CallPhantom: apps falsos de histórico de chamadas cobram por dados fictícios no Android
A ESET descobriu a campanha CallPhantom, formada por 28 aplicativos no Google Play que prometiam mostrar o histórico de chamadas, SMS e WhatsApp de qualquer número, mas na verdade geravam dados aleatórios e cobravam pagamento antes de exibir o resultado falso. Os apps somaram mais de 7,3 milhões de downloads, concentrados na Índia e na região Ásia-Pacífico, antes de serem removidos.
A campanha identificada pela ESET explora uma promessa tecnicamente impossível e, na maioria das jurisdições, ilegal: acessar o histórico de chamadas, SMS e mensagens de WhatsApp de qualquer número de telefone, sem qualquer tipo de autorização ou acesso ao aparelho da pessoa monitorada. Ainda assim, 28 aplicativos com esse discurso passaram pela revisão do Google Play e acumularam juntos mais de 7,3 milhões de downloads antes de serem retirados da loja.
O mecanismo interno confirma a fraude: os aplicativos não têm nenhuma via técnica real de acessar dados de terceiros, então simplesmente geram números de telefone e registros de forma aleatória e os apresentam como se fossem o resultado da consulta. Foram identificados dois padrões de operação — um cluster mostra resultados parciais fabricados, com dados pré-codificados no próprio app, e cobra para desbloquear o histórico completo; outro cluster pede um endereço de e-mail para onde os dados seriam supostamente enviados, mas já cobra o pagamento antes de qualquer entrega, que nunca ocorre.
A cobrança acontece por três vias: assinatura oficial via Google Play, pagamentos UPI processados por terceiros, e formulários de cartão de crédito embutidos diretamente no aplicativo. As duas últimas rotas contornam deliberadamente o sistema de cobrança do Google, o que também retira da vítima a proteção de reembolso e o histórico de transação que a Play Store ofereceria.
Para quem já pagou por um desses aplicativos, o primeiro passo é cancelar a assinatura diretamente no Google Play e solicitar reembolso dentro do prazo permitido pela política da loja. Para cobranças feitas fora do Google Play — via UPI ou cartão inserido no próprio app — é preciso contestar a transação diretamente com o banco ou provedor de pagamento, já que não há proteção automática da loja nesses casos. De forma mais ampla, a lição para o usuário é simples: nenhum aplicativo legítimo consegue entregar dados privados de terceiros sem consentimento, e qualquer app que faça essa promessa deve ser tratado como fraude, mesmo que esteja disponível na loja oficial.