⚠️ NÃO ENTRE NO APLICATIVO DO BANCO SEM DESATIVAR ISSO ANTES! (SEU DINHEIRO EM RISCO)

0:00 Não acesse o aplicativo do banco sem verificar isso antes. Atendendo a inúmeros pedidos aqui no canal, eu quero elaborar a minha lista. Eu vi muitos vídeos aqui no YouTube, são vídeos importantes, mas ou focam somente no Android, ou focam somente no iPhone, ou passam uma única orientação, como se isso fosse suficiente para minimizar a superfície de ataque dos criminosos digitais aos seus aplicativos bancários. Então, procurei nesse vídeo levantar o que eu reputo fazendo pesquisas de segurança digital com meu time de segurança digital, as principais técnicas que os criminosos hoje utilizam, as principais

0:45 vulnerabilidades, as principais configurações que você deve revisar no seu aplicativo, no seu celular como um todo, antes de fazer qualquer transação com seu aplicativo bancário. Sem mais demora, vem comigo que eu explico para vocês aqui. Cuidado, né? Não entre no aplicativo do banco antes de verificar isso. Antes, é muito importante destacar hoje que o celular ele virou alvo dos criminosos justamente por conta dos aplicativos bancários. Quais são os aplicativos que você tem aí, né? Caixa, Nubank, C6, Bradesco, Itaú. Algumas pessoas também tm aplicativos de corretoras de criptoativos. Tudo isso pode ser interceptado. É isso que eu vou explicar para vocês. E

1:32 durante muito tempo, né, quando a gente falava em fraude bancária, as pessoas imaginavam ataques focados em banco. E o banco hoje investe em segurança da informação. E você que é um cyber expert, você que me acompanha aqui no canal, você sabe que eu sempre falo e isso, aliás, não sou eu que falo, é um lema de segurança. A força de uma segurança, ela é proporcional ao seu elo mais fraco da corrente, né? É sempre nesse sentido, né? A força de uma corrente, ela é proporcional seu elo mais fraco. Será que o elo mais fraco hoje é o banco ou são as milhares, milhões de pessoas com acesso bancário, muitas vezes por meio de aplicativos em celulares desprotegidos a nível de sistema operacional, a nível de aplicações e assim por diante. A realidade hoje é diferente. Na maioria

2:18 dos casos, hoje é muito mais fácil comprometer, logicamente, o celular de pessoas do que atacar a infraestrutura bancária. E nós sabemos hoje, né, o celular hoje ele concentra aplicativos bancários, Pqs, e-mail, redes sociais, documentos autenticações informações que são suficientes para causar prejuízo financeiro. Muitas vezes as pessoas levam no celular os fatores de resete de senha, né? Então, o seu fator de reset de uma senha é um código que você vai receber, ou especificamente, o seu aplicativo autenticador não tem nenhuma barreira de acesso a ele, ou o e-mail está no próprio celular onde existe o aplicativo bancário. Percebam, se um criminoso acessa o seu dispositivo, ele não tem

3:03 acesso nenhum ali à sua senha ou os fatores de autenticação, ele pode comito tentar ali um perdi minha senha, esqueci minha senha, porque todos os fatores estão naquele dispositivo. Então, primeiro ponto, primeira orientação é justamente a gente fazer essa importante separação. É importante ter essa separação para que se evite que diante da posse física do seu dispositivo seja muito fácil proceder com um procedimento de recuperação de senha. Então, atento a isso, é importante destacar que antes de abrir o seu aplicativo, existem algumas verificações que vale a pena fazer. Então, instalou um aplicativo bancário, vai usar o aplicativo bancário. Existem algumas observações e configurações muito importantes. É

3:50 lógico que eu poderia vir aqui e falar: "Não, não saia". Como muitas pessoas vão comentar aqui, não, é só não sair na rua com o aplicativo, é só não instalar o aplicativo ou usa dois, três celulares. Essa não é a realidade da maioria das pessoas. Então, a gente precisa atuar. Logicamente quem pode assim fazer, OK? Mas quem tem lá, precisa trabalhar, precisa acessar sua conta, deve aplicar essas configurações ou revisar essas configurações antes de abrir o seu aplicativo bancário. Sempre faço uma observação importante. Eu produzo vídeos aqui para ajudar e eu espero que esses vídeos sejam atemporais. Ou seja, a qualquer momento que você tá acessando, as estratégias estão ali. É lógico, né, que os menus variam de acordo com o aparelho, as configurações podem mudar

