Só um app de banco passa em teste contra “golpe da mão fantasma”. Veja qual

O Itaú foi o único grande banco brasileiro que conseguiu bloquear de imediato as tentativas de golpe por acesso remoto em seu aplicativo, conforme indicado por teste prático do Instituto Brasileiro de Defesa do Consumidor (Idec). Em relatório divulgado nesta segunda-feira (2), a associação alertou sobre a prática criminosa também conhecida como “golpe do celular invadido” ou “golpe da mão fantasma”.

A motivação para o estudo do Idec começou em abril deste ano, quando um aumento significativo de reclamações de clientes do Nubank levou o assunto a entrar para os trending topics de redes sociais como o X (antigo Twitter). Na época, o banco enviou um alerta aos usuários sobre a fraude que ocorre quando o criminoso acessa o aplicativo da vítima por meio de um software de acesso remoto.

Funciona da seguinte forma: o golpista finge ser um atendente ou gerente de banco, a partir do que é chamado de “engenharia social”, uma verdadeira técnica de enganação. Usando uma linguagem técnica, ele cita dados pessoais da vítima, obtidos por meio de algum vazamento de informações, e leva a pessoa a acreditar que é mesmo o funcionário de uma instituição. Dessa forma, consegue guiar o usuário a clicar em um link e instalar um programa em seu celular.

Esse aplicativo instalado permite que um dispositivo, como um computador ou smartphone, seja controlado e acessado remotamente por outra pessoa a distância. O criminoso consegue então visualizar e operar o celular do consumidor como se estivesse fisicamente presente no local onde ele está localizado. Conectado ao aplicativo bancário do cliente, o golpista pode realizar transações de maneira remota, sem a necessidade de utilização de cartão físico ou senhas.

Testes práticos

Em abril, o Idec decidiu notificar os quatro maiores bancos do Brasil em número de clientes, segundo dados do Banco Central: Bradesco, Itaú, Nubank e Santander. Nessa notificação, a associação solicitou esclarecimentos sobre as medidas adotadas para prevenir e remediar os consumidores vítimas dessa fraude. O objetivo também foi verificar se alguma dessas instituições possui mecanismos de segurança mais eficazes para prevenir esse tipo de golpe.

Enquanto o Itaú afirmou adotar uma medida específica de segurança para impedir tentativas de transações feitas via aplicativos de acesso remoto, os outros bancos não forneceram informações detalhadas sobre procedimentos concretos para prevenir essa modalidade de fraude. Dessa forma, o Idec resolveu fazer um teste prático com as quatro instituições.

No dia 24 de julho, membros da equipe de Serviços Financeiros da associação tentaram acessar seus respectivos aplicativos bancários e realizar transações bancárias por Pix, no valor de R$ 2,00. A tentativa de transação ocorreu a partir do controle do dispositivo móvel por meio do software de acesso remoto utilizado em computadores.

Tanto o app do Nubank quanto o do Santander criaram alguns obstáculos que dificultaram a realização da transferência, mas, mesmo com eles, foi possível completar a transação. Já no caso do Bradesco não houve qualquer impedimento para realizar todo o processo via acesso remoto, fato que indica “grave vulnerabilidade” do banco, segundo o Idec.

O aplicativo do Itaú, instituição que se saiu melhor no teste, foi o único que bloqueou de imediato as tentativas por acesso remoto. Além de mostrar uma mensagem de suspeita de golpe, as funções do próprio app ficaram bloqueadas até que o software fraudador fosse deletado do smartphone.

Com isso, o Idec concluiu que os bancos podem barrar a entrada de golpistas que utilizam programas de acesso remoto. Mais do que por uma técnica de enganação dos criminosos, a fraude ocorre pela falha de segurança dos aplicativos. Dessa forma, qualquer vítima que tenha sofrido esse golpe em específico, tem direito à restituição dos valores e ao cancelamento dos empréstimos feitos em seu nome, de acordo com a associação.

O Idec disponibiliza para os associados ao Instituto um modelo de petição, caso eles precisem entrar na Justiça para conseguir o dinheiro de volta junto aos bancos. O documento é voltado para ações no Juizado Especial Cível (JEC) e pode ser encontrado neste site. Vale lembrar, no entanto, que essa deve ser a última opção, passando primeiro pela tentativa de resolver o problema direto com a instituição e depois junto aos órgãos de defesa do consumidor (Procon e Consumidor.Gov).