App do 4Shared mostra anúncios e faz compras sem consentimento do usuário

Presente na internet desde 2005, o serviço de compartilhamento de arquivos 4Shared é amplamente popular, mas, de acordo com a empresa de segurança Upstream, a plataforma estava roubando seus milhares de usuários do Android. Segundos os pesquisadores da firma, o aplicativo que já foi instalado mais de 100 milhões de vezes na Play Store estava enviando anúncios invisíveis para os aparelhos e até usando dados das pessoas para realizar pagamentos.

De acordo com os detalhes fornecidos por Guy Krief, CEO da Upstream, as propagandas estavam sendo colocadas de forma escondida na interface do dispositivo, que possuía um sistema para gerar cliques automáticos e, consequentemente, conseguir receita — tudo sem o consentimento do usuário. Segundo as investigações, a responsável pelo software malicioso é uma companhia de marketing de Hong Kong chamada Elephant Data, que também equipou o app com cookies para identificar se o smartphone já foi utilizado para fazer compras.

Além do sistema para caçar cliques, o 4Shared foi acusado de utilizar dados bancários de usuários premium para realizar transações não autorizadas, gerando cobranças indevidas para seus clientes. "Tudo acontece por baixo dos panos, nada aparece na tela", explica o chefe da Upstream.

(Fonte: 4Shared/Divulgação)

Também no Brasil

Durante as investigações, a companhia teria bloqueado mais de 114 milhões de transações suspeitas vindas de 2 milhões de dispositivos com o aplicativo. O banco de dados montado pela Upstream contou com informações de apenas alguns países; ou seja, os números revelados pela companhia representam apenas uma fração dos afetados. Segundo nota do TechCrunch, porém, a firma de segurança estudou casos ocorridos no Brasil; logo, usuários daqui também foram vítimas do código malicioso.

Embora os responsáveis pelo 4Shared neguem a existência de atividades fraudulentas em seu serviço, em abril a firma retirou seu aplicativo do ar no Android e o substituiu por uma versão com a mesma estrutura, mas sem o malware feito pela Elephant Data que foi detectado pela Upstream — uma atitude no mínimo suspeita.