Golpe do falso app 'Mercado Livre Coleta' mira Android

Um novo golpe voltado a quem vende produtos pela internet vem preocupando usuários de celulares Android no Brasil. O esquema envolve um aplicativo malicioso que se apresenta como sendo do Mercado Livre — batizado pelos criminosos de 'Mercado Livre Coleta' — e, uma vez instalado, dá aos golpistas acesso praticamente total ao aparelho da vítima, incluindo aplicativos bancários, mensagens e até códigos de verificação enviados por SMS.

O alerta foi levantado por uma empresa de segurança digital que monitora ameaças voltadas a marketplaces brasileiros e confirmado pela própria plataforma de comércio eletrônico, que reforçou não possuir um aplicativo com esse nome. Se você vende usados, faz renda extra na internet ou tem parentes que anunciam em marketplaces, este alerta é essencial: entenda a seguir como o golpe funciona, quais são os sinais de fraude e o que fazer caso o aplicativo já tenha sido instalado no celular.

Como funciona o golpe do falso 'Mercado Livre Coleta'

O ataque começa fora do aplicativo oficial. Depois que a vítima publica um anúncio — geralmente de um item de valor razoável, como celular, notebook, videogame ou eletrodoméstico — o golpista entra em contato se passando por comprador interessado. A conversa costuma migrar rapidamente do chat da plataforma para o WhatsApp, uma etapa importante do golpe, porque tira a vítima do ambiente monitorado do marketplace e facilita o envio de links e arquivos.

Já no WhatsApp, o criminoso alega que a compra será feita com 'coleta agendada' e informa que, para liberar o pagamento e a retirada do produto, o vendedor precisa instalar um aplicativo específico — o tal 'Mercado Livre Coleta'. Em seguida, envia um link para download de um arquivo APK, que é o formato usado por aplicativos Android instalados fora da loja oficial.

O aplicativo é uma imitação bem feita. Traz cores, logotipo e layout parecidos com os da marca original, o que passa credibilidade em uma leitura rápida.

Durante a instalação, ele pede várias permissões sensíveis: acesso a SMS, notificações, tela do aparelho, contatos e, principalmente, o serviço de acessibilidade do Android — recurso que foi criado para ajudar pessoas com deficiência, mas que, quando concedido a um app malicioso, permite ler e controlar praticamente tudo o que acontece no celular.

A partir daí, os criminosos conseguem:

Ver o que a vítima digita, inclusive senhas de aplicativos bancários;
Ler mensagens de SMS com códigos de verificação em duas etapas;
Aprovar transações à distância, como se fossem o próprio dono do celular;
Ocultar notificações do banco para retardar a percepção do golpe.

Em alguns casos relatados, quando a vítima abre o aplicativo do banco, o próprio malware exibe uma tela falsa em cima da tela real, capturando o login e a senha.

Por que Android é o alvo — e por que o app não está na Play Store

O golpe explora uma característica do sistema Android: a possibilidade de instalar aplicativos a partir de arquivos APK baixados fora da loja oficial, prática conhecida como 'sideload'. É essa brecha que os criminosos usam, porque um aplicativo malicioso desse tipo dificilmente passaria pela análise de segurança da Play Store.

O Mercado Livre confirmou publicamente que não existe um aplicativo chamado 'Mercado Livre Coleta' e que toda a operação de compra, venda, pagamento e envio é feita dentro do aplicativo oficial da plataforma, disponível apenas nas lojas oficiais para Android e iPhone. Ou seja: qualquer link enviado por WhatsApp, e-mail, SMS ou redes sociais pedindo para instalar um 'app complementar', 'app de coleta', 'app de liberação de pagamento' ou 'app de confirmação de venda' deve ser tratado como golpe.

Outro ponto importante: a plataforma esclarece que o repasse do dinheiro ao vendedor acontece pelo próprio sistema, sem necessidade de nenhum programa adicional, e que representantes legítimos nunca solicitam a instalação de aplicativos externos, envio de códigos de verificação ou compartilhamento de tela.

Sinais de que você está diante do golpe

Antes de instalar qualquer coisa, vale ficar atento a um conjunto de sinais que se repetem nesse tipo de fraude. Isolados, alguns parecem inofensivos; combinados, formam um padrão típico de engenharia social:

Comprador com pressa para fechar o negócio e insistindo em finalizar por WhatsApp, e-mail ou ligação, evitando o chat oficial do marketplace.
Solicitação para instalar um aplicativo 'da plataforma' enviado por link, principalmente em formato APK.
Links encurtados (com endereços que não terminam em domínios oficiais como mercadolivre.com.br).
Alegação de que o pagamento só será liberado após a instalação do app ou após o envio de um código recebido por SMS.
Pedido para ativar 'acessibilidade', 'sobreposição de tela' ou 'administrador do dispositivo' — permissões que aplicativos legítimos de marketplace não precisam.
Erros de português, ícones distorcidos ou nome do desenvolvedor estranho ao abrir o instalador.

