Anúncios encontrados no Facebook e Instagram direcionavam usuários para falsos aplicativos Android capazes de capturar credenciais bancárias, códigos de autenticação e outras informações sensíveis.
A Meta removeu dezenas de anúncios fraudulentos do Facebook e Instagram depois que autoridades da Índia alertaram para uma campanha que utilizava conteúdo sexualmente explícito como isca para levar usuários a aplicativos maliciosos. O esquema transformava anúncios aparentemente relacionados a conteúdo adulto em uma porta de entrada para malware capaz de comprometer celulares Android e acessar informações financeiras das vítimas.
O alerta partiu de autoridades indianas de combate ao cibercrime, que identificaram um aumento de fraudes envolvendo aplicativos Android maliciosos disfarçados de plataformas de conteúdo adulto. Segundo a Reuters, os anúncios direcionavam usuários para páginas externas que incentivavam o download de arquivos APK, permitindo que os aplicativos fossem instalados fora das lojas oficiais.
A Reuters identificou pelo menos 39 anúncios relacionados ao esquema ainda ativos no Facebook e Instagram depois do alerta das autoridades. Após a Meta ser procurada pela agência de notícias, os anúncios identificados foram retirados. O episódio amplia o debate sobre a capacidade das grandes plataformas de detectar publicidade fraudulenta antes que ela alcance usuários.
Como funcionava o golpe
A estratégia começava com anúncios contendo material provocativo destinado a despertar a curiosidade dos usuários. Alguns dos aplicativos divulgados apareciam sob nomes como “Night Play” e “Kyss”. Ao clicar na publicidade, a vítima poderia ser encaminhada para páginas de phishing que prometiam acesso a vídeos e outros conteúdos mediante a instalação de um aplicativo.
O principal risco surgia justamente no momento da instalação. Em vez de utilizar uma loja oficial, o usuário era orientado a baixar diretamente um arquivo APK. Essa prática, conhecida como sideloading, permite instalar aplicativos Android provenientes de outras fontes, mas também pode contornar algumas das verificações de segurança existentes nas lojas oficiais.
Depois de instalado e autorizado pelo usuário, o software malicioso poderia obter permissões sensíveis no aparelho. Autoridades indianas alertaram que aplicativos relacionados à campanha poderiam acessar informações financeiras e facilitar o roubo de credenciais bancárias, PINs e códigos de autenticação de uso único, os chamados OTPs.
Conteúdo falso servia apenas como isca
O elemento adulto apresentado nos anúncios não era necessariamente o objetivo final do esquema. Ele funcionava principalmente como mecanismo para gerar cliques e convencer potenciais vítimas a deixar as plataformas tradicionais e instalar programas de procedência desconhecida.
Esse modelo mostra como campanhas de fraude digital estão utilizando técnicas de engenharia social cada vez mais direcionadas. Em vez de depender somente de mensagens dizendo que uma pessoa ganhou um prêmio ou precisa atualizar sua conta bancária, criminosos podem explorar curiosidade, entretenimento, relacionamentos e outros interesses para induzir usuários a realizar uma ação perigosa.
A distribuição por redes sociais também aumenta o alcance potencial dessas campanhas. Quando uma publicidade aparece dentro de uma plataforma conhecida, alguns usuários podem interpretar sua presença como um sinal de que o anunciante ou produto foi previamente verificado, embora a publicação de um anúncio não represente garantia de legitimidade.
Autoridades indianas fizeram o alerta
O Indian Cyber Crime Coordination Centre (I4C), ligado ao Ministério do Interior da Índia, alertou sobre o crescimento das fraudes financeiras associadas a aplicativos Android maliciosos. A National Cybercrime Threat Analytics Unit também identificou o padrão envolvendo aplicativos que se apresentavam como serviços de conteúdo adulto.
A dimensão financeira do problema ajuda a explicar a preocupação das autoridades. Dados governamentais citados pela Reuters apontam que a Índia registrou aproximadamente US$ 2,4 bilhões em perdas relacionadas a fraudes cibernéticas em 2025, em meio à rápida expansão dos pagamentos digitais no país.
O crescimento do mercado digital indiano criou oportunidades para serviços financeiros e plataformas tecnológicas, mas também ampliou o universo de potenciais vítimas. Golpistas passaram a explorar redes sociais, aplicativos de mensagens, páginas falsas e programas maliciosos para tentar capturar informações financeiras.
Meta retira os anúncios das plataformas
A Meta mantém políticas que proíbem práticas publicitárias enganosas e determinados conteúdos adultos em seus serviços. Mesmo assim, os anúncios conseguiram passar pelos sistemas de publicidade e permanecer ativos até serem identificados.
Segundo a Reuters, dezenas de anúncios relacionados ao padrão foram removidos depois que a empresa recebeu informações sobre a campanha. O episódio reforça um problema enfrentado não apenas pela Meta, mas por todo o setor de publicidade digital: criminosos podem criar novos domínios, contas e anúncios rapidamente para tentar contornar sistemas automatizados de detecção.
O caso ocorre ainda em um momento de maior pressão internacional sobre plataformas digitais para combater golpes publicitários. Governos e autoridades de diferentes países têm cobrado medidas mais eficientes para impedir que anúncios fraudulentos alcancem grandes audiências antes de serem identificados e retirados.
Fraudes digitais desafiam redes sociais
A sofisticação crescente dos golpes transforma a moderação de anúncios em uma disputa constante entre plataformas e criminosos. Sistemas automatizados podem bloquear determinados padrões, enquanto fraudadores alteram imagens, endereços, nomes e páginas de destino para tentar evitar a detecção.
Para os usuários, o episódio reforça a importância de evitar aplicativos Android oferecidos por anúncios suspeitos, principalmente quando o download exige a instalação direta de arquivos APK provenientes de páginas desconhecidas. Solicitações incomuns de permissões também devem ser consideradas um sinal de alerta.
O caso dos falsos aplicativos de conteúdo adulto demonstra como publicidade, engenharia social e malware podem ser combinados em uma mesma campanha. O anúncio funciona apenas como o primeiro contato; depois do clique, páginas falsas e aplicativos maliciosos conduzem a vítima até a etapa em que dados pessoais e financeiros podem ser comprometidos.
Fontes:
Fonte principal clicável: Reuters — Meta removes ads for fraud apps posing as porn after India sounds alarm