O que aconteceu em segurança digital esta semana

O INSS mantém alerta máximo sobre um aplicativo falso chamado "INSS Reembolso", que promete devolver descontos associativos supostamente cobrados de forma irregular. Identificado por pesquisadores da Kaspersky, o app esconde o malware BeatBanker — um trojan bancário que, uma vez instalado, espiona os aplicativos de banco da vítima, captura senhas digitadas e permite que criminosos controlem o aparelho remotamente, executando transações sem o conhecimento do dono.

O golpe explora justamente a repercussão do ressarcimento real dos descontos indevidos, criando uma isca perfeita. A distribuição acontece por um site que imita a loja oficial de aplicativos do Android. A regra que protege: o INSS não tem intermediários nem aplicativos externos para reembolsos. O único canal oficial é o app Meu INSS, baixado direto da Google Play ou App Store, ou a Central 135.

O governo federal iniciou o pagamento do ressarcimento aos aposentados lesados pela Operação Sem Desconto, com lotes a cada 15 dias visando reparar cerca de 1,5 milhão de pessoas no início. Ao todo, pelo menos 9 milhões de aposentados e pensionistas tiveram descontos indevidos entre 2020 e 2025, e R$ 2,8 bilhões em bens já foram bloqueados judicialmente para garantir o pagamento.

O problema: sempre que há um ressarcimento oficial legítimo, criminosos criam versões falsas do processo. A contestação de descontos e o recebimento do ressarcimento são feitos exclusivamente pelo app Meu INSS, pela Central 135 ou em uma agência dos Correios — nunca por link recebido em SMS, WhatsApp ou redes sociais. Quem oferece "adiantar" ou "liberar" o ressarcimento mediante taxa ou dados bancários é golpista.

Os vazamentos de dados cadastrais de chaves Pix continuam acontecendo — em 2026 já foram registrados mais de 20 incidentes envolvendo instituições como Pefisa (28.203 chaves) e Agibank (5.290 chaves). Em todos os casos, o Banco Central esclarece que foram expostos apenas dados cadastrais (nome, CPF com máscara, agência, tipo de conta) — nunca senhas, saldos ou extratos, que são protegidos por sigilo bancário e não permitem movimentação de dinheiro.

O ponto crítico é como o BC comunica: quem tem dados expostos é avisado exclusivamente pelo aplicativo ou internet banking da própria instituição. O Banco Central pediu expressamente que os cidadãos desconsiderem qualquer aviso de vazamento que chegue por ligação, SMS, e-mail ou aplicativos de mensagem — esses são golpes que exploram o medo do vazamento para roubar ainda mais dados.

O relatório Scamscope, da ACI Worldwide em parceria com a GlobalData, projeta que o Brasil terá o maior crescimento em fraudes de pagamentos em tempo real do mundo. As perdas com o golpe do Pix podem chegar a R$ 11 bilhões até 2028 — um aumento de quase 40% em relação a 2023. O estudo analisou os seis maiores mercados de pagamento instantâneo: Brasil, EUA, Reino Unido, Índia, Austrália e Emirados Árabes.

Um dado revela o custo além do dinheiro: uma em cada quatro vítimas de golpe afirma que vai trocar de banco. Isso pressiona as instituições a investir em prevenção — mas, enquanto a tecnologia antifraude não alcança os criminosos, a defesa mais eficaz continua sendo a informação. Desconfiar de urgência, confirmar por canais oficiais e nunca ceder à pressão de decidir "agora" são as barreiras que funcionam hoje.