Quem digita “WhatsApp” na busca da Play Store pode instalar o aplicativo errado. Uma cópia do mensageiro, publicada por uma desenvolvedora chamada Agment Assets Sallu, aparece em primeiro lugar nos resultados, acima do app oficial da Meta, e já passou de 500 mil downloads. O caso veio à tona depois que um usuário do Reddit publicou capturas de tela da busca para alertar outras pessoas.
O pior detalhe está na etiqueta do resultado. O app falso aparece marcado como “Sponsored”, ou seja, é um anúncio pago. Alguém pagou ao Google para que a cópia ganhasse a posição mais visível da loja. O golpe passou pela revisão de apps e também pelo sistema de publicidade da própria Play Store.
Meio milhão de instalações é pouco perto dos mais de 10 bilhões de downloads do WhatsApp verdadeiro. Ainda assim, são 500 mil pessoas que confiaram no primeiro resultado da loja oficial do Android, que é justamente o lugar onde o Google recomenda baixar aplicativos.
O Chrome falso que começou como jogo
Dias antes, uma versão falsa do Google Chrome foi encontrada usando a mesma tática, inclusive com o selo de anúncio patrocinado. O histórico dela mostra como a fiscalização falhou. O app entrou na Play Store em 22 de agosto como um jogo chamado Ball Bounce, publicado pela desenvolvedora Hizbartech. Em 30 de setembro, trocou de nome e de ícone para imitar o navegador do Google.
Quem abria o suposto Chrome não encontrava navegador nem jogo. O app exibia um chat rudimentar com respostas pré-programadas. A aprovação inicial, feita quando o app ainda era um joguinho inofensivo, não impediu a troca de identidade cinco semanas depois.
O risco para quem instalou
Não há, até agora, uma análise pública detalhando o que o WhatsApp falso faz com os dados de quem o instala. O padrão dos dois casos, com apps que imitam marcas conhecidas e não entregam a função prometida, aponta para fins maliciosos como coleta de dados. O estrago depende das permissões: um app com acesso a contatos, câmera e microfone tem material de sobra para espionar o aparelho. No Brasil, onde o WhatsApp concentra conversas de família, trabalho e até cobranças, uma lista de contatos vazada é matéria-prima para o golpe do falso parente.
A checagem leva poucos segundos. O WhatsApp oficial é publicado por WhatsApp LLC e mostra a casa dos bilhões de downloads. Se o resultado tiver o selo de patrocinado, ignore e role a página. Se você instalou algo diferente, desinstale e revise nas configurações quais permissões o app chegou a receber.
O Google já removeu o Chrome falso da loja. Até a publicação do alerta no Reddit, a cópia do WhatsApp continuava disponível para download na Play Store.