4:37 de Android para iPhone. Então, sempre que não encontrar exatamente o mesmo caminho, utiliza a busca das configurações e pesquise pelo termo indicado. Você vai achar. Às vezes é uma pequena mudança, nós temos variações de aparelhos aí com Androids, com algumas funções ou outras, então pode mudar. Eu me esforço em colocar na descrição, você me ajuda comentando, a gente enriquece o debate e a gente colabora para que esse vídeo ajude mais e mais pessoas de forma gratuita, que alcance pessoas e que ele seja atemporal. Então, ciente dessas características, vamos paraas configurações que você deve revisar antes de acessar o seu aplicativo bancário. Primeira configuração é aplicativos com acesso à acessibilidade.

5:22 Essa acessibilidade, ela foi criada com uma finalidade nobre, ajudar pessoas com deficiência visual, motora, cognitiva a usar o aparelho. O problema é que essas permissões oferecem um nível elevado de interação com o sistema. Dependendo do acesso concedido, um aplicativo ele pode visualizar informações exibidas na tela, como senhas, identificar botões, acompanhar ações do usuário e até interagir com outros aplicativos. Por isso nós temos diversos trojens bancários que tentam obter essa permissão. Um aplicativo malicioso que vai obter essa permissão de acessibilidade para capturar os seus dados, aqueles aplicativos que a tela fica escura e ali por trás tem alguém manipulando o seu sistema. Onde que você

6:10 verifica isso? no Android. Configurações acessibilidade. Procure pelos serviços ou aplicativos que possuem acesso ativo. Revisa bem isso. Vê se tem algo errado. Qualquer coisa você revoga. No iPhone ajustes, acessibilidade. Só um detalhe, o modo de permissões do iPhone, ele é mais restritivo e não apresenta o mesmo histórico de abuso observado com os códigos maliciosos que pegam pessoas que t Android. Mas vale sim você revisar também acessibilidade de controles instalados. Primeira configuração para você revisar aí quem está com acesso de acessibilidade antes de acessar o seu aplicativo. Segunda configuração para acessar e dependendo do caso, desativar aplicativos com acesso a notificações. Ah, mas como isso

6:57 pode influenciar num ataque, numa invasão à minha conta bancária? Eu explico para vocês, as notificações, elas podem conter códigos de autenticação, confirmações bancárias, mensagens de segurança, códigos e alertas financeiros. Se o aplicativo ele solicita autorização para visualizar notificação e é concedida em determinadas situações, o software malicioso, ele utiliza esse acesso para monitorar informações sensíveis, capturar dados que vão ser usados para acessar a sua conta bancária. Onde que você verifica no Android? Vai lá em configurações e pesquise por acesso a notificações ou notification access. Nas configurações você faz a pesquisa, verifica quais aplicativos possuem autorização.

7:43 Se você vê aplicativos estranhos, caracteres especiais ou que você desconhece, tem dúvida do aplicativo, coloca no buscador, provavelmente alguém já se deparou com esse aplicativo. Remove essa permissão. E se for o caso, desinstala o aplicativo. Onde que você verifica se você tem iPhone? Ajuste, notificações. Revise esses aplicativos que interagem com notificações, porque ele captura dados que são essenciais para acessar sua conta. E verifique se todos são realmente necessários. Terceira medida que você vai adotar e eventualmente desativar antes de acessar sua conta bancária. Aplicativos com acesso a dados de uso. Presta atenção aqui, né? Essa permissão, ela permite que um aplicativo ele saiba quais programas estão sendo utilizados e

8:29 quando foram abertos. Pode parecer algo assim isoladamente que não faz sentido nenhum, mas alguns mawers ou códigos maliciosos dos atacantes, eles utilizam exatamente essa informação para detectar quando você acessa o aplicativo do banco. E aí entra engenharia social, aí entra código malicioso, monitoramento de notificação, monitoramento de tela e assim por diante. Onde que você vê isso? Agora você tem Android. Nas configurações você pesquisa por acesso ao dados de uso ou usage access. Olha todos os aplicativos autorizados e revoga permissões daquilo que desconhece não faz sentido. No iPhone, no iPhone não tem uma permissão equivalente com o mesmo nível de exposição disponível para aplicativos comuns. Então o iPhone é um

