Apps VPN falsas: como detetar as que roubam os teus dados
Uma VPN falsa ou mal feita pode ver o teu tráfego, usar a tua ligação ou instalar software malicioso. Existem casos documentados dos três.
Este artigo separa três casos reais e explica como reconhecer uma aplicação duvidosa antes de a instalares. Os casos são de Android e as fontes são de 2024 e 2025.
Três formas como uma «VPN» te pode prejudicar
Não são a mesma coisa e convém não as misturar. Nem todos os casos envolvem roubo de dinheiro.
| Caso | O que faz | Como chega ao telemóvel | Fonte |
|---|---|---|---|
| Usa a tua ligação | Faz passar o tráfego de outras pessoas pelo teu dispositivo | Aplicações VPN gratuitas | Kaspersky, 2024 |
| Instala um trojan bancário | Assume o controlo do telemóvel e faz operações fraudulentas | Aplicação instalada fora da Google Play | Cleafy, 2025 |
| Proprietários ocultos e falhas | Encriptação fraca e proprietários pouco claros | Loja de aplicações | Citizen Lab, 2025 |
1. Uma VPN que usa a tua ligação
Em novembro de 2024, a Kaspersky explicou que várias VPN gratuitas serviram para criar uma botnet, a 911 S5. As autoridades desmantelaram-na em maio de 2024.
Quem as instalava transformava o seu dispositivo num servidor proxy que encaminhava tráfego de outras pessoas. Os administradores vendiam esse acesso a outros criminosos. Usavam-no para ciberataques, branqueamento de capitais e fraude em massa.
Nessa nota não consta o roubo de dados bancários de quem instalava a aplicação. O risco era outro: a tua ligação ser usada em crimes.
2. Uma VPN que instala um trojan bancário
Em setembro de 2025, a Cleafy descreveu um trojan bancário para Android. Chegava com uma aplicação de televisão pela internet que incluía uma VPN.
Não se descarregava da Google Play. Pedia permissão para instalar aplicações desconhecidas e para ativar os serviços de acessibilidade. Esses serviços podem ler o ecrã e tocar em botões.
Com isso, os atacantes assumiam o controlo do telemóvel e faziam operações fraudulentas. Segundo a Cleafy, os países mais afetados eram a Espanha e a Itália.
3. Uma VPN da loja com proprietários ocultos
Em agosto de 2025, investigadores do Citizen Lab e da Universidade Estadual do Arizona analisaram VPN muito descarregadas. Na Google Play, encontraram três famílias de aplicações ligadas entre si, com mais de 700 milhões de descargas.
Em duas dessas famílias, todas as aplicações partilhavam uma palavra-passe escrita no código. Segundo o estudo, alguém que escute a rede poderia desencriptar as comunicações de todos os utilizadores.
O estudo não diz que todas as VPN da loja sejam assim. Mostra, sim, que uma loja oficial não basta.
No seu aviso de novembro de 2025, a Google explica que algumas aplicações se fazem passar por VPN legítimas. Servem para instalar software malicioso que rouba o histórico de navegação, mensagens, credenciais financeiras e dados de carteiras de criptomoedas.
Sinais de uma aplicação VPN duvidosa
Um só sinal não prova nada. Vários ao mesmo tempo são motivo para não a instalar.
| Sinal | Porque importa | Fonte |
|---|---|---|
| Pede permissões que não fazem sentido | O INCIBE aconselha a desconfiar de acessos a dados sem relação com o serviço | INCIBE |
| Não sabes quem a faz | O INCIBE recomenda investigar o fornecedor e ler a sua política de privacidade | INCIBE |
| É gratuita e não explica como ganha dinheiro | As VPN gratuitas financiam-se muitas vezes com dados dos utilizadores | INCIBE |
| Pedem-te que a instales fora da loja oficial | A Google recomenda descarregar VPN apenas de fontes oficiais. O caso da Cleafy instalava-se fora da Google Play | Google, Cleafy |
| Pede-te para ativar a acessibilidade ou instalar outras aplicações | Com essas permissões, uma aplicação pode ler o ecrã e tocar em botões por ti | Cleafy |
Como verificar uma VPN antes de a instalares
Evita ligações de anúncios, mensagens ou páginas web. A Google aconselha desconfiar de ofertas gratuitas e não instalar aplicações desconhecidas.
