A entrevista pedia uma app: o falso Indeed que toma conta do seu Android

Uma campanha de fraude documentada por investigadores da Malwarebytes está a usar falsas ofertas de emprego publicadas no Indeed para convencer candidatos a instalar uma aplicação Android que se faz passar pela plataforma de recrutamento e que se apresenta como ferramenta de entrevista. Segundo a análise, os criminosos anunciam vagas falsas no Indeed e levam os candidatos a instalar uma aplicação Android falsa que imita o Indeed e se apresenta como ferramenta de entrevista, sendo o payload final observado um spyware — quando a expectativa inicial dos investigadores era encontrar um trojan bancário. O caso é relevante para quem procura emprego em Portugal, num contexto em que os falsos recrutamentos já são uma das técnicas de engenharia social mais registadas pelo CERT.PT.

Como funciona o engodo, passo a passo

O esquema começa dentro de um fluxo aparentemente normal de candidatura. Depois de confirmarem a candidatura, os candidatos recebem instruções de uma suposta “empresa de recrutamento” para descarregar e instalar a aplicação, ligar-se a uma VPN, criar uma conta e introduzir um código de convite, sendo depois aconselhados a manter a aplicação aberta enquanto esperam pela confirmação. Cada um destes passos serve um objetivo do atacante: a instalação fora da loja oficial evita as verificações da Google Play, a VPN encaminha o tráfego por infraestrutura controlada pelos criminosos, o código de convite filtra vítimas e analistas, e manter a aplicação aberta garante tempo para descarregar componentes adicionais.

Na prática, a suposta aplicação de entrevista é apenas o isco: imita o Indeed, estabelece uma ligação de rede suspeita e é concebida para entregar malware adicional. Os relatos recolhidos não se limitam a um país. Um utilizador no Reino Unido descreveu num fórum ter sido instruído por um suposto empregador no Indeed a instalar uma “Interview App”; um utilizador no Brasil enviou um relato anonimizado após receber instruções semelhantes para instalar um APK chamado MyInterview a partir de um link partilhado durante a entrevista; e em fóruns Reddit discutia-se uma aplicação apresentada como “Indeed Interview”.

O verdadeiro problema chama-se Acessibilidade

O ponto crítico desta campanha não é o nome da aplicação, mas a permissão que ela procura. Assim que o malware recebe a permissão de Acessibilidade, assume efetivamente o controlo do dispositivo, porque os serviços de acessibilidade podem ler o conteúdo do ecrã e executar ações em nome do utilizador — algo que os torna particularmente atrativos para autores de malware. A funcionalidade mais notada pelos investigadores é a resistência à remoção: quando o utilizador toca em “Desinstalar” nas definições do Android, o malware força o regresso do ecrã anterior, impedindo a operação.

Importa contextualizar com rigor o que foi efetivamente observado. Na captura de ecrã fornecida aos investigadores, o serviço MyInterview aparecia desativado, pelo que não há evidência de que estivesse ativo naquele dispositivo — ainda assim, a sua presença como serviço de acessibilidade descarregado é relevante para a avaliação de risco.

O Android tem defesas nativas para este cenário, mas elas dependem da forma como o APK é instalado. Desde o Android 13, o mecanismo de “restricted settings” impede que aplicações instaladas por sideload — via browser, app de mensagens ou ficheiro — ativem a Acessibilidade, apresentando o interruptor inativo e uma mensagem indicando que a definição está indisponível por motivos de segurança, com o Android 14 e 15 a reforçarem a regra. A restrição está associada a uma permissão introduzida no Android 13, a ACCESS_RESTRICTED_SETTINGS, e não se aplica quando a aplicação é instalada por um instalador que use a API de instalação baseada em sessões — margem que os atacantes exploram, muitas vezes convencendo a própria vítima a ultrapassar manualmente o aviso.

Indicadores conhecidos e sinais de alerta

Não existem, por agora, listas públicas de hashes ou domínios associados a esta campanha, pelo que os indicadores úteis são sobretudo comportamentais e de nomenclatura.

Do lado da plataforma, a orientação é inequívoca. O Indeed afirmou ter conhecimento de esquemas em que se instrui candidatos a descarregar uma aplicação para completar uma entrevista virtual e sublinhou que “estes não estão de forma alguma associados ao Indeed”. A empresa lembra ainda que nunca contacta candidatos para oferecer emprego por chamadas telefónicas, mensagens de texto ou aplicações como o WhatsApp ou o Telegram, e que mensagens desse tipo são fraudulentas.

O que fazer se já instalou a aplicação

• Coloque o telemóvel em modo de avião para cortar a comunicação com o servidor de comando e controlo.
• Abra Definições > Acessibilidade e desative qualquer serviço descarregado que não reconheça; se necessário, arranque o dispositivo em modo de segurança para conseguir desinstalar a aplicação.
• Revogue privilégios de administrador de dispositivo, remova perfis VPN criados no processo e desative a autorização de “instalar apps desconhecidas” no browser ou gestor de ficheiros utilizado.
• A partir de outro equipamento de confiança, altere as palavras-passe das contas críticas (banco, e-mail, plataformas de emprego) e reveja sessões ativas e métodos de autenticação multifator.
• Contacte o banco se houver suspeita de acesso a aplicações financeiras e reporte o incidente à plataforma de recrutamento e às autoridades competentes.
• Em caso de dúvida sobre a limpeza do dispositivo, uma reposição de fábrica com reinstalação apenas a partir de fontes oficiais é a opção mais segura.

