Malware móvel é real, crescente e caro. Aqui estão os seis vetores principais de infeção e como bloquear cada um.
1. Apps Maliciosas (Vetor Principal)
- Origem: Lojas terceiras, APKs/IPAs sideloaded, atualizações falsas, apps legítimas clonadas.
- Carga: Spyware, trojans bancários (Anubis, Cerberus), ransomware, adware, fraude SMS, exploits de root.
- Defesa: Apenas lojas oficiais (Play Store, App Store, Galaxy Store). Ative Play Protect / revisão App Store. Desative "Instalar apps desconhecidas" por app.
2. Sites Maliciosos (Drive-by / Phishing)
- Drive-by: Exploram zero-days do browser/motor (raro, corrigido rápido).
- Phishing: Páginas de login falsas (banco, Google, Apple, crypto) → roubo de credenciais.
- Malvertising: Redes de anúncios comprometidas em sites legítimos.
- Defesa: Atualizações automáticas do browser, Safe Browsing (ativo por defeito), uBlock Origin (Firefox Android), não insira credenciais a partir de links.
3. Ficheiros de Mídia Infetados
- Esteganografia: Malware escondido em metadados de imagem/vídeo (raro executa sem exploit).
- Cadeias de exploit: Mídia manipulada dispara bugs de parsers (Stagefright, CVEs ImageIO).
- Engenharia social: "Abre este vídeo" → link malicioso / download APK.
- Defesa: Atualizações automáticas OS/apps (corrigem parsers). Não abra ficheiros inesperados.
4. USB / Conexões Físicas
- Juice jacking: Porta USB pública comprometida → exfiltração de dados / instalação malware (teórico, mitigado por modo restrito USB).
- PC infetado → telemóvel: Transferência ADB/MTP se depuração USB ativa / confiança concedida.
- Defesa: Cabos só de carregamento, bloqueadores de dados USB, desative depuração USB, prompts "Confiar neste computador?".
5. Phishing / Engenharia Social (Camada Humana)
- Smishing: SMS com link malicioso (falsa entrega, alerta bancário, prémio).
- Vishing: Chamada de voz fraudulenta → instala "app de segurança" (malware).
- Quishing: Código QR → site phishing / download malware.
- Defesa: Verifique independentemente. Nenhuma organização legítima pede senha/OTP via SMS/chamada. iOS 17+/Android 14+ análise de links.
6. OS / Apps Não Atualizados (Exploração de Vulnerabilidades)
- Zero-day / n-day exploits: Pegasus (NSO), Predator, Triangulation — visam iMessage, WebKit, kernel.
- Fragmentação: Fabricantes Android atrasam patches; telefones baratos nunca atualizam.
- Defesa: Atualizações automáticas OS e apps. Compre telefones com 4–7 anos de compromisso de atualizações (Pixel, Galaxy S/Ultra, iPhone). Substitua dispositivos EOL.
Lista de Verificação de Proteção Abrangente
- ✅ Apenas lojas de apps oficiais.
- ✅ Atualizações automáticas OS + apps ATIVADAS.
- ✅ Bloqueio de ecrã (PIN/biometria) + encriptação (predefinido em modernos).
- ✅ Reveja permissões de apps trimestralmente (Definições → Privacidade).
- ✅ Instale segurança móvel reputada (Bitdefender, Malwarebytes, Lookout, Google Play Protect) — camada secundária.
- ✅ Backup encriptado (iCloud, Google One, local).
- ✅ 2FA em todas as contas (passkeys > autenticador > SMS).
- ✅ Modo Bloqueio (iOS) / Proteção reforçada (Android) se alto risco.
Malware móvel visa fruta ao alcance da mão. Higiene básica bloqueia 99% das ameaças. Exploits de estado-nação (Pegasus) visam indivíduos específicos — improvável para utilizadores médios.
