser realizadas exclusivamente por meio do site ou aplicativo oficial do Mercado Livre.

O Mercado Livre mantém monitoramento contínuo para atuar preventivamente na identificação de uso indevido de sua marca e reafirma seu compromisso com a segurança e a proteção do seu ecossistema e de seus usuários." iPhone Duo: Apple lança seu primeiro celular dobrável Sistemas de câmeras usam inteligência artificial e prometem se antecipar a crimes