Rede de 400 apps de deepfake disfarçados de editor de fotos furou App Store e Google Play

Uma investigação da revista americana Wired encontrou cerca de 400 apps e sites que se apresentavam como ferramentas comuns de inteligência artificial (editor de fotos de pets, curso de idiomas, treino físico) mas escondiam geradores de deepfake sexual. Parte deles estava na App Store, da Apple, e na Google Play, as duas lojas oficiais usadas por praticamente todo celular vendido no Brasil.

O caso, publicado em 2 de novembro pelo repórter Matt Burgess, atinge dois grupos ao mesmo tempo. Um é quem baixou um desses apps e entregou fotos e dinheiro a uma operação de identidade incerta. O outro é bem maior: qualquer pessoa cuja foto possa ser usada para criar uma imagem íntima falsa. Deepfake é a imagem, o vídeo ou o áudio sintético que imita uma pessoa real, e com IA generativa basta uma selfie para produzir uma montagem convincente. a rede está ligada a desenvolvedores de língua chinesa.

Como os apps de deepfake enganavam a revisão da App Store e da Google Play

Os aplicativos abriam com interface convencional, coerente com o que prometiam na página da loja, sem nenhum sinal de conteúdo pornográfico. A troca acontecia nos bastidores: o app enviava dados do aparelho a um servidor externo, e era esse servidor que decidia se o usuário veria a versão inofensiva ou a interface com as funções de deepfake, capazes de gerar imagens e vídeos sexuais e violentos.

Segundo a cobertura da reportagem, o servidor recebia informações como o idioma do aparelho, a origem do acesso (de qual anúncio ou site o usuário tinha vindo) e identificadores do dispositivo. Os pesquisadores não conseguiram estabelecer um critério definitivo para quem recebia cada versão. Isso ajuda a entender como a revisão das lojas pode ser driblada: o conteúdo mostrado muda no servidor, sem que o desenvolvedor precise enviar uma atualização para análise.

Em um dos exemplos descritos na cobertura, o usuário instalava o app, comprava moedas virtuais e via uma tela compatível com a promessa do anúncio. A rede também mantinha domínios interligados e arquivos de configuração que listavam outros endereços, chaves e rastreadores de publicidade, uma estrutura que permite trocar de nome e de marca rapidamente quando uma página ou um app é derrubado.

Anúncios no Facebook e no Instagram eram a porta de entrada

A distribuição não dependia só da busca nas lojas. Um dos mecanismos identificados pela Wired era o download do app logo depois de um clique em anúncio da Meta que já exibia imagens deepfake pornográficas. A própria rede comprava anúncios na plataforma para divulgar os programas.

Relatos sobre a investigação apontam milhares de anúncios explícitos no Facebook e no Instagram ligados aos domínios da rede, alguns com nomes falsos. Segundo esses relatos, a Meta disse ter agido contra milhares de contas, páginas e usuários associados. No Brasil, o recado vale igual: anúncio de "app de IA" que oferece transformar fotos de pessoas reais merece desconfiança imediata.

O que Apple, Google e a empresa de Hong Kong responderam

Procurada pela Wired, a Apple afirmou que os aplicativos estavam de acordo com as regras no momento da aprovação. Segundo a empresa, os desenvolvedores mudaram depois os sites dos quais os programas puxavam conteúdo, substituindo o material autorizado por pornografia. A Apple também atribuiu a divulgação dos apps a anúncios explícitos veiculados em plataformas de terceiros.

Segundo a cobertura brasileira, Apple e Google já removeram parte dos apps apontados, mas o Google não havia comentado o caso até a publicação dessas reportagens. Não há números de quantos apps continuam ativos nem de quantos foram baixados por usuários brasileiros, e a lista com os nomes não foi divulgada.

A investigação também encontrou ligações entre os programas e a KeLing Technology Limited, empresa sediada em Hong Kong. Depois de ser procurada, a companhia teria apagado referências que a associavam aos apps. A Wired fala em ligações, não em autoria.

Apple endureceu as regras da App Store contra apps de deepfake há três semanas

A explicação da Apple, de que o app era um na revisão e virou outro depois, descreve exatamente a brecha que a própria empresa tentou fechar em 16 de outubro. Naquele dia, a Apple ampliou as diretrizes da App Store para cobrir imagens íntimas não consensuais geradas por IA. A regra 1.2 passou a exigir que desenvolvedores de apps de criação de conteúdo com IA previnam e removam proativamente deepfakes desse tipo, sob risco de expulsão da loja.

A mesma atualização criou a diretriz 2.5.19: quem adicionar recursos ausentes da versão enviada para revisão pode perder o app e a conta no Apple Developer Program. A Apple ligou a regra diretamente aos apps de "nudificação" e proibiu programas com funções ocultas ou não documentadas, que escondem o propósito na análise e só revelam a capacidade nociva depois de aprovados, tática conhecida como bait-and-switch. "Não hesitamos em remover apps, e banir os desenvolvedores por trás deles, quando violam estas diretrizes", escreveu a empresa no comunicado aos desenvolvedores.

Ou seja, a lacuna era conhecida antes da reportagem. A pressão vinha de outros casos: neste ano, a Apple avisou a xAI que tiraria o Grok da App Store se o chatbot continuasse permitindo deepfakes de nudez; a xAI colocou salvaguardas e uma versão atualizada foi aprovada. E um levantamento do início de 2026, citado na cobertura do caso, já tinha encontrado cerca de 38 apps do tipo nas lojas da Apple e do Google, com 483 milhões de downloads somados e US$ 122 milhões em receita, algo perto de R$ 650 milhões em conversão direta. Regra escrita, porém, não resolve sozinha um app cujo comportamento é decidido num servidor que a loja não controla.

Como identificar um app de deepfake suspeito e o que a vítima pode fazer no Brasil

O padrão descrito pela Wired deixa pistas. Merece atenção o app de função banal que pede fotos do rosto de pessoas, cobra por "moedas" ou créditos para gerar imagens, vem de desenvolvedor sem histórico ou chegou ao celular por anúncio em rede social. Vale revisar as assinaturas e compras ativas na conta da Apple ou do Google, apagar o app suspeito e revogar o acesso dele à galeria. Apagar o programa não apaga o que já foi enviado ao servidor.

Para quem descobre uma imagem íntima falsa de si, o primeiro passo é guardar provas (prints, links, datas e perfis) antes de denunciar à plataforma onde ela circula. A SaferNet Brasil mantém canal de orientação a vítimas, e o caso pode ser registrado na Polícia Civil, de preferência em delegacia de crimes cibernéticos. A divulgação de imagem íntima sem consentimento já é crime no Brasil, e a denúncia com provas ajuda a polícia e as plataformas a agir.