Você abriria a carteira para espiar o histórico de chamadas, SMS ou mensagens de WhatsApp de outra pessoa? Milhões de usuários fizeram exatamente isso — e saíram de mãos abanando. Pesquisadores da ESET descobriram 28 aplicativos “espiões” na Google Play que prometiam o impossível: acesso instantâneo a dados sigilosos de qualquer número de telefone. Batizado coletivamente de CallPhantom, o esquema somou mais de 7,3 milhões de downloads antes de ser removido pela gigante das buscas.
Como o golpe funcionava
Os golpistas investiram pesado no marketing. As páginas dos apps exibiam capturas de tela “convincetes” e descrições cheias de gatilhos de curiosidade: bastaria digitar o número de telefone desejado para liberar relatórios completos de ligações, SMS e até conversas de WhatsApp. No código-fonte, porém, a história era outra. A análise da ESET mostrou que:
- Os registros eram gerados aleatoriamente, combinando números falsos, nomes fictícios, horários e durações predefinidas.
- Alguns aplicativos tinham o DDI +91 (Índia) travado por padrão e ofereciam pagamentos via Unified Payments Interface (UPI), indicando o público-alvo primário.
- Três métodos de cobrança apareciam no pacote: assinatura oficial da Google Play, gateways externos compatíveis com UPI e formulários internos que solicitavam diretamente o cartão — o pesadelo de qualquer consumidor.
Por que tanta gente caiu?
Mesmo com avaliações negativas de vítimas, os apps contavam com reviews positivos falsos para ganhar destaque nos rankings da loja. Além disso, a promessa de quebrar a privacidade alheia falava mais alto que o bom senso em boa parte dos curiosos. O nome de desenvolvedor “Indian gov.in”, por exemplo, passava (falsa) credibilidade governamental ao app Call History of Any Number.
O impacto prático para você
Se você usa o celular para tudo — do mobile banking às partidas de Call of Duty: Mobile em um smartphone gamer de última geração — instalar um aplicativo malicioso representa risco imediato aos seus dados e, por tabela, aos seus investimentos em hardware. Afinal, não adianta ter fones TWS de baixa latência, mouse Bluetooth topo de linha ou power bank de 20.000 mAh se o aparelho principal está exposto a golpistas.
Posso reaver meu dinheiro?
Segundo a ESET, quem fez a assinatura via sistema oficial da Google Play pode solicitar estorno seguindo a política de reembolso da plataforma. Pagamentos externos ou diretíssimos no cartão dependem das regras de cada intermediário — e, na prática, as chances de reaver o valor despencam.
Dicas rápidas para evitar golpes parecidos
Proteção digital é como manutenção de PC gamer: pequenos cuidados evitam prejuízos caros. Veja as recomendações dos especialistas:
Imagem: William R
- Desconfie de promessas milagrosas — se parece bom (ou invasivo) demais para ser verdade, provavelmente é.
- Cheque o desenvolvedor — nomes oficiais de governos, bancos ou marcas renomadas quase nunca terminam em “.gov.in” sem estarem verificados.
- Leia as avaliações com lupa — comentários genéricos ou repetitivos são sinal de spam.
- Prefira pagamentos in-app oficiais — eles oferecem camada extra de contestação.
- Mantenha um antivírus mobile atualizado — soluções como a ESET Mobile Security analisam apps antes mesmo da instalação.
- Atualize o Android e seus aplicativos — cada patch de segurança corrige brechas exploradas por criminosos.
O que a remoção revela sobre a Google Play
Apesar dos mecanismos de proteção, a loja oficial do Android ainda permite que golpistas explorem brechas no processo de verificação. A boa notícia é que a reação veio rápida: a ESET informou o Google em dezembro de 2025 e, na data de publicação do relatório, todos os 28 aplicativos já estavam fora do ar. Para o usuário final, a lição é clara — confiar unicamente no selo “oficial” não basta.
No fim das contas, vale a mesma lógica de montar um setup gamer equilibrado: investir tempo em pesquisa é tão importante quanto o dinheiro gasto no hardware. Fuja de atalhos duvidosos e mantenha seu dispositivo — e seu bolso — a salvo.
Com informações de Hardware.com.br
