Brasileiros afetados: app popular de clima colhe dados e engana com pornô

Um aplicativo popular de clima para usuários Android tem colhido uma quantidade abusiva de dados de usuários e ainda afetado especialmente brasileiros com ações fraudulentas envolvendo pagamentos de serviços pornô. O caso foi revelado por análise da empresa de segurança mobile Upstream Systems reproduzida pelo site britânico da BBC.

O app envolvido é chamado em inglês de "'Weather Forecast - World Weather Accurate Radar" e já foi baixado mais de 10 milhões de vezes da loja oficial do Google, a Play Store. De acordo com a empresa de segurança, o aplicativo colhe dados como endereço de email dos usuários e o número IMEI de celulares - aqueles números únicos de cada aparelho.

Dados como a localização geográfica do usuário também são colhidos. Todas as informações são enviadas para servidores baseados na China - o aplicativo foi feito pela companhia chinesa TCL Communication Technology Holdings Ltd. Para descobrir se você tem o app, cheque o nome do desenvolvedor do que está instalado no aparelho. 

A empresa é a mesma responsável por fabricar smartphones com a marca da Blackberry e da Alcatel, o que afetou ainda mais usuários brasileiros. O aplicativo de clima já viria pré-instalado nos smartphones de usuários da Alcatel, que são enganados pelo serviço do app.

De acordo com a Upstream Systems, a TCL tem cometido fraudes ao tentar fazer usuários dos smartphones baratinhos da Alcatel no Brasil, Malásia e Nigéria pagarem por serviços de pornografia e realidade virtual.

Só o Brasil teria recebido 2,5 milhões de tentativas de transações em dispositivos da Alcatel em julho e agosto de 2018, que foram bloqueadas após a companhia descobrir a atividade. As transações foram originadas de 128.845 números de celular únicos e entendem-se como provenientes de versões pré-insataladas e do Google Play do aplicativo.

Outro lado

O UOL Tecnologia procurou a TCL, que afirmou que removerá o acesso de terceiro a kits de desenvolvimento de seus aplicativos para vitar problemas do tipo. Veja o posicionamento completo da marca:

A TCL Communication trabalha em estreita colaboração com todos os seus parceiros para garantir que seus clientes desfrutem de uma ótima experiência quando usam seus dispositivos móveis. Cada aplicativo de celular desenvolvido é enviado pelo VirusTotal, que inspeciona a transmissão de cada aplicativo com mais de 70 scanners antivírus diferentes, para garantir a entrega de uma experiência segura à loja Google Play, incluindo os aplicativos que têm parceiros terceirizados adicionais, aproveitando de seus SDKs. Cada aplicativo passa pelas verificações de segurança do Google antes de ser listado na loja Google Play.

Mesmo com todas essas proteções, a empresa entende a necessidade de permanecer vigilante com a segurança de seus clientes, e é por isso que está removendo o acesso de terceiros ao SDK de seus aplicativos para celular, com exceção do Google e de outros poucos parceiros globais confiáveis ​​e certificados. Também avaliará novos consultores de segurança que possam fornecer certificação adicional da segurança dos aplicativos de celulares que ela desenvolve.

Cada vez mais dados colhidos

O caso do número alto de dados de usuários colhidos não é único. Em dezembro, o Google suspendeu dois outros apps chineses de sua Play Store depois de alegações que eles estariam explorando permissões de usuários como parte de um esquema de fraude envolvendo publicidade.

Na última semana, a organização The Internet Society of China realizou um painel com o governo para apresentar resultado de uma análise de prática de colheita de dados. Eles encontraram que 18 dos mais populares apps do país coletavam uma quantidade excessiva de informações de usuários - como mensagens de texto, endereços e gravações. Nove dos apps faziam isso sem consentimento.

Dado não é roubado: o ano que nos obrigou a cuidar melhor dos nossos dados

Leia Mais

Fora da China, a organização Privacy International, que advoga pela privacidade, recentemente levantou questões sobre desenvolvedores de Android que compartilhavam dados com o Facebook por meio do kit de desenvolvimento de software da companhia.

A organização notou que 61% dos apps testados automaticamente transferia dados para o Facebook logo que o usuário abria os aplicativos - sem importar se eles tinham uma conta na rede social. Os dados, combinados, poderiam formular um retrato íntimo do comportamento de uma pessoa, segundo o grupo.