9:14 pouco mais seguro. Quarta revisão. Antes de acessar o seu aplicativo bancário e evitar problemas, invasões, desfalque do seu patrimônio, compartilhamento remoto de tela. Quantas pessoas que caem nesse golpe permitem que compartilhem a tela ali de qualquer forma, às vezes até pelo próprio WhatsApp, não é nenhum código malicioso e ali o criminoso, ele consegue todas as informações para invadir sua conta, contratar empréstimos e assim por diante. Uma das ferramentas, sem dúvida alguma, mais utilizadas para golpes modernos e não é vírus nenhum, simplesmente é um acesso remoto. O seu detector de antivírus não vai pegar nada. Esses aplicativos de suporte remoto, eles têm finalidades legítimas, logicamente, mas também são frequentemente utilizados por criminosos

10:01 que se passam por banco, suporte técnico, atualizar seu aplicativo, contestar uma transação da sua conta, dentre outras conversinhas que você já sabe, se segue o canal. Uma vez autorizado, o golpista pode acompanhar tudo que acontece na tela do aparelho. Em muitos casos, a vítima realiza operações bancárias, acreditando está sozinha, quando na verdade existe alguém que tá ali olhando tudo, um screen log ali. O que que você vai procurar no seu celular? NDESK, Team Viewer, Husdesk, Airdroid, dentre outros aplicativos. Significa dizer que estão invadindo. Calma, calma, respira. Pode ser que não, pode ser que alguém precisou acessar remotamente. Agora, se você desconhece, não lembra, não faz sentido algum, nunca permitiu acesso remoto, não tem por

10:48 essas coisas estarem no seu celular. Então, onde que você vai verificar o Android? Configurações, aplicativos, revista lista, revisa a lista de aplicativos. Se você tá no iPhone, ajustes apps. Revise os aplicativos instalados. Identifique ferramentas de suporte remoto que você não utiliza ou não reconhece. Quinta observação importante antes de acessar o aplicativo do seu banco, aplicativos que podem aparecer sobre outros aplicativos. Existe isso? Existe. Essa funcionalidade permite que um aplicativo exiba elementos sobre a tela de outros programas, como por exemplo, um formulário de login. Você vai mandar a senha pro marginal. Embora tenha uso legítimo, também pode ser utilizada para criar falsas telas sobre

11:33 aplicativos bancários. E em ataques específicos, a vítima, ela acredita, tá digitando seus dados eem uma tela legítima quando, na verdade tá entregando informações para um software controlado pelo atacante. Modificação de valores, modificação, você vai fazer uma transferência de um valor, ocorre uma modificação. São algumas eh técnicas que podem ser exploradas. Como que eu verifico se isso aí tá é possível de ocorrer no meu celular? Se for no Android, pesquise em configurações por aparecer sobre outros aplicativos, exibir sobre outros aplicativos ou draw overaller apps. Se você tem uma versão em inglês, revisa cuidadosamente quem possui essa permissão. O iPhone já não tem esse problema. Quem tá com o iPhone aqui, o iOS ele é restritivo, não possui

12:19 mecanismo equivalente com o mesmo comportamento do Android. Então, quem tem Android tem que revisar nas configurações essa função, OK? Item número seis, que você vai observar antes de acessar o seu aplicativo bancário. Aplicativos instalados fora de lojas oficiais, básico, né? Muitos golpes começam com a simples instalação. Recebeu um SMS, foi clicar para ver, instalou um código malicioso, link de WhatsApp, uma falsa atualização, uma Acessa o link aqui que eu vou atualizar o seu sistema bancário. Aí baixou lá um APK. Ao instalar esse aplicativo fora de lojas oficiais, você tá reduzindo parte das verificações de segurança que a própria loja faz, não é? Google Play, a

13:05 loja oficial da Apple e assim por diante. Então, como que você verifica no Android? Pesquisa em configurações por instalar aplicativos desconhecidos, instalar apps desconhecidos. Verifica quais aplicativos possuem autorização para instalar outros aplicativos e revisa a lista de aplicativos, configurações, aplicativos e remove aquilo que você desconhece. No iPhone você pode verificar ali, né, e ajustes geral, VPN, você pode ver, e gerenciamento de dispositivo. E aí você pode revisar perfis corporativos, certificados ou configurações administrativas instaladas. Então, só para esclarecer, o iPhone ele possui um modelo mais restritivo de instalação de aplicativo. É difícil você instalar um

