Blog

Um comprovante de Pix que não abre. Um “atualizador” do aplicativo do banco. Uma versão “premium” gratuita do seu programa favorito. Um pendrive esquecido no estacionamento com a etiqueta “salários”. Por trás de cada uma dessas iscas pode estar um malware, o programa malicioso que, uma vez instalado, trabalha em silêncio para o criminoso: lê suas mensagens, captura suas senhas, movimenta sua conta, sequestra seus arquivos ou usa o seu aparelho para atacar outras pessoas.

Este é o guia geral do site sobre malware. Aqui você vai entender, em linguagem simples, os principais tipos de programas maliciosos, as portas por onde eles entram, que crimes são praticados durante e depois da infecção, como a polícia investiga e, principalmente, como se proteger e o que fazer se o seu aparelho for infectado.

1. Resumo

Malware é qualquer programa criado para causar dano ou obter vantagem ilícita à custa de quem o executa. Ele chega disfarçado (anexo, link, aplicativo, atualização falsa, pendrive), aproveita uma brecha técnica ou um descuido humano e, instalado, executa a missão para a qual foi feito: espionar, roubar, sequestrar, destruir ou recrutar o aparelho para uma rede criminosa. Quase todo golpe digital sofisticado tem um malware em alguma etapa.

2. Conceito e objetivos

A palavra vem do inglês malicious software (programa malicioso). “Vírus” virou sinônimo popular, mas tecnicamente o vírus é apenas uma das espécies de um gênero muito maior. O que une todas elas é a finalidade ilícita e a falta de consentimento informado de quem tem o aparelho infectado.

Os objetivos dos criminosos:

• Dinheiro direto: transferências, Pix, compras e saques a partir do aparelho ou das senhas da vítima.
• Dados: senhas, cookies de sessão, documentos, fotos, contatos e conversas, vendidos em mercados clandestinos.
• Extorsão: sequestro de arquivos (ransomware) ou ameaça de divulgar o que foi copiado.
• Controle: vigiar uma pessoa, uma empresa ou um órgão público.
• Recrutamento: transformar o aparelho em soldado de uma botnet para ataques DDoS, envio de spam ou fraudes.
• Porta de entrada: instalar outros programas maliciosos mais tarde, inclusive em redes corporativas.

3. Os tipos de malware: o “zoológico” explicado

4. Os números: o Brasil na rota dos programas maliciosos

• Segundo a telemetria da ESET, os trojans bancários são o tipo de ameaça mais frequente no Brasil, conforme reportagem do ComputerWeekly.
• A Kaspersky apontou o Brasil como o país da América Latina com mais ataques de trojans bancários por dia, concentrando cerca de metade das infecções da região, segundo o Canaltech.
• Em seu panorama do 1º semestre de 2026, a ESET registrou o phishing liderando as detecções no país e famílias de infostealers especializadas em roubar credenciais, cookies de sessão e carteiras de criptoativos entre as ameaças ativas.
• A ESET também destacou o Brasil como foco de fraudes com malware móvel que se aproveita da tecnologia NFC (pagamento por aproximação), com programas que se passam pelos grandes bancos do país.

Há ainda um dado que poucos conhecem: o Brasil não é só vítima. Pesquisadores identificam há anos famílias de trojans bancários desenvolvidas por grupos brasileiros e exportadas para a América Latina e a Europa, como veremos no caso Grandoreiro.

5. As vulnerabilidades: por onde o malware entra

• Anexos e links: o falso comprovante de Pix, a nota fiscal, o boleto, a intimação, o currículo.
• Aplicativos fora das lojas oficiais e “versões premium” gratuitas, como o falso WhatsApp Gold.
• Programas, jogos e filmes piratas, que frequentemente trazem o malware embutido.
• Falsos alertas e falsos suportes: o pop-up “Seu celular está com vírus!” e o atendente que pede para instalar um programa de acesso remoto.
• Erros e telas falsas que pedem para “colar um comando” para resolver um problema inexistente, técnica que pesquisadores chamam de ClickFix.
• Sistemas e programas desatualizados, com falhas conhecidas que permitem infecção sem clique, como fez o WannaCry. E há ainda as falhas desconhecidas até pelo fabricante, os ataques zero-day.
• Anúncios maliciosos em buscadores e redes sociais, levando a sites de download falsos.
• Pendrives e dispositivos de origem desconhecida.
• Acesso físico ao aparelho por alguém próximo, que instala um stalkerware em minutos.
• Permissões excessivas concedidas a aplicativos, especialmente as de acessibilidade e administrador do dispositivo no Android.