Sempre que aparecer qualquer um desses elementos, a orientação é encerrar a conversa e denunciar o perfil dentro do aplicativo oficial.

O que fazer se você já instalou o aplicativo falso

Se o 'Mercado Livre Coleta' — ou qualquer app suspeito enviado por um suposto comprador — já foi instalado no celular, é preciso agir rápido, porque o tempo entre a instalação e o roubo de dinheiro costuma ser curto. As medidas recomendadas por especialistas em segurança digital são:

Coloque o celular em modo avião imediatamente, para cortar a comunicação do malware com os criminosos.
Não abra o aplicativo do banco nem digite senhas enquanto o aparelho ainda estiver comprometido.
De outro dispositivo (computador ou celular de confiança), acesse o internet banking, troque as senhas e, se possível, bloqueie temporariamente os cartões e o Pix.
Ligue para o banco e informe que houve possível instalação de aplicativo malicioso; peça o bloqueio preventivo da conta.
Desinstale o aplicativo suspeito. Se ele não permitir a remoção normal (o que é comum, porque o malware pode ter se registrado como administrador do dispositivo), entre em Ajustes > Segurança > Administradores do dispositivo e revogue a permissão antes de desinstalar.
Faça uma restauração de fábrica do aparelho se houver qualquer dúvida sobre a limpeza completa do sistema — essa é a forma mais segura de garantir que nenhum componente do malware ficou instalado.
Registre boletim de ocorrência e comunique a plataforma onde o anúncio foi publicado, para que o perfil golpista seja retirado do ar.

Caso já tenham sido feitas transferências indevidas, procure imediatamente o banco para acionar o Mecanismo Especial de Devolução do Pix (MED), previsto pelo Banco Central para casos de fraude e falha operacional. O pedido precisa ser feito rapidamente — quanto mais cedo, maior a chance de recuperar o valor bloqueado na conta destino.

Como se proteger de golpes que se passam por marketplaces

O 'Mercado Livre Coleta' é apenas a versão mais recente de uma família de golpes que exploram a confiança do vendedor em grandes marcas de comércio eletrônico. Já foram registrados esquemas parecidos usando o nome de outros marketplaces, transportadoras e até bancos digitais. Algumas práticas simples reduzem drasticamente o risco:

Mantenha toda a negociação dentro do aplicativo oficial do marketplace. É lá que ficam os registros usados em caso de disputa ou pedido de estorno.
Nunca instale aplicativos por link recebido em conversa, mesmo que o remetente pareça oficial. Baixe apenas pelas lojas de aplicativos.
Desative, nas configurações do Android, a permissão para instalar apps de 'fontes desconhecidas' — isso já barra grande parte dos golpes com APK.
Nunca conceda acessibilidade a apps que você não conhece profundamente. Essa permissão é uma das mais poderosas do sistema e deve ser reservada a apps confiáveis.
Ative a verificação em duas etapas nas suas contas de banco, e-mail e marketplace, preferencialmente por aplicativo autenticador em vez de SMS.
Ative alertas de movimentação no aplicativo do banco: quanto antes você perceber uma transação estranha, maiores as chances de contestar.
Desconfie de qualquer contato que peça código recebido por SMS, foto de documento, senha, selfie segurando documento ou instalação de app externo — nenhuma empresa séria pede isso para liberar pagamento de venda.

Conclusão: atenção redobrada de quem vende pela internet

O golpe do falso 'Mercado Livre Coleta' mostra que os criminosos digitais estão cada vez mais sofisticados na hora de imitar marcas conhecidas e explorar a rotina de quem usa marketplaces para complementar a renda. A boa notícia é que, na maioria das vezes, o ataque só se completa com uma ação da própria vítima: instalar um aplicativo enviado por um estranho.

A regra de ouro é simples e vale para qualquer plataforma: compra e venda legítimas acontecem dentro do aplicativo oficial, sem apps auxiliares, sem envio de código por SMS e sem pressa. Se algo fugir desse roteiro, é golpe. Compartilhe este alerta com amigos e familiares que anunciam produtos pela internet — muitas vezes, um único aviso a tempo evita que o celular, a conta bancária e a renda de uma família inteira caiam nas mãos de criminosos.

Referências

ESET Brasil — análise técnica sobre campanha de malware Android contra vendedores de marketplaces (Jonathan Ramos)
Mercado Livre — Nota oficial sobre a inexistência do aplicativo 'Mercado Livre Coleta'
Banco Central do Brasil — Mecanismo Especial de Devolução (MED) do Pix