Hackers usam convite falso do Nubank para sequestrar aparelhos Android

Cibercriminosos estão tentando se aproveitar da popularidade da fintech Nubank para endereçar um novo golpe a usuários Android no Brasil. O objetivo é roubar dados das vítimas e controlar remotamente o aparelho das mesmas. O perfil no Twitter @defesa_digital, especializado em descobrir e reportar ameaças online, foi quem primeiro identificou a campanha de phishing.

O golpe é lançado por e-mails que informam que a vítima, supostamente, teria sua conta aprovada pela fintech. Trata-se, no entanto, de um convite falso que convida a pessoa a se cadastrar para receber o cartão de crédito da Nubank.

O e-mail em questão é bem convincente, copiando a identidade visual da startup financeira e do próprio convite original, podendo cativar a atenção de potenciais clientes. Entretanto, o e-mail pede ao usuário a baixar um aplicativo, chamado de Nubank Convidado.APK para acessar o serviço. O app, certamente, não é o oficial e uma vez que o usuário clica, ele é redirecionado para fora da loja de apps do Google, a Google Play.

Análise feita pelo Hybrid Analysis reporta que, uma vez instalado, o app consegue ter acesso remoto ao aparelho da vítima, conseguindo até fazer ligações e ter acesso a informações pessoais, podendo enviar e ler e-mails, ver a lista de contatos, entre outros.

A Nubank, por meio de comunicado, informou que nunca pede aos clientes para mandar informações sensíveis por e-mail. E ainda reforçou que em caso de conteúdo suspeito, usuários podem colaborar reportando o caso por meio de seus canais de atendimento e completa dizendo que esse tipo de “atividade é crime” e que sempre irá “colaborar com as autoridades competentes para investigar e coibir golpes como esse”.