6. Meios e modos de ataque: o ciclo da infecção

1. Isca: mensagem, anúncio, aplicativo ou arquivo pensado para parecer legítimo e urgente.
2. Instalação: a vítima executa o arquivo, concede permissões ou o malware se aproveita de uma falha.
3. Permanência: o programa se esconde, desativa proteções e garante que volte a funcionar mesmo após reinícios.
4. Contato com o comando: o aparelho “liga para casa” e recebe ordens de um servidor controlado pelo criminoso.
5. Missão: espionar, coletar senhas, sobrepor telas falsas no aplicativo do banco, criptografar arquivos, baixar outros malwares.
6. Monetização: desvio de dinheiro, venda dos dados, extorsão, aluguel do acesso a outros grupos.

Muitos desses programas são vendidos ou alugados a outros criminosos no modelo malware como serviço: um grupo desenvolve, mantém e dá “suporte”; outros pagam assinatura e espalham a praga. É o mesmo modelo de negócio que explicamos no post sobre a fraude no Internet Banking.

7. Gatilhos psicológicos explorados

• Curiosidade: “veja as fotos”, “segue o comprovante”, “lista de demitidos”.
• Medo: “seu celular está infectado”, “você foi intimado”, “sua conta será bloqueada”.
• Ganância e economia: programa pago de graça, versão premium, cupom imperdível.
• Autoridade e rotina: e-mail do “banco”, do “tribunal”, do “RH”, do “fornecedor”.
• Afeto e ciúme (do lado de quem instala stalkerware): a ilusão de que vigiar é cuidar.

8. Crimes praticados e capitulação penal

O malware é o instrumento. O enquadramento depende de quem age (quem cria, quem vende, quem espalha, quem usa) e do que o programa faz:

Observações práticas, úteis também para quem estuda para concursos:

• Furto ou estelionato? Se o malware tira o dinheiro da conta sem a vítima perceber (o criminoso opera o aparelho), há furto mediante fraude eletrônica (art. 155, § 4º-B). Se o programa engana a vítima para que ela mesma faça o pagamento, há fraude eletrônica (art. 171, § 2º-A). A distinção, cobrada com frequência, está na entrega voluntária do bem.
• Quem só cria e vende o malware também responde. O § 1º do art. 154-A pune autonomamente quem produz, oferece, distribui, vende ou difunde o programa com o intuito de permitir a invasão, ainda que não ataque ninguém diretamente.
• Stalkerware não é “cuidado”: é crime. Instalar programa espião no celular do parceiro ou do ex-parceiro pode configurar invasão de dispositivo (art. 154-A), perseguição (art. 147-A) e, contra a mulher, violência psicológica (art. 147-B), além de autorizar medidas protetivas de urgência da Lei Maria da Penha (Lei 11.340/2006).
• Ação penal. A invasão (art. 154-A) depende de representação, salvo contra a administração pública ou concessionárias (art. 154-B). Furto, extorsão e interceptação ilegal são de ação pública incondicionada; na fraude eletrônica, observe as regras do art. 171, § 5º.
• Pesquisa de segurança não é crime. Analisar malware e testar sistemas com autorização, para proteger, é atividade lícita e essencial; o tipo exige a ausência de autorização e a finalidade ilícita.