Vê o programador, o seu site e a política de privacidade. Deve dizer que dados recolhe e com quem os partilha.
Desde janeiro de 2025, a Google Play marca como «Verified» as VPN que passam uma avaliação de segurança independente. É a MASA nível 2. É uma ajuda, não uma garantia.
Uma VPN não precisa, por exemplo, dos teus contactos nem das tuas mensagens. Se os pedir, não a instales.
Se é gratuita, descobre de que vive. Se não o explica, desconfia.
A Google exige, entre outros requisitos, pelo menos 10 000 instalações, 250 avaliações e 90 dias na loja. Uma VPN pequena ou nova pode não ter selo e ser legítima. Por isso, o selo é apenas mais uma pista.
O que fazer se já instalaste uma
Fá-lo o quanto antes. Não esperes para ver se acontece alguma coisa.
Nas definições do Android, procura essas duas secções. O nome exato muda consoante o telemóvel. Retira a permissão a qualquer aplicação que não reconheças.
Ativa o Google Play Protect ou usa um antivírus de confiança.
Começa pelo correio eletrónico e pelo banco. Se suspeitas de um trojan, faz isso a partir de outro dispositivo.
Se houver operações que não reconheces, liga ao banco e apresenta queixa.
Em Espanha, o INCIBE tem uma linha de ajuda em cibersegurança, gratuita e confidencial: o 017 (página em espanhol). Noutros países, contacta a agência nacional de cibersegurança.
Faz sentido uma VPN gratuita?
O INCIBE avisa que muitas VPN gratuitas se financiam recolhendo e vendendo dados dos utilizadores. Isso não significa que sejam todas perigosas. Significa que deves saber quem a oferece e como ganha dinheiro.
Se cumprir os cinco passos acima, podes considerá-la. Se não cumprir, é melhor não a instalar. Noutros artigos analisamos dois serviços concretos: Windscribe grátis e Proton VPN.
Perguntas frequentes
Uma VPN da loja oficial é sempre segura?
Não. O estudo do Citizen Lab analisou aplicações da Google Play com falhas e proprietários pouco claros. A loja reduz o risco, mas não o elimina.
Porque importa quem está por trás da VPN?
Porque a empresa que fornece a VPN pode ver o tráfego que passa pelos seus servidores. O estudo do Citizen Lab assinala-o.
E no iPhone?
Os casos que citamos são de Android. Não encontrámos fontes oficiais recentes sobre o iPhone que possamos citar, por isso não afirmamos nada. As verificações da loja, do programador, das permissões e do financiamento servem em qualquer telemóvel.
Preciso de uma VPN?
Depende do que queres fazer com ela. Uma VPN cria uma ligação encriptada entre o teu dispositivo e um servidor. Falamos das redes wifi públicas neste artigo.
Uma VPN não é segura só por se chamar VPN.
Nos casos que analisámos, o problema surge quando não sabes quem está por trás da aplicação. Surge também quando ela é instalada fora da loja oficial.
Antes de instalar uma, verifica a loja, o programador, as permissões e como se financia. Se algo não bater certo, não a instales.
Fontes
Kaspersky: aumento das aplicações que se fazem passar por VPN (20/11/2024) (em inglês).
Cleafy: Klopatra, um novo trojan bancário para Android (30/09/2025) (em inglês).
Citizen Lab: Hidden Links, famílias secretas de aplicações VPN (14/08/2025) (em inglês).
Google: aviso sobre fraudes e burlas (06/11/2025) (em inglês).
Android Developers Blog: selo «Verified» para VPN (28/01/2025) (em inglês).
INCIBE: ligar-se à empresa em segurança com uma VPN (09/08/2018) (em espanhol).
INCIBE: grátis ou pagas, o que deves saber sobre as VPN (em espanhol).
Atualizado em novembro de 2026.
TAMBÉM PODE INTERESSAR-TE
Wifi público: por que nunca devias conectar o teu banco aí
