Um novo malware (um tipo de vírus), que se instala em celulares Android, tem atacado clientes dos principais bancos brasileiros, como Bradesco, Caixa, Itaú e Nubank — e até a corretora de criptoativos Binance. Ele intercepta transferências via Pix feitas pelos aplicativos das instituições financeiras e altera quem vai receber o dinheiro e até o valor enviado.

O BrasDex foi descoberto pela empresa de cibersegurança Threat Fabric em dezembro, quando já havia atacado mais de mil pessoas, gerando prejuízos de centenas de milhares de reais (o valor exato não foi revelado). O malware não explora nenhuma falha do Pix ou dos aplicativos das empresas em si, mas sim erros do próprio usuário — que autoriza a instalação do vírus voluntariamente e dá total acesso ao aparelho —, além de brechas de segurança do sistema operacional Android.

Isso acontece porque, por trás da tela, o BrasDex está mudando o valor da transação e o destinatário. Se a pessoa digitasse a senha, ela teria transferido mais de R$ 600 (quase todo o saldo disponível na conta) para uma pessoa desconhecida, concretizando o golpe (veja no vídeo abaixo).

Bancos alvo do BrasDex

“Os bancos não são culpados, os bancos são vitimas”, afirma Marcus Bispo, diretor de resiliência cibernética para a América Latina da Accenture. “O BrasDex é focado em instituições financeiras brasileiras. Ele checa o cartão SIM do celular e, se não for do Brasil, para de funcionar. Se for brasileiro, ele procura os aplicativos dos maiores bancos e começa a explorar vulnerabilidades de privilegio de acessibilidade”.

Bispo explica que o malware fica “adormecido” no celular infectado, esperando a vítima abrir o aplicativo de algum banco. Quando isso ocorre, automaticamente o BrasDex lê as informações do app, como saldo e número da conta, e aguarda por uma transferência. Se a pessoa for fazer um Pix, o vírus entra em ação e coloca uma tela por cima do app do banco, muito parecida com a verdadeira, enquanto altera os dados da transação. Se a pessoa digitar a sua senha para concluir o Pix, o dinheiro irá direto para o golpista.

Segundo a empresa de cibersegurança, o malware (que significa “malicious software”, ou software malicioso em tradução livre) pode interceptar transferências dos seguintes bancos:

O InfoMoney procurou a maioria das instituições acima. O Bradesco e o Santander não responderam aos questionamentos enviados, e o Nubank apenas mandou um link do seu blog, com informações genéricas sobre como funcionam malwares (não há qualquer menção ao BrasDex, por exemplo).

Banco do Brasil, Caixa, Inter e Itaú enviaram respostas em que descrevem o que estão fazendo para combater fraudes contra clientes e destacam a importância de o usuário não cair em golpes. O BB foi o único que citou nominalmente o vírus, mas afirmou que “até o momento não temos registros de problemas com clientes causados pelo malware BrasDex” (veja todas as respostas ao final da reportagem).

“Olhando sob o ponto de vista de prevenção à fraude, a pessoa [que fez o Pix] estava em uma geolocalização conhecida. Ela reconheceu a transação e colocou a senha. Tudo o que o banco poderia observar, do ponto de vista do usuário, ele fez”, afirma Fernando Guariento, líder de professional services da AllowMe (startup que é uma plataforma de prevenção à fraude), sobre o papel das instituições em tentar combater o golpe.

Falhas do usuário

“São duas falhas do usuário: baixar um aplicativo fora da loja e dar consentimento total e acesso irrestrito ao celular”, afirma Fernando Guariento, da AllowMe. “A infecção acontece porque a pessoa baixou algum aplicativo que não estava na app store. Ela pode ter baixado por um link no WhatsApp, por um SMS ou um link mesmo, que ela clicou”.

O especialista diz que, além de a vítima baixar o aplicativo infectado (que vai instalar o BrasDex no celular), ela também dá autorização para o malware fazer absolutamente tudo no aparelho. Apesar disso, o vírus fica “adormecido”, esperando uma transação, porque o seu único propósito é desviar as transferências. Ele então precisa de mais uma “cooperação” da vítima: ela acessar o app do banco com a biometria e confirmar a transação com a senha, por exemplo.

“Os celulares têm proteções que mesmo o consentimento total não dão acesso, Mesmo com o consentimento total do usuário, por exemplo, eu não consigo acessar a área reservada do celular onde fica a biometria. É um cofre virtual onde as informações estão guardadas. Nem o banco consegue acessar isso”, afirma Guariento, sobre a necessidade de o golpe precisar da “ajuda” do usuário. “A senha do banco também fica em uma área restrita”.

Por que o Pix?

O diretor de resiliência cibernética para a América Latina da Accenture diz que é por isso que a primeira coisa que o BrasDex faz é checar o cartão SIM do celular, para saber se ele é do Brasil. “Se não for do Brasil, para de funcionar. Se for brasileiro, ele procura os aplicativos dos maiores bancos e começa a explorar vulnerabilidades de privilegio de acessibilidade”.

Segundo a Threat Fabric, o “BrasDex é uma família de malware estritamente focada no mercado brasileiro” e “contém verificações para garantir que ele só opera em dispositivos do Brasil”. “Essa dedicação total e árdua a um único mercado pode ser motivada pelo fato de o BrasDex usar seus recursos para abusar de um subconjunto específico de transações dentro do ecossistema bancário brasileiro. A BrasDex abusa especificamente do sistema de pagamento Pix”.

“O surgimento de sistemas de pagamento convenientes não apenas torna os pagamentos mais fáceis para os clientes, mas também abre uma oportunidade para os cibercriminosos usá-los para operações fraudulentas”, afirma a Threat Fabric. O caso da BrasDex mostra a necessidade de mecanismos de detecção e prevenção de fraudes nos dispositivos dos clientes”.

“Uma TED ou DOC poderia parar em uma mesa de análise de prevenção à fraude. No caso do Pix não dá, porque a transação tem de ser rápida por regulamentação. Tem uma chance menor de a transação ser barrada”, afirma Guariente.

A instalação de malwares, em geral, se dá a partir de e-mails, mensagens de WhatsApp, sites não confiáveis (que requerem a instalação de um aplicativo) ou até SMS de phishing, que visam convencer o usuário da necessidade de atualização de determinado programa ou mesmo do preenchimento de algum formulário.

“Toda mensagem com links deve ser encarada com desconfiança pelo usuário. É preciso que ele se certifique de que a origem é um canal oficial de comunicação da empresa”, afirma Guariento. Se a pessoa caiu em algum golpe ou foi vítima de alguma fraude, é preciso acionar imediatamente a instituição financeira.

Primeiro: seu aparelho precisa ter uma senha forte

Terceiro: fuja desse negocio de dar “next next finish” (uma referência ao hábito das pessoas de darem consentimento a tudo sem ler o que está fazendo).

O diretor de resiliência cibernética para a América Latina da Accenture dá um exemplo pessoal. “Troquei de celular na semana passada e tenho o aplicativo de quatro bancos no celular. Um pediu para tirar duas fotos (uma mais perto e outra mais longe): outro pediu para eu baixar o token, um terceiro pediu senha e outro pediu para eu ir na agência e desbloquear o app”.