A recomendação dos investigadores é simples: conhecer o processo de contratação de qualquer plataforma de recrutamento, desconfiar de pedidos que se desviem dele ou que empurrem o candidato para outra plataforma, e não instalar aplicações só porque alguém o pede — sobretudo fora da Google Play.

O recrutamento tornou-se um vetor de ataque

Esta campanha não é um caso isolado, mas parte de uma tendência consolidada em 2026. Em maio, investigadores da Dr.Web descreveram uma operação em que um trojan batizado JobStealer se disfarçava de aplicação de videoconferência para roubar carteiras de criptomoeda, credenciais de browser e ficheiros sensíveis em Windows e macOS, com os atacantes a posarem de recrutadores e a convidarem vítimas para entrevistas em plataformas que imitavam serviços legítimos como o Cisco Webex. Do lado corporativo, a Microsoft documentou a campanha Contagious Interview, ativa desde pelo menos dezembro de 2022, que continua a ser detetada em ambientes de clientes e visa desenvolvedores de software abusando da confiança inerente aos processos de recrutamento.

A escala é significativa: uma análise da Trend Micro em março de 2026 identificou mais de 750 repositórios infetados, mais de 500 configurações maliciosas de tarefas do VS Code e 101 instâncias de uma ferramenta de manipulação de commits, enquanto a Elastic Security Labs descreveu uma variante que esconde malware em ficheiros SVG por esteganografia, com repositórios trojanizados que exfiltram ficheiros e credenciais e configuram um backdoor. O denominador comum é sempre o mesmo: a entrevista de emprego como pretexto para executar código ou instalar software.

Porque é que isto importa em Portugal

O falso recrutamento não é uma ameaça abstrata para o ciberespaço nacional. Segundo dados do Observatório de Cibersegurança do CNCS relativos à engenharia social, as técnicas relacionadas com falsos recrutamentos foram observadas em 108 incidentes, correspondendo a 11,64% do total. O risco de aplicações instaladas fora das lojas oficiais também já mereceu atenção do CERT.PT noutros contextos: no alerta sobre a botnet BadBox 2.0, o organismo notou que o malware pode ser disseminado através de aplicações maliciosas descarregadas por meios não oficiais e estimou a existência de mais de 80 000 dispositivos comprometidos no ciberespaço nacional.

Para as organizações, o problema extravasa o telemóvel pessoal. Um dispositivo com spyware que lê o ecrã e captura credenciais pode ser a porta de entrada para contas corporativas, correio eletrónico e aplicações de acesso remoto — especialmente em cenários BYOD. Se dessa infeção resultar acesso indevido a dados pessoais de trabalhadores ou clientes, há obrigações de notificação decorrentes do RGPD, com possível comunicação à CNPD e aos titulares afetados. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança, que transpõe a diretiva NIS2 (Decreto-Lei n.º 125/2025), a gestão de riscos associados a dispositivos móveis, formação de sensibilização e o reporte de incidentes ao CNCS deixaram de ser boas práticas opcionais para passarem a integrar deveres formais.

Há também uma dimensão humana que as equipas de segurança não devem ignorar: quem está desempregado ou à procura de melhores condições opera sob pressão emocional e financeira, o que reduz a resistência a pedidos invulgares. Nas PME, onde muitas vezes não existe MDM nem separação entre equipamento pessoal e profissional, uma regra simples e comunicada de forma clara — nenhum processo de recrutamento exige instalar APK, VPN ou “app de entrevista” — vale mais do que qualquer tecnologia adicional.

Perguntas frequentes

O Indeed pede para instalar uma aplicação para fazer entrevistas?

Não. A empresa afirmou estar a par de esquemas em que candidatos são instruídos a descarregar uma aplicação para completar uma entrevista virtual e esclareceu que essas aplicações não têm qualquer ligação ao Indeed. Recorda ainda que nunca contacta candidatos para oferecer emprego por telefone, SMS ou apps como WhatsApp e Telegram.

Que tipo de malware é entregue nesta campanha?

De acordo com a Malwarebytes, no momento da análise o payload final era spyware, apesar de a expectativa inicial ser um trojan bancário. A aplicação de “entrevista” funciona como isco: imita o Indeed, cria uma ligação de rede suspeita e serve para entregar malware adicional.

Porque é que não conseguia desinstalar a aplicação?

Porque a permissão de Acessibilidade permite ao malware agir em nome do utilizador. Quando a vítima toca em “Desinstalar” nas definições, o malware força o regresso do ecrã anterior e impede a remoção. Nestes casos, o modo de segurança do Android ou uma reposição de fábrica são as vias mais eficazes.

O Android não bloqueia este tipo de abuso?

Parcialmente. Desde o Android 13 existem “restricted settings” que impedem aplicações instaladas por sideload de ativar a Acessibilidade, regra reforçada no Android 14 e 15. A proteção não se aplica, porém, quando a instalação é feita através da API de instalação baseada em sessões, e o utilizador pode ser levado a autorizar manualmente a exceção.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Malwarebytes, pelo Indeed, pela Microsoft, pela Trend Micro, pela Elastic Security Labs e pelo CNCS/CERT.PT.