9. O efeito cascata: os crimes que vêm depois

A infecção é o começo. O que o malware coletou continua alimentando crimes por meses:

1. Tomada de contas sem senha: com os cookies de sessão roubados por infostealers, o criminoso entra em e-mails e redes sociais como se já estivesse logado, contornando até a verificação em duas etapas.
2. Golpes contra os contatos da vítima e uso da conta dela para espalhar o próprio malware.
3. Venda de senhas em mercados clandestinos, que abastecem o credential stuffing.
4. Empréstimos, contas e compras em nome da vítima com os documentos copiados.
5. Sextorsão e exposição íntima com fotos e vídeos acessados.
6. Invasão de empresas: a senha do trabalho capturada no computador de casa vira a porta para o ransomware na rede corporativa.
7. Perseguição e violência doméstica potencializadas pelo stalkerware: localização, rotina e contatos da vítima nas mãos do agressor.

Os crimes de amanhã. Quatro tendências merecem atenção: (1) malwares escritos e modificados com ajuda de inteligência artificial, que mudam de forma para escapar dos antivírus; (2) falsos aplicativos de inteligência artificial e “assistentes” usados como isca; (3) malware móvel que explora pagamentos por aproximação, carteiras digitais e o Pix; e (4) a casa e o carro conectados, em que câmeras, fechaduras e centrais multimídia passam a ser alvos de espionagem e controle, como mostramos no caso do robô aspirador.

10. Casos reais

Operação Grandoreiro: o trojan bancário brasileiro de exportação (2024)

Em 30 de janeiro de 2024, a Polícia Federal deflagrou a Operação Grandoreiro contra um grupo brasileiro suspeito de desenvolver e operar um trojan bancário, ativo desde pelo menos 2017, que atacava principalmente clientes de bancos em países de língua espanhola. A investigação começou com informações do banco espanhol CaixaBank e contou com a Interpol, a Polícia Nacional da Espanha e empresas de segurança. Foram cumpridos 5 mandados de prisão temporária e 13 de busca e apreensão em vários estados. Segundo a PF, o grupo movimentou cerca de 3,6 milhões de euros desde 2019, e o CaixaBank identificou tentativas de fraude que chegariam a 110 milhões de euros. Meses depois, pesquisadores relataram novas versões do Grandoreiro em atividade, sinal de que o modelo de malware como serviço sobrevive à prisão de parte dos operadores.

WannaCry: o worm que parou hospitais (2017)

Em 12 de maio de 2017, o WannaCry, um ransomware com capacidade de worm, espalhou-se sozinho por computadores Windows sem atualização e infectou mais de 200 mil máquinas em cerca de 150 países em poucos dias, incluindo o Brasil. O caso mais grave foi o do serviço público de saúde britânico (NHS), com hospitais e clínicas afetados e cerca de 19 mil atendimentos cancelados. A propagação foi freada quando um pesquisador ativou, quase por acaso, um mecanismo de desligamento embutido no código. Os governos dos EUA e do Reino Unido atribuíram o ataque a hackers ligados à Coreia do Norte. A lição permanece: a correção para a falha explorada já existia; faltou instalá-la.

Operação Endgame: a polícia contra os “entregadores” de malware (2024–2026)

Desde 2024, a Europol e a Eurojust coordenam a Operação Endgame, a maior ação internacional contra os programas de acesso inicial, aqueles que entram primeiro e depois entregam ransomware e outros malwares. Em junho de 2026, uma nova fase atingiu as redes SocGholish, Amadey e StealC: segundo a Europol e parceiros, foram derrubados 326 servidores e congelados mais de 41 milhões de euros em criptoativos; a Microsoft informou que Amadey e StealC estavam ligados a mais de 140 mil computadores infectados só nas duas primeiras semanas de maio de 2026. Fases anteriores já haviam desmontado outras famílias de malware e levado a prisões. A estratégia é atacar a cadeia de suprimentos do crime.

11. Casos ilustrativos (fictícios)

Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas, empresas ou fatos reais é coincidência.

