Cobrança indevida na conta do celular: como um app te assina sem perguntar
A conta sobe alguns reais. Aparece um item que você não reconhece, escrito de forma vaga como serviços de terceiros ou assinatura de conteúdo. Você não comprou nada. Essa é uma das formas mais comuns de fraude no celular e uma das menos explicadas, em boa parte porque quem melhor poderia explicar é quem recebe o dinheiro.
Descobrir qual app fez issoA cobrança direta na conta, e por que ela pode ser abusada
As operadoras oferecem um meio de pagamento que lança as compras direto na sua conta, sem cartão e sem cadastro. É a cobrança direta na conta, ou cobrança WAP. A comodidade vem de como você é identificado. Quando o celular está no dado móvel, a rede da operadora já sabe de qual linha veio a solicitação. A página de pagamento não precisa perguntar quem você é: a própria rede informa. Nas implementações mais fluidas isso reduz uma compra a um único toque em um botão de confirmar. Um fluxo que exige um toque e nenhuma verificação de identidade é um fluxo que pode ser concluído por algo que não é um dedo humano.
Como a fraude funciona
O padrão é constante nas famílias que fazem isso, das quais o Joker é a melhor documentada. Um aplicativo, geralmente algo inofensivo como um jogo, um pacote de papéis de parede, um leitor de QR ou um utilitário de bateria, abre a página de assinatura da operadora dentro de um WebView oculto, uma janela de navegador sem interface visível. Depois dispara a confirmação de forma programática. Se a operadora envia um SMS para confirmar a assinatura, o app lê e suprime essa mensagem usando acesso a SMS ou a notificações, de modo que você nunca a vê. Do seu lado não acontece nada. Nenhuma página abre, nenhuma caixa de diálogo aparece, nenhuma mensagem chega. A assinatura está ativa e se renova. Os valores são escolhidos de propósito: pequenos o suficiente para que quase ninguém investigue uma conta que subiu dez reais, e recorrentes, de modo que o total acumula por meses.
A pista do dado móvel
Aqui vai um detalhe realmente útil e quase nunca mencionado. Como a identificação do assinante vem da rede da operadora, esse ataque não funciona no wi-fi. Não há linha de operadora para identificar. Então a atividade fraudulenta acontece somente quando o aparelho está no dado móvel. Se suas cobranças aparecem agrupadas em períodos que coincidem com momentos em que você estava longe do wi-fi, isso é compatível com esse ataque e não com um cartão comprometido nem com uma compra na loja de aplicativos.
Como ler a própria conta
Peça à operadora o detalhamento das assinaturas de terceiros ativas, não apenas o total resumido. A linha do resumo costuma ser genérica. O detalhamento nomeia o prestador do serviço e a data de ativação, e essa data de ativação é a informação mais útil que você consegue obter: ela diz o que você instalou naquela semana.
Por que isso é totalmente visível na rede
Isso importa, e é diferente de todas as outras ameaças que cobrimos. No roubo de credenciais, o roubo acontece no aparelho, localmente, e a análise de rede observa o que vem depois: o canal de controle e a exfiltração. Nossa cobertura ali é real, mas parcial, e nós dizemos isso. A fraude na cobrança não é assim. O ato fraudulento é uma transação de rede. As requisições HTTP ao portal de cobrança da operadora não são um efeito colateral da fraude, elas são a fraude. Não existe uma fase puramente local que possa escapar. O que os motores procuram inclui requisições a agregadores de assinatura e a endpoints de cobrança de operadoras feitas por um aplicativo sem nenhuma razão legítima para contatá-los; a assinatura de um WebView carregando um fluxo de pagamento sem interação de usuário correspondente; chamadas a endpoints de rastreamento de afiliação por ação, que é como os operadores dessas campanhas são pagos e que aparecem no tráfego junto às requisições de cobrança; e atividade que ocorre exclusivamente no dado móvel e para no wi-fi. A atribuição por UID de fluxo no Android é o que torna isso acionável em vez de apenas suspeito: o relatório pode indicar qual pacote instalado era dono da conexão com o endpoint de cobrança. Essa é a diferença entre saber que seu celular fez isso e saber qual aplicativo fez.
O que fazer
Bloqueie totalmente a cobrança direta na conta. A maioria das operadoras consegue bloquear esse meio de pagamento na sua linha, a pedido e sem custo. A opção existe em quase todos os mercados, embora o nome varie. É o passo mais eficaz, e se você não pretende comprar nada lançado na conta do celular, não há contrapartida. Solicite o estorno e o cancelamento por escrito, citando o detalhamento das assinaturas e as datas de ativação. Guarde a evidência técnica. Se a operadora ou o prestador contestarem que a assinatura nunca foi autorizada, um relatório que nomeia o aplicativo, o endpoint de cobrança contatado e as marcações de tempo é o que sustenta sua reclamação. Diferente de uma disputa bancária, aqui é uma reclamação junto à operadora e não uma disputa de pagamento regulada, o que normalmente torna a resolução mais rápida. O relatório é elaborado para sustentar análise pericial; se houver processo formal, a admissibilidade é decidida pelo juízo. Depois desinstale o aplicativo, quando souber qual é. Não antes: desinstalar primeiro deixa você com a cobrança e sem explicação.