13:50 aplicativo fora da App Store, né? Então, na maioria dos casos, aplicativos são instalados pela App Store. Ainda assim, vale você verificar ajustes geral, VPN, gerenciamento de dispositivo. Para quê? Para identificar perfis corporativos instalados, gerenciamento remoto do dispositivo, certificados adicionados e configurações administrativas que você não reconhece. Sétima configuração para você verificar e eventualmente desabilitar antes do acesso a aplicativos bancários. VPN são muito boas, OK? Você usar uma VPN para te gerar mais privacidade e assim por diante. Mas VPN no contexto de um aplicativo bancário pode gerar problema com a sua conta, porque o banco pode identificar que é uma conexão que foge

14:36 ao perfil, então pode ter bloqueios. Além disso, fique atento a VPNs, perfis e configurações desconhecidas. VPNs não são necessariamente um problema. Em muitos casos, elas representam claramente uma camada de segurança. Agora o alerta vem quando existe uma VPN, um perfil corporativo, certificado ou configuração que você não reconhece. Por quê? Esse tráfego pode estar sendo interceptado. Alguém colocou uma VPN, você desconhece. Alguém instalou um perfil corporativo, um certificado, alguma configuração. Como que você vê isso no Android? Pesquise nas configurações por VPN. Verifique quais conexões estão configuradas. Você desconhece, não foi você que colocou a VPN, tem algo errado. Printa aquilo,

15:22 registra. OK. No iPhone, ajustes geral, VPN, gerenciamento de dispositivo. Verifique se existe alguma configuração que você não reconhece. Oitava orientação para você tomar e eventualmente desativar antes de acessar o seu app bancário. Aplicativos desconhecidos ou esquecidos. Logicamente que com o passar do tempo a gente vai instalando, acumulando dezenas de aplicativos, muitos deles inutilitários. E logicamente que esses aplicativos desconhecidos muitos não são utilizados, porém eles têm permissões. Então, menos é mais. Cada aplicativo adicional representa mais permissões, mais acessos e mais riscos. Às vezes não é nem de criminoso, de bandido, mas tá lá e tem alguma função ativada. faz uma verificação de segurança. Onde que você

16:09 verifica no Android? Simples, né? Configurações aplicativos revista revisa a lista completa, onde você verifica no iPhone ajustes aplicativos, revisa todos os aplicativos instalados. Isso aí periodicamente, tá? Nono orientação, Google Play Protect. Aqui eu tô focado em Android, OK? Muita gente não conhece essa essa funcionalidade. O Play Protect é uma camada adicional de segurança do Google. que analisa aplicativos instalados no aparelho e procura comportamento potencialmente perigoso. No iPhone, como eu disse para vocês, é mais difícil instalar um aplicativo fora da loja oficial. Agora, no Android é fácil, então você precisa ativar o Google Play Protect. Ele não vai substituir antivírus, nem garante

16:55 proteção total, mas representa uma verificação adicional de segurança. Onde que você verifica? Google Play Store, perfil Play Protect. Verifique se a proteção está ativa e se existem alertas pendentes. Repetindo, Google Play Store, né? Você vai tocar na foto da sua conta do Google, que tá lá no canto superior direito, Play Protect, verifica se a a proteção tá ativa e se existem alertas pendentes. No iPhone não tem equivalente direto, porque como a gente já viu, o modelo de distribuição e verificação de aplicativo da Apple Store funciona de maneira diferente. E 10 análise, 10o item a você considerar antes de acessar o seu aplicativo bancário. Atualizações

17:41 pendentes. Grande parte das atualizações não são só novas funções. As atualizações elas corrigem vulnerabilidades de segurança que foram conhecidas, que o banco tomou conhecimento, o banco tem uma equipe de segurança da informação. E esses ataques estouram falhas que já foram corrigidas pelos fabricantes, mas que milhares de aparelhos continuam desprotegidos. Então, antes de acessar, atualiza o seu aplicativo. Mas cuidado, né? Não é no WhatsApp, não é no Google, né? É indo no repositório oficial. dentro do repositório oficial. Toma cuidado, vê se tem verificação, vê se é o aplicativo correto, se é o fornecedor correto, OK? E aí você atualiza. No Android, pesquise nas configurações por atualização de software, atualização do sistema. No

