A curiosidade e o desejo de monitorar a privacidade alheia tornaram-se iscas perfeitas para um esquema massivo de estelionato digital. Pesquisadores da ESET, empresa líder global em detecção proativa de ameaças, identificaram uma rede de 28 aplicativos fraudulentos disponíveis na Google Play, a loja oficial do sistema Android. Os programas prometiam fornecer acesso irrestrito ao histórico de chamadas telefônicas, mensagens de SMS e até registros do WhatsApp de qualquer número de telefone informado. Na prática, as ferramentas eram fachadas que exibiam dados completamente inventados para forçar o usuário a pagar por um serviço inexistente.

Antes de serem denunciados e banidos da plataforma de distribuição, o conjunto de aplicativos maliciosos ultrapassou a impressionante marca de 7,3 milhões de downloads. Batizado pela equipe de investigação da ESET como CallPhantom, o golpe utilizava táticas agressivas de convencimento. Para mascarar a fraude, as páginas de download exibiam imagens manipuladas simulando painéis de controle reais e contavam com uma enxurrada de avaliações positivas falsas para inflar a reputação dos apps e ludibriar o algoritmo de segurança da loja.

A engenharia da mentira em nível de código

Um dos casos mais emblemáticos detalhados no relatório técnico foi o aplicativo Call History of Any Number. O programa foi publicado sob a assinatura do desenvolvedor fictício "Indian gov.in", uma tentativa deliberada de simular um canal oficial do governo da Índia, embora não possuísse qualquer tipo de vínculo governamental legítimo.

A análise técnica realizada pelos engenheiros de software da ESET demonstrou o funcionamento interno do golpe:

• Dados Fabricados: O código interno do aplicativo não realizava qualquer varredura em servidores de telefonia ou internet;

• Geração Aleatória: O sistema gerava números de telefone aleatórios combinados com nomes de contatos, horários de ligação e tempos de duração predefinidos na programação interna;

• Teatro Visual: Telas falsas eram montadas na hora para criar no usuário a ilusão de que o sistema estava realmente rastreando a linha telefônica da pessoa espionada.

O alvo prioritário da operação criminosa concentrou-se na Índia e na região da Ásia-Pacífico, tanto que os aplicativos já traziam o código telefônico internacional do país (+91) pré-selecionado de forma nativa e operavam integrados ao UPI, o sistema de transferências bancárias instantâneas mais popular do mercado indiano. Com o avanço das instalações, as abas de comentários começaram a acumular protestos de vítimas que haviam desembolsado valores em dinheiro sem receber qualquer informação verídica.

Os métodos de cobrança e a dificuldade de reembolso

A investigação identificou que os operadores do esquema estruturaram três modelos diferentes para coletar o dinheiro das vítimas. Alguns aplicativos utilizavam o gateway padrão de assinaturas da própria Google Play, enquanto outros direcionavam o usuário para carteiras digitais externas ou exibiam formulários próprios para a inserção direta de dados de cartões de crédito dentro do ambiente do app.

Thales Santos, especialista em segurança da informação da ESET Brasil, esclarece que a recuperação dos valores financeiros roubados depende exclusivamente do caminho escolhido no momento da compra. Usuários que pagaram pelas ferramentas através do sistema oficial da Google Play possuem respaldo jurídico e técnico para solicitar reembolso pelas políticas de proteção da plataforma. Contudo, aqueles que realizaram transações por links externos ou preencheram os dados do cartão diretamente nos formulários dos criminosos enfrentam barreiras severas, já que o estorno fica sujeito a critérios de intermediadores financeiros terceirizados.

Como se prevenir de promessas impossíveis

A ESET emitiu um alerta de conformidade técnica e relembrou um princípio fundamental da arquitetura móvel: aplicativos legítimos não possuem autorização de segurança dos sistemas operacionais para acessar históricos privados ou registros de terceiros sem um consentimento explícito e direto. O conjunto de fraudes foi oficialmente reportado ao Google em dezembro de 2025 e todas as 28 aplicações foram removidas de circulação.

Para não cair em armadilhas semelhantes, a recomendação de segurança inclui:

• Desconfiar imediatamente de plataformas que prometem quebrar a privacidade alheia;

• Analisar detidamente o histórico do desenvolvedor e ler as avaliações críticas com atenção antes de baixar qualquer ferramenta;

• Evitar transferências e pagamentos que rodem fora dos servidores oficiais das lojas de aplicativos;

• Manter soluções de antivírus ativas no celular e o sistema Android atualizado.

---

 CallPhantom / ESET / Golpe Virtual / Google Play / Clonagem de WhatsApp / Segurança Digital