Dois aplicativos falsos, um disfarçado de WhatsApp e outro de Google Chrome, passaram pela revisão da Play Store e somaram mais de 600 mil downloads em outubro, segundo levantamento da Android Police publicado neste domingo (25). Só o WhatsApp falso passou de 500 mil instalações sem receber uma única avaliação.
Adicione ao Google NotíciasNeste artigo
WhatsApp e Chrome são dois dos apps mais procurados por quem troca de celular ou reinstala o sistema, e o falso WhatsApp aparecia como resultado patrocinado na busca pelo nome do app para parte dos usuários. Os dois casos mostram que a loja do Google confere o pacote enviado, mas deixa passar ficha copiada, nome trocado depois da aprovação e ficha sem nenhuma nota.
WhatsApp falso: 500 mil downloads e nenhuma avaliação
A ficha falsa foi publicada pela conta "Agment Assets sallu", que não tem nenhum outro app na loja. Segundo a Android Authority, que noticiou o caso em 16 de outubro, a página "imita o original até a última letra": ícone, capturas de tela e texto de descrição foram tirados da ficha oficial do WhatsApp. O app estava no ar desde setembro.
O alerta partiu de um usuário do Reddit, que encontrou o clone no topo dos resultados patrocinados ao procurar o mensageiro. O anúncio não aparecia para todo mundo. O repórter da Android Authority, Taylor Kerns, buscou "WhatsApp" no celular e na versão web da loja e viu o app oficial em primeiro lugar.
A comparação entre as duas fichas é gritante. O WhatsApp verdadeiro, criado em 2010, soma mais de 10 bilhões de downloads, 241 milhões de avaliações e nota 4,6. O clone tinha "500 mil+" downloads, nenhuma avaliação e nenhuma nota. "Uma subida rápida a esse número de downloads em poucas semanas é um sinal de alerta, que indica posicionamento pago, e não popularidade", escreveu Irene Okpanachi, da Android Police.
Até 16 de outubro, o app seguia disponível. Há relatos posteriores de que teria sido retirado, mas nenhuma das fontes consultadas confirma a remoção nem a data.
Chrome falso na Play Store começou como um jogo chamado Ball Bounce
O primeiro caso veio dias antes. Um app publicado pelo desenvolvedor Hizbartech chegou a cerca de 100 mil downloads se passando pelo navegador do Google. Segundo o jornal indiano Deccan Chronicle e a Android Authority, ele foi enviado à loja como um jogo, o "Ball Bounce", e só depois da aprovação trocou o nome e o ícone pelos do Chrome.
O Deccan Chronicle afirma que o falso navegador aparecia no topo da busca por "Chrome" e que o desenvolvedor teria pagado anúncios para chegar lá. Essa parte é disputada: um relato da imprensa alemã diz que não conseguiu reproduzir o anúncio. O que o app fazia de verdade também ninguém analisou. Um comentarista do Reddit disse que se tratava de um chat com respostas aleatórias, sem navegador dentro, e ironizou: "Eles nem copiaram o Chromium para colocar algum rastreador ou ladrão de dados". É depoimento de usuário, sem verificação técnica.
Segundo usuários do Reddit citados pelo Deccan Chronicle, o falso Chrome foi retirado da loja. A data da remoção não consta na reportagem.
Early Access, o programa da Play Store que esconde as notas
A pista mais concreta sobre como o clone do WhatsApp passou despercebido aponta para o Early Access, o programa de acesso antecipado do Google Play. Feito para testar apps inacabados sem nota baixa por bugs, ele tem um efeito colateral: "usuários não podem deixar avaliações nem notas públicas enquanto um app está em Early Access", nas palavras da empresa de segurança Bitdefender. A Android Authority diz que o falso WhatsApp "parece" ter usado o programa; o Google não confirmou.
A Bitdefender publicou em 10 de setembro uma análise dos apps instalados por seus clientes e encontrou milhares de apps em Early Access com cara de golpe: cassinos falsos, apps do tipo "ganhe dinheiro" e títulos que usam marcas alheias, como GTA V.
Um dos apps encontrados dizia ter mais de 1 milhão de downloads e nenhuma avaliação. A Bitdefender avisou o Google, que "confirmou que está investigando". Um mês depois do alerta, o clone do WhatsApp estava na loja, e até 16 de outubro seguia no ar.
A revisão da Play Store confere o envio, não o que vem depois
Abrir uma conta de desenvolvedor no Google Play Console custa US$ 25. O desenvolvedor monta a ficha, declara quais dados o app coleta, envia o pacote e espera a revisão de produção, que leva de três a sete dias. Segundo a análise da Android Police, a revisão automática não foi projetada para verificar as declarações do desenvolvedor.
O sistema rejeita um pacote idêntico ao de outro app, mas, segundo a Android Police, pode deixar passar variações sutis de caracteres. O falso WhatsApp tinha o pacote com.AgmentAssetssallu.DeadPixelTriPulse, nada parecido com o do app oficial, e o que o usuário vê na loja (nome, ícone e capturas de tela) copiava o original.
A revisão também analisa só o que foi enviado: segundo a Android Police, ela não pega carga maliciosa baixada depois da aprovação.
O problema é antigo. Em 2012, versões falsas de Super Mario Bros. e de GTA ficaram mais de duas semanas na loja, segundo a NBC News. As avaliações, que deveriam servir de filtro, também estão contaminadas: em 2024, a DoubleVerify encontrou mais de três vezes mais apps com avaliações falsas geradas por IA do que no mesmo período de 2023, e o Google bloqueou 160 milhões de avaliações e notas de spam só em 2025.
Como identificar um aplicativo falso na Play Store
Os dois casos deixaram rastros que dá para checar na ficha antes de instalar:
- Desenvolvedor: em "Sobre este app", o nome de quem oferece o app precisa ser o da empresa (Google LLC no Chrome, WhatsApp LLC no WhatsApp). O falso Chrome vinha da Hizbartech.
- Downloads contra avaliações: centenas de milhares de instalações sem nenhuma nota é anomalia num app de marca; o WhatsApp oficial tem 241 milhões de avaliações.
- Selo Early Access sem avaliações: em mensageiro ou navegador com anos de mercado, é sinal para desistir.
- Anúncio patrocinado não é selo de origem: o clone do WhatsApp chegou ao topo da busca justamente como resultado pago.
Nenhuma das reportagens publicadas até agora traz resposta do Google sobre os dois apps, e não se sabe quantos dos 600 mil downloads vieram do Brasil nem o que o falso WhatsApp fazia no celular de quem o instalou. A investigação sobre o Early Access, aberta depois do alerta da Bitdefender em setembro, ainda não teve resultado público.