Caso 1 – O comprovante da padaria. O dono de uma padaria recebe pelo WhatsApp um “comprovante de Pix” de um suposto fornecedor e abre o arquivo no computador do caixa. À noite, o trojan bancário sobrepõe uma tela falsa ao acessar o banco e captura o código de segurança; R$ 48 mil saem da conta da empresa em transferências para laranjas. Enquadramento possível: art. 154-A, §§ 2º e 3º; furto mediante fraude eletrônica (art. 155, § 4º-B); organização criminosa e lavagem de dinheiro.

Caso 2 – O celular “desbloqueado” pelo ex. Depois da separação, uma mulher percebe que o ex-companheiro sabe onde ela está e o que conversa com as amigas. A perícia encontra um aplicativo espião instalado no celular dela quando ainda moravam juntos. Enquadramento possível: art. 154-A, § 3º; perseguição (art. 147-A, com aumento do § 1º, II); violência psicológica contra a mulher (art. 147-B); medidas protetivas de urgência da Lei Maria da Penha.

Caso 3 – O pendrive no estacionamento da prefeitura. Um servidor encontra um pendrive com a etiqueta “Folha – reajustes” e o conecta ao computador do setor. Um worm se espalha pela rede e, dias depois, os sistemas de protocolo são criptografados. Enquadramento possível: art. 154-A (ação penal pública incondicionada, por atingir a administração pública); art. 266, § 1º; extorsão, se houver pedido de resgate.

Caso 4 – O cenário de amanhã. Um aplicativo de “assistente de inteligência artificial gratuito” sobe ao topo dos anúncios. Quem instala ganha um assistente que funciona de verdade e também um infostealer que muda de código a cada download, envia senhas e cookies a cada hora e usa a própria IA para redigir mensagens convincentes aos contatos da vítima, espalhando o aplicativo. A defesa continua a mesma: instalar apenas pelas lojas oficiais, desconfiar de gratuidade milagrosa e proteger as contas com chaves de acesso.

12. Sinais de alerta (checklist)

• Aparelho lento, esquentando ou com bateria acabando rápido sem motivo.
• Aplicativos que você não instalou, ou ícones que somem depois da instalação.
• Pedidos de permissão de acessibilidade ou de administrador do dispositivo.
• Antivírus ou proteção do sistema (como o Play Protect) desativados sozinhos.
• Tela piscando, escurecendo ou “travando” enquanto você usa o banco; pedido de código de segurança mais de uma vez.
• Mensagens enviadas pela sua conta sem você saber; alertas de login em outros lugares.
• Consumo de dados alto e anúncios aparecendo fora dos aplicativos.
• Alguém próximo sabendo detalhes das suas conversas e da sua localização que você não contou.

13. Prevenção

Para você e sua família

• Instale aplicativos só pelas lojas oficiais e mantenha bloqueada a instalação de “fontes desconhecidas”.
• Atualize sistema, aplicativos e navegador; ative as atualizações automáticas.
• Desconfie de arquivos inesperados, mesmo de conhecidos. Comprovante de Pix se confere no aplicativo do banco, não em arquivo.
• Nunca conceda permissão de acessibilidade a aplicativos que não sejam de acessibilidade de verdade.
• Nunca cole comandos que uma página ou mensagem mandar você executar para “corrigir um erro”.
• Use antivírus de empresa reconhecida e mantenha ativas as proteções nativas do sistema.
• Evite pirataria de programas, jogos, filmes e TV boxes.
• Bloqueie o celular com senha forte e não a compartilhe, nem com o parceiro: é a principal barreira contra o stalkerware.
• Não salve senhas importantes no navegador sem proteção; use um gerenciador de senhas e ative a verificação em duas etapas, de preferência com chaves de acesso.
• Faça backup de fotos e documentos com uma cópia desconectada.
• Nunca conecte pendrives de origem desconhecida.

