Como saber se meu celular foi hackeado: sinais reais e o que fazer

Sintoma não é prova

Quase toda lista de sinais de celular hackeado é, na verdade, uma lista de comportamentos normais de celular. Bateria perde capacidade com o tempo, aplicativo acorda sozinho em segundo plano, operadora tem dia ruim e atualização de sistema deixa aparelho antigo mais lento. Nada disso é diagnóstico.

O que conta como prova é outra categoria de coisa. Prova é algo que aconteceu dentro de uma conta, e não algo que você sentiu no aparelho: um acesso de um lugar onde você nunca esteve, uma mensagem que você não escreveu, um aparelho que você não tem aparecendo na sua conta, um perfil de configuração que você não instalou. Essas coisas deixam registro.

Isso importa por causa do custo. Correr atrás de sintoma costuma terminar numa restauração de fábrica que não resolve nada, porque o problema real era uma senha que vazou dois anos atrás numa empresa qualquer. Procurar prova diz em qual das duas situações você está, e elas pedem respostas opostas.

Os sinais que quase não provam nada

São essas queixas que trazem a maioria das pessoas até aqui, e cada uma sozinha tem uma explicação sem graça que é muito mais provável do que um invasor.

A bateria acaba mais rápido do que antes. Bateria de lítio perde capacidade com a idade, e tanto iPhone quanto Android mostram nas configurações a saúde da bateria e o consumo por aplicativo. Veja qual aplicativo está gastando antes de concluir qualquer coisa.

O aparelho esquenta. Carregando, com mapa aberto, vendo vídeo, no sol ou baixando uma atualização grande, ele esquenta mesmo.

Está lento ou os aplicativos fecham sozinhos. Armazenamento quase cheio, sistema novo em aparelho antigo ou um aplicativo específico com defeito explicam quase todos os casos.

Aparecem anúncios em janelas. Costuma ser um aplicativo cheio de propaganda ou uma página do navegador, não invasão do sistema. Vale desinstalar de qualquer jeito.

O consumo de dados subiu. Olhe o número por aplicativo nas configurações. Backup automático, vídeo e um celular que caiu do wi-fi explicam a maior parte dos picos.

Você recebeu uma mensagem estranha ou uma ligação de golpe. Número de telefone circula o tempo todo, inclusive em vazamentos. Receber mensagem não diz nada sobre o seu aparelho. O que fazer com elas está em smishing e em como identificar SMS falso do banco.

Qualquer um desses pode aparecer junto com um problema de verdade. Nenhum deles, sozinho, é um problema.

Apareceu “alerta do sistema: seu telefone foi hackeado”? É propaganda falsa

O aviso “alerta do sistema: seu telefone foi hackeado” que aparece no navegador, com contagem regressiva ou som, é uma propaganda falsa, e não um aviso do celular. A Malwarebytes descreve esse tipo de anúncio como uma fraude que diz que o aparelho foi invadido para fazer você tocar em OK e instalar um aplicativo de limpeza, às vezes em nome de um falso centro de segurança ou da empresa do celular.

O que fazer quando ele aparece:

1. Não toque em nenhum botão do aviso, nem no OK nem no fechar desenhado dentro dele.
2. Feche a aba do navegador pela lista de abas, ou feche o navegador inteiro.
3. Não instale o aplicativo que o aviso indica e não ligue para telefone que apareça nele.
4. Se o aviso volta toda hora, apague os dados de navegação nas configurações do navegador e confira nas notificações se algum site ganhou permissão para mandar avisos. Retire essa permissão.

Se você já instalou o que o aviso pediu, siga a ordem da limpeza mais abaixo.

Códigos como *#21#, *#62# e *#06# mostram se o celular foi hackeado?

Não. Nenhum código digitado no teclado de chamadas mostra se o celular foi hackeado. Os códigos *#21# e *#62# consultam se as suas ligações estão sendo desviadas para outro número, um serviço da linha que a própria pessoa liga ou desliga, e o Fato ou Fake, do g1, já mostrou que a mensagem dizendo que eles revelam monitoramento é falsa. O *#06# só mostra o IMEI, o número de identificação do aparelho, explicado em como saber o IMEI do celular.

Se a consulta mostrar um desvio que você não fez, desligue o desvio com a operadora e troque as senhas das contas que recebem código por ligação. O que realmente indica invasão está na seção de sinais que valem uma checagem.

Os sinais que valem uma checagem hoje

Esses deixam registro em algum lugar, e é isso que os torna diferentes. Qualquer um deles já justifica olhar as suas contas hoje.

O celular fica sem sinal nenhum sem motivo, ou a operadora avisa que o seu chip foi ativado em outro aparelho. Esse é o começo do golpe do chip clonado, e é o único item desta página em que a primeira hora pesa mais que tudo.

Mensagens ou e-mails que você não enviou aparecem na caixa de enviados, ou contatos respondem a algo que você nunca escreveu.

