Pingu Cleans Up: nova fraude na Google Play copia janelas para roubar dinheiro

Os usuários do Android devem estar atentos a uma nova técnica de fraude descoberta na Google Play, que está baseada na falta de atenção dos usuários, para roubar dinheiro.

Essa técnica foi usada através do jogo "Pingu Cleans Up", que tenta enganar os usuários para que se cadastrem involuntariamente em uma assinatura semanal, no valor de €5,49 (aproximadamente R$ 22), usando o método de pagamento legítimo da Google Play. A ideia era apostar que os usuários iriam clicar em qualquer janela aparentemente legítima, que pudesse impedir o jogo em si, sem prestar muita atenção aos conteúdos. O alvo principal do golpe foram os usuários que tinham suas informações de cartão de crédito salvas em contas da Google Play.

Imagem 1 - O jogo falso descoberto na Google Play.

O jogo estava disponível na Google Play desde fevereiro de 2018 e foi instalado entre 50.000 e 100.000 vezes antes de ser retirado da loja, depois que a ESET notificou o Google. Analisando a pontuação e os comentários sobre o jogo, parece que o app conseguiu capturar a atenção de alguns usuários, independentemente do uso enganoso do método de pagamento da Google Play. No entanto, pontuações negativas prevalecem, como pode ser visto na imagem 2.

Imagem 2 – Mistura pontuações e opiniões negativas sobre o aplicativo na Google Play.

Como funciona a fraude do Pingu Cleans Up?

Depois de executado, o aplicativo solicitava aos usuários que personalizassem a aparência de seu personagem em três passos. Nos dois primeiros, para selecionar o atributo desejado, os usuários precisavam clicar em "confirmar" em uma janela pop-up exibida. No terceiro passo, os usuários que tinham seus dados de cartão de crédito salvos poderiam ver uma janela semelhante à anterior, mas com a diferença de que o botão "confirmar" tinha sido substituído por outro que dizia "inscrever-se", como você pode ver na imagem 3.

Aqueles que clicaram no botão "inscrever-se" caíram na armadilha e tiveram que pagar €5,49 no cartão de crédito associado à conta da Google Play. O pagamento se repetia semanalmente até que o usuário cancelasse sua assinatura no aplicativo.

Observação: As vítimas afetadas por essa fraude não precisam realizar esse procedimento manualmente, pois a inscrição foi cancelada automaticamente com a exclusão do aplicativo que estava na loja da Google Play.

Imagem 3 – Os três passos da fraude

Para os usuários que não possuíam um cartão de crédito associado à sua conta foi exibida uma janela diferente na etapa 3: na qual era solicitado adicionar uma forma de pagamento para concluir a compra (figura 4). A necessidade de ter que passar por várias etapas faz com que muitos usuários não caíam nesse tipo de golpe que é baseado, em primeiro lugar, na falta de precaução por parte dos usuários.

Imagem 4 – Um terceiro passo diferente era apresentado para usuários que não tenham suas informações de cartão de crédito salvas

Como estar seguro contra esse tipo de fraude?

No caso do "Pingu Cleans Up", os usuários poderiam ter notado alguns dos seguintes sinais de aviso, inclusive antes de aparecer a falsa janela com a opção "inscreva-se":

• Falsos links para "Termos de uso" em cada uma das três etapas que podem ser vistas na imagem 3;
• Pedido de pagamento imediatamente após a execução do jogo, quando, na verdade, o aplicativo é definido como gratuito na Google Play;
• Comentários e avaliações negativas na Google Play.

Para evitar cair em golpes como estes, é importante prestar atenção às indicações que surgem inesperadamente e pensar duas vezes antes de confirmar qualquer pedido. Antes de instalar um aplicativo, verifique os comentários e sua classificação. Se você permitir que seus filhos instalem jogos em seu dispositivo, é recomendável criar uma conta separada para essa finalidade sem associar qualquer cartão de crédito.

Por último, mas não menos importante, uma solução de segurança móvel confiável ajudará você a proteger seu dispositivo contra as ameaças mais recentes.

Confira o vídeo a seguir (em inglês):

IoCs