Para empresas e órgãos públicos

• Gestão de atualizações com prazo, prioridade para sistemas expostos à internet e substituição de sistemas sem suporte.
• Proteção de estações e servidores com ferramentas de detecção e resposta, e bloqueio de execução de programas não autorizados.
• Filtro de anexos e links no e-mail corporativo.
• Usuários sem privilégios de administrador no dia a dia.
• Bloqueio de mídias removíveis onde não forem necessárias.
• Treinamento contínuo e canal fácil para reportar arquivos suspeitos.
• Segmentação da rede e backups isolados, para que uma infecção não derrube tudo.
• Plano de resposta a incidentes com contatos da polícia, do CERT.br e da ANPD.

A Cartilha de Segurança para Internet, do CERT.br, tem fascículos gratuitos sobre códigos maliciosos, backup e dispositivos móveis.

14. Já fui vítima: o que fazer

1. Isole o aparelho: desligue o Wi-Fi e os dados móveis (modo avião).
2. Se houve risco financeiro, ligue de outro telefone para o banco, pelo número oficial, peça o bloqueio de contas e cartões e, se houve Pix, solicite o MED (Mecanismo Especial de Devolução).
3. Troque as senhas a partir de outro aparelho limpo, começando pelo e-mail, encerre todas as sessões abertas e ative a verificação em duas etapas.
4. Preserve as provas antes de limpar: prints da mensagem ou do link que trouxe o arquivo, nome do aplicativo, data e hora, extratos e comprovantes. Se possível, guarde o próprio arquivo malicioso sem abri-lo de novo, para a perícia.
5. Remova o malware: revogue permissões de acessibilidade e de administrador, desinstale o aplicativo suspeito e rode a verificação do antivírus. Na dúvida, procure assistência técnica de confiança; em último caso, faça backup dos dados pessoais e restaure o aparelho às configurações de fábrica.
6. Registre boletim de ocorrência, presencialmente ou pela delegacia virtual do seu estado, e declare que deseja representar contra o autor.
7. Se suspeitar de stalkerware instalado por alguém próximo, procure primeiro a delegacia ou a rede de atendimento à mulher, antes de remover o aplicativo: a remoção pode alertar o agressor e apagar provas. Em situação de violência, ligue 180 (Central de Atendimento à Mulher) ou 190 em emergência.
8. Consulte o Registrato para checar contas e empréstimos em seu nome e, se o banco não resolver, registre reclamação no consumidor.gov.br.
9. Empresas devem acionar a resposta a incidentes, avaliar a comunicação à ANPD e aos titulares (art. 48 da LGPD) e notificar o CERT.br.

Ser infectado não é sinal de ignorância: os programas maliciosos são feitos por profissionais para enganar pessoas atentas. O que faz diferença é agir rápido e preservar as provas.

15. Públicos mais vulneráveis e cuidados específicos

• Idosos: alvos de falsos suportes e falsos alertas. Configure o celular deles com instalação só pela loja oficial e combine: “apareceu aviso estranho, desliga e me liga”.
• Adolescentes: jogos piratas, “mods” e trapaças para jogos são iscas clássicas de infostealers.
• Mulheres em relacionamentos abusivos: principais vítimas do stalkerware.
• Pequenos comerciantes e profissionais liberais: recebem comprovantes, notas e boletos o dia todo, e usam o mesmo computador para tudo.
• Servidores públicos e funcionários de empresas: a porta de entrada preferida para atingir a instituição.

16. Repressão: como a polícia investiga

• Perícia no aparelho e no arquivo: a análise do malware revela os servidores de comando, as contas de destino e, às vezes, assinaturas que ligam o programa a um grupo, como no caso Grandoreiro. A cadeia de custódia (arts. 158-A a 158-F do CPP) deve ser respeitada desde a coleta.
• Cooperação com bancos e empresas de segurança: forças-tarefas entre polícia e instituições financeiras identificam padrões de fraude e contas de destino.
• Rastreamento do dinheiro: contas de laranjas, Pix em cadeia, criptoativos e corretoras, com medidas de bloqueio e sequestro de bens.
• Registros de conexão e de aplicação: o Marco Civil da Internet (Lei 12.965/2014) obriga a guarda por 1 ano (art. 13) e por 6 meses (art. 15), acessíveis por ordem judicial (art. 22).
• Técnicas especiais: interceptação telemática (Lei 9.296/1996) e infiltração virtual de agentes (Lei 12.850/2013) contra grupos organizados.
• Derrubada de infraestrutura e cooperação internacional: como mostram as operações Grandoreiro e Endgame, servidores e autores costumam estar em vários países; a Convenção de Budapeste, promulgada pelo Decreto 11.491/2023, a Interpol e a Europol são decisivas.