18:26 iPhone, você pode em ajustes geral atualização de software. 11ª orientação, e-mail. Vamos falar de e-mail aqui. Passei várias configurações do celular para você analisar e dependendo do caso, desativar antes de acessar o seu aplicativo. Mas não adianta nada você eh fazer essas configurações se você deixa, por exemplo, o e-mail principal ou um fator de recuperação principal no mesmo celular do aplicativo bancário, né? Por quê? você vai facilitar a vida do fraudador. Então, existe uma pergunta que poucas pessoas fazem e eu queria convidá-los a pensar o que aconteceria se alguém assumisse o controle do meu e-mail principal, não é? Quem acessa o e-mail principal hoje conseguiria resetar quantas contas bancárias que

19:12 você tem? Maioria dos casos, o e-mail é utilizado para recuperação de senhas, validação de acessos, redefinir contas, códigos. Quem controla o e-mail pode recuperar contas. Além de proteger o aplicativo, é fundamental proteger o e-mail principal. de preferência que ele não esteja no mesmo dispositivo ou que o acesso dele seja mediante 100 ou todos os fatores de autenticação, independentemente do provetor utilizado de e-mail, eu não sei se você usa um Hotmail, um Gmail, autenticação dois fatores, métodos de recuperação atualizados, telefone de recuperação correto, e-mail de recuperação válido. Teste isso, alerta de segurança habilitada e atividades suspeitas recentes monitoradas. Em muitos cenários, comprometer o e-mail é mais valioso pro criminoso do que comprometer diretamente o aplicativo.

19:59 Ele vai conseguir resetar de certo modo a sua senha. Se tiver um ou dois fatores, se todos tiverem no dispositivo, ele pode seguir aí uma tentativa de recuperação de senhas. E 10 segunda dica, orientação. Perigo não é só códigos maliciosos ou aplicativos que espionam, monitoram, tem permissões de acessibilidade. Mas é muito importante também destacar que muitas vezes os prejuízos acontecem sem qualquer código malicioso, simplesmente pela engenharia social. Quantas vítimas caem na conversa, na lábia? Criminoso liga paraa vítima, se apresenta como funcionário, afirma que existe uma compra suspeita, solicita instalação de um aplicativo, pede código recebido por SMS, solicita compartilhamento de tela. Lógico que ele não vai falar compartilhamento de tela. Vamos, senhora, acessar uma configuração

20:45 aqui muito simples para que a gente consiga fazer essa operação. Convence a vítima a realizar uma transferência. Nesses casos não teve invasão. De nada adianta, né, o seu dispositivo com todas essas configurações que eu coloquei para você analisar e desativar, né? Ou seja, se falta cautela diante de engenharia social, a arte de enganar pessoas diante de ligações inesperadas, mensagens alarmistas ou pedidos urgentes. Controle-se. Não tome nenhuma medida. Desligue, busque canais oficiais. Agindo assim, a gente reduz muito a superfície de ataque. Conclusões, antes de abrir o aplicativo do banco, vale muito a pena você revisar esses itens que eu trouxe, né, e revisar também as boas práticas de

21:33 segurança. Você vai verificar ali quem tem acesso ao seu aparelho, aos seus dados que podem ser utilizados para acessar sua conta. Como eu disse, a maioria dos golpes modernos, eles não dependem de tecnologia extraordinária. Normalmente exploram configurações do próprio dispositivo, permissões indevidas, aplicativos suspeitos, configurações esquecidas ou a confiança da própria vítima. Segurança digital começa na tecnologia. Tome essas medidas, mas não esqueça do seu comportamento. Às vezes, somente o comportamento equivocado anula todas as medidas de segurança que você tinha para acessar o seu aplicativo bancário. Entenda essa capacidade de desconfiar quando alguém tenta te convencer a abrir uma porta no ambiente digital e nos

22:18 aplicativos. Espero ter sido útil para você. Espero que agregue de alguma forma. É um vídeo atemporal. Reassiste aqui as configurações. Podem haver variações, você pode contribuir nos comentários. Eu vou tentar manter isso atualizado na legenda também, mas faz um favor para mim agora. Se inscreve no canal para conteúdo exclusivo sobre direito digital, proteção de dados, segurança da informação e compartilha na empresa com amigos e quem possa interessar. Eu imagino que todos hoje precisam dessas configurações, porque hoje é innegável que os aplicativos bancários estão nos dispositivos móveis e nem todos têm consciência dessas cautelas que são fundamentais para reduzir o risco de você ser vítima de um golpe digital. Um abraço.