O ponto central do golpe é a instalação do app, o qual a vítima é convencida a instalar em seu celular. Sem o app instalado, o golpe não acontece. 

O golpe da mão fantasma está, literalmente, assustando bancos e instituições financeiras e clientes em todo o mundo. Segundo a empresa de segurança digital Kaspersky, duas variantes do malware chamado TwMobo já estão tomando conta dos Estados Unidos, Europa e América Latina. 

Porque mão fantasma?
Nessa fraude, o criminoso obtém total acesso ao celular da vítima de forma remota depois que um app é instalado. Por conta desse app, classificado com RAT (Remote Acces Control) o criminoso consegue burlar os mecanismos de dupla autenticação (digital, reconhecimento facial ou tokens) e a partir de então roubar dados (senhas salvas no navegador e redes sociais) e fazer transferências bancárias para outras contas. 

Porém, cerca de 40 mil vítimas, incluindo de três bancos brasileiros, já cairam no golpe. No caso, as pessoas são induzidas a instalar o app muitas vezes pelo gatilho do medo  de anúncios alarmistas (do tipo: seu celular está infectado e precisa de proteção); por meio de uma email fraudulento, um link malicioso com falsas promessas ou por engenharia social. Este, por sinal, é o método mais usado, onde o criminoso se faz passar por um agente financeiro de um banco, inclusive com suporte de uma falsa central de atendimento e induz de forma convincente para que a vítima instale o aplicativo. Geralmente esta conversa inicia com a informação do agente financeiro de que uma transação financeira  foi detectada e este quer saber se a vítima reconhece. Claramente, a vítima não reconhecerá a operação e dai em diante, a promessa de falsa segurança extra vai acabar com a instalação do app. 

Os aplicativos de bancos são seguros?
SIM. É o que afirmam os bancos e a Federação Brasileira dos Bancos - Febraban. E por isso o que os bancos tem feito é apenas orientar os clientes a não instalarem nenhum aplicativo suspeito e reforçar o que todo mundo sabe ou deveria saber:

- Banca não liga pedindo troca de senha
- Banco não pede para instalar app
- Banco não trata de problemas de segurança via telefone
- Applicatio de banco, somente o da loja oficial
- Não use senhas fracas e nem repetidas em vários serviços de apps. 
- Não instale ferramentas desconhecidas. Veja qualificação dos usuários
- Não se assuste com conversas de urgência de ação
- Não forneça dados pessoais ou financeiros via telefone. Qualquer cadastro, dirija-se à agência
- Não se iluda com propostas mirabolantes ou exageradamente vantajosas

Se é seguro, como os criminosos conseguem acessar as contas?
Os aplicativos de banco "contam com o máximo de segurança em todas as suas etapas, desde o seu desenvolvimento até a sua utilização", segundo a Febraban. E isto é verdade, pois não há registro de violação da segurança desses aplicativos, além de que há a obrigatoriedade do uso da senha pessoal do cliente.

O que acontece, é que, de "posse" remota do aparelho, o criminoso faz uma varredura no celular em busca de senhas armazenadas pelos próprios usuários. E, se ele encontra facilidades, como senhas anotadas em blocos de notas, em contas de email, enviadas para parentes próximos via whatasapp ou uso da mesma senha (inclusive fracas) em vários serviços, o golpe estará a um passo de ser executado. 

Por Marcos Sávio - Especialista em Segurança Digital