17. Guia de leitura: o ecossistema do malware no site

• O malware que sequestra: Ransomware: o sequestro de dados que paralisa empresas, hospitais e tribunais.
• O malware que chega como arquivo: “Segue o comprovante”: o arquivo disfarçado que instala um espião no seu celular e no seu computador.
• O malware que controla à distância: Golpe da Mão Fantasma: como o acesso remoto esvazia sua conta em segundos.
• O malware que chega pelo susto: “Seu celular está com vírus!”: o falso alerta que transforma o susto em golpe.
• O malware que espiona: Fita na câmera do celular: paranoia ou proteção?
• O malware que recruta zumbis: Ataque DDoS: quando milhares de aparelhos sequestrados derrubam um site.

Fontes

• Trojans bancários são o tipo de ameaça que mais afeta o Brasil – ComputerWeekly Brasil (dados ESET).
• Brasil é o principal alvo de malwares bancários na América Latina – Canaltech (dados Kaspersky).
• Cenário no Brasil: o que mudou no primeiro semestre de 2026 – WeLiveSecurity/ESET, 2026.
• Panorama dos infostealers: mudanças globais e casos de destaque no Brasil e no México – WeLiveSecurity/ESET.
• PF faz operação contra grupo que aplica golpes bancários no exterior – Poder360, 30/01/2024.
• PF combate grupo que praticava fraudes bancárias eletrônicas contra vítimas no exterior – Tribuna do Planalto, janeiro de 2024.
• Police disrupt Grandoreiro banking malware operation, make arrests – BleepingComputer, janeiro de 2024.
• Grandoreiro malware revives following police action – TechRadar, 2024.
• NHS ransomware attack spreads worldwide – CMAJ, 05/06/2017.
• UK Government links the WannaCry attack that crippled NHS to North Korea – Security Affairs, 27/10/2017.
• Operation Endgame continues: international coalition takes malware offline – Eurojust, 24/06/2026.
• Amadey, StealC malware operations disrupted in Operation Endgame action – BleepingComputer, junho de 2026.
• Cartilha de Segurança para Internet – CERT.br/NIC.br.
• Código Penal, Lei 14.155/2021 e Lei 9.296/1996 – Planalto.
• Lei Maria da Penha (Lei 11.340/2006) e Marco Civil da Internet (Lei 12.965/2014) – Planalto.

Leia também

• Ataque Zero-Day: a falha que nem o fabricante conhece
• Ransomware: o sequestro de dados que paralisa empresas, hospitais e tribunais
• “Segue o comprovante”: o arquivo disfarçado que instala um espião no seu celular e no seu computador
• Golpe da Mão Fantasma: como o acesso remoto esvazia sua conta em segundos
• Man-in-the-Middle: o criminoso invisível no Wi-Fi público
• WhatsApp Gold: por que essa “versão premium” é sempre golpe
• Credential Stuffing: a senha que vazou em um site abre as suas outras contas
• MD5 e SHA-1 quebrados: o caso SHAttered, o malware Flame e o risco real de colisão de hash na perícia digital

Chamada para Mentoria

Furto mediante fraude eletrônica ou fraude eletrônica? Invasão de dispositivo ou interceptação ilegal? Perseguição, violência psicológica ou ambos? O malware reúne num só caso algumas das distinções mais cobradas nas provas objetivas, discursivas e orais para Delegado de Polícia, além de temas de prova digital e cadeia de custódia.

Se você quer se preparar com quem vive a investigação desses crimes na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.