Chegam avisos de login, e-mails de redefinição de senha ou códigos de verificação sem que você estivesse entrando em lugar nenhum. Alguém está na porta com a sua senha. O CERT.br orienta não ignorar esses avisos, entrar na conta digitando o endereço em vez de clicar no link e trocar a senha.

Um aparelho que você não reconhece aparece na lista de dispositivos da sua conta, ou uma sessão aberta num lugar onde você nunca esteve.

Um aplicativo, perfil ou administrador que você não instalou. No iPhone isso aparece como perfil de configuração. No Android, como aplicativo com direito de administrador do dispositivo ou com permissão de acessibilidade que ele não tem motivo para pedir.

Ajustes que mudaram sozinhos: uma regra nova encaminhando os seus e-mails, um telefone ou e-mail de recuperação que não é seu, um aparelho novo marcado como confiável, uma forma de pagamento que você não cadastrou.

Um aviso oficial do fabricante. A Apple envia notificações de ameaça a pessoas que ela acredita terem sido alvo individual de spyware mercenário, e descreve esses avisos como alertas de alta confiança. São raros, atingem sobretudo jornalistas, ativistas, políticos e diplomatas, e a Apple orienta conferir a autenticidade do aviso entrando em account.apple.com por conta própria, nunca por link da mensagem.

Como conferir no iPhone

Quatro telas cobrem quase tudo que dá para verificar sem ser especialista, e nenhuma delas pede instalar aplicativo nenhum. Os caminhos abaixo são os da versão atual do sistema; se o seu iPhone for mais antigo, o nome do menu pode mudar um pouco. Anote o que você não reconhecer.

1. Perfis de configuração. Ajustes, Geral, Gerenciamento de VPN e Dispositivos. A documentação da Apple explica que é ali que os perfis instalados aparecem, e que apagar um perfil apaga também os ajustes, aplicativos e dados ligados a ele. Num celular pessoal, normalmente não deveria haver nada ali além de um perfil de trabalho que você mesmo aceitou.
2. Lista de dispositivos da Conta Apple. Ajustes, seu nome, e role a tela. A Apple documenta como ver e remover os aparelhos conectados à conta, inclusive pelo site account.apple.com. Remova o que você não reconhecer.
3. Verificação de Segurança. Ajustes, Privacidade e Segurança, Verificação de Segurança. A página oficial da Apple explica que ali dá para revisar o que você está compartilhando com pessoas e aplicativos, ver e remover dispositivos conectados à conta e mudar a senha do aparelho e da conta. Existe também a Redefinição de Emergência, que corta todo o compartilhamento de uma vez.
4. Permissões e aplicativos que você não lembra. Ajustes, Privacidade e Segurança, e olhe localização, microfone, câmera, fotos e contatos. Depois role a lista de aplicativos procurando algo que você não instalou.

A Apple também oferece o Modo de Isolamento, um ajuste extremo que limita recursos para reduzir a superfície de ataque. Ele é feito para quem acredita ser alvo específico e quebra coisas do dia a dia, então não é recomendação geral.

Como conferir no Android

No Android, as mesmas verificações moram em quatro lugares, e o nome exato do menu muda de fabricante para fabricante. As palavras a procurar são as mesmas.

1. Rode o Play Protect. Abra a Play Store, toque na foto do perfil, entre em Play Protect e peça uma verificação. O Google documenta que ele procura comportamento nocivo nos aplicativos, inclusive nos instalados fora da loja, e que vem ativado por padrão.
2. Revise as permissões. O Google descreve dois caminhos: Configurações, Apps, o aplicativo, Permissões; ou Segurança e privacidade, Privacidade, Gestão de permissões, e então o tipo de permissão. Olhe com atenção redobrada os serviços de acessibilidade, o acesso a notificações e a autorização para sobrepor outras telas, porque são essas permissões que deixam um aplicativo ler e controlar outro.
3. Veja os aplicativos com direito de administrador do dispositivo. Costuma ficar em Configurações, Segurança, e ali um item com nome parecido com apps de administração do dispositivo. Uma entrada que você não colocou é um achado de verdade, e ela costuma travar a própria desinstalação até você retirar esse direito.
4. Revise os dispositivos da Conta do Google. O caminho documentado é a Conta do Google, Segurança, Gerenciar todos os dispositivos, e ali dá para sair dos que você não reconhece.

Role também a lista completa de aplicativos, incluindo os de nome genérico. Programa feito para passar despercebido não se anuncia, e um nome que parece utilitário de sistema é o disfarce mais comum. O CERT.br chama esse tipo de programa de stalkerware e define assim: um código projetado para espionar o dono do aparelho, que não autorizou e não sabe que ele está instalado.

A ordem da limpeza

Aqui a ordem importa mais do que a pressa. Trocar senha a partir de um aparelho em que você não confia é entregar a senha nova, então a sequência começa por chegar a um terreno seguro.

1. Se o celular ficou sem sinal ou a operadora avisou algo sobre o seu chip, ligue para a operadora primeiro, de outro telefone. Nada mais funciona enquanto o seu número estiver no aparelho de outra pessoa.
2. Passe para um aparelho em que você confia para trocar as senhas. O notebook de casa ou o computador de um familiar serve. Sem segundo aparelho, proteja as contas assim mesmo e repita a troca depois que o celular estiver limpo.
3. Troque a senha do e-mail primeiro, depois a da conta da operadora, depois banco e pagamento, depois o resto. O e-mail é o caminho de redefinição de tudo.
4. Desconecte todas as outras sessões nas configurações de segurança de cada conta, para que uma sessão já aberta não continue valendo.
5. Volte nos ajustes de recuperação pelos quais você acabou de passar: e-mail de recuperação, telefone de recuperação, dispositivos confiáveis e regras de encaminhamento de e-mail. É isso que costuma ser alterado para o invasor conseguir voltar.
6. Ligue a segunda etapa mais forte que cada conta oferecer. A comparação está em verificação em duas etapas.
7. Remova o que você achou no celular e instale todas as atualizações pendentes de sistema e de aplicativos. O CERT.br lembra que atualização costuma corrigir falha que já está sendo explorada.
8. Avise o banco se alguma conta financeira estava ao alcance, reduza limites de transferência, de Pix e de TED e acompanhe os extratos nas semanas seguintes.

Quando restaurar de fábrica faz sentido

Restaurar de fábrica é o movimento certo quando você achou algo no aparelho e não consegue remover, ou quando a prova aponta para o celular e não para uma conta. Em quase todo outro caso, é o primeiro movimento errado.

O CERT.br descreve a sequência no fascículo Códigos Maliciosos: passar um antivírus, reiniciar o aparelho e, se não for possível remover ou se os sintomas continuarem, reinstalar o sistema ou restaurar as configurações de fábrica, trocando depois as senhas dos serviços acessados dali. O motivo de a restauração ser a saída mais recomendada é honesto: nem sempre dá para ter certeza de que o programa foi removido por inteiro.

O que ela não faz: não conserta senha vazada, porque essa senha está no servidor da empresa e não no seu celular, e não tira ninguém das suas contas. E restaurar um backup feito enquanto o problema já existia pode trazer o problema de volta, então configure o aparelho do zero e reinstale os aplicativos na mão em vez de restaurar tudo de uma vez.

Antes de apagar, escreva o que você encontrou. Se depois você for registrar a ocorrência, essa anotação é o único registro que vai sobrar, porque a restauração apaga o resto.

Quando quem tem acesso é uma pessoa próxima

Programa de monitoramento instalado por um companheiro, um parente ou um ex é uma situação diferente da de um criminoso distante, e o conselho comum pode piorar as coisas. Quem está acompanhando o aparelho pode ver as telas que você abre e os aplicativos que você remove.

Se existe qualquer risco à sua segurança, busque orientação antes de mexer no aparelho. A Central de Atendimento à Mulher, o Ligue 180, do Ministério das Mulheres, funciona 24 horas por dia, todos os dias, é gratuita e atende também por WhatsApp, no (61) 9610-0180, e por e-mail, em [email protected]. Em emergência, o número é o 190. A Apple publica um Manual de Segurança Pessoal escrito exatamente para esse tipo de situação, incluindo como revisar o compartilhamento sem alarde.

Use um aparelho que a outra pessoa não alcance quando começar a trocar senhas, e conte com o fato de que contas, compartilhamento de localização e planos de família podem precisar ser desembaraçados separadamente. Isso não é coisa para resolver numa noite, no celular em questão.

Onde registrar e a quem avisar

Registre mesmo que nada tenha sido levado, porque é de registro que se formam os padrões. Nenhum desses canais recupera aparelho ou senha para você, e nenhum garante dinheiro de volta.

Se o aparelho foi roubado, furtado ou perdido, acione o Celular Seguro, do Ministério da Justiça e Segurança Pública, que a partir de um alerta avisa instituições financeiras e operadoras parceiras e alimenta o cadastro nacional de aparelhos com restrição. O passo a passo está em como bloquear um celular roubado. Peça à operadora a desativação do chip e o bloqueio do IMEI, o código que identifica o aparelho e que você descobre digitando asterisco, cerquilha, zero, seis, cerquilha no teclado do telefone. A Anatel mantém a consulta de situação do aparelho pelo IMEI.

Faça o boletim de ocorrência e declare nele o IMEI e o número de série, porque o registro costuma ser exigido para contestar fraude e acionar seguro. Se houve movimentação que você não reconhece, conteste com o banco, guarde o protocolo e, se não resolver, registre reclamação no Banco Central e no consumidor.gov.br. O caminho completo de denúncia está em como denunciar um golpe.

Guarde o rastro enquanto faz tudo isso: datas, o que você viu, capturas de tela tiradas de um segundo aparelho, números de protocolo e o nome de quem atendeu. Banco e plataforma pedem detalhe depois, e memória é uma fonte ruim.

Perguntas frequentes