Em abril de 2026, pesquisadores descreveram o PixRevolution, um malware de Android que não se contenta em roubar senha: ele abusa das permissões de Acessibilidade para ler a tela e deixa um operador humano acompanhar a transferência ao vivo, alterando os dados no instante da confirmação do Pix. O que interessa à sua empresa é onde esse aparelho está. Segundo o Panorama de Ameaças da Kaspersky, o Brasil concentra mais de 80% das detecções de trojans bancários da América Latina, com 1,5 milhão de ataques bloqueados entre agosto de 2024 e junho de 2025 — 4.109 tentativas por dia. Boa parte deles roda no mesmo celular que abre o e-mail corporativo, o ERP e o WhatsApp do financeiro.
O celular virou o computador da empresa — sem ninguém decidir isso
Nenhuma PME aprovou formalmente que o comercial fecharia pedidos pelo celular pessoal. Isso simplesmente aconteceu. Com o trabalho híbrido e os sistemas em nuvem, o aparelho de bolso passou a acessar e-mail, drive, CRM, ERP e grupos internos de WhatsApp. É o modelo que o mercado chama de BYOD (Bring Your Own Device), adotado pela maioria das PMEs por omissão, não por projeto.
O resultado é assimétrico: o notebook da empresa tem antivírus, atualização controlada e disco criptografado; o celular que acessa os mesmos dados não tem controle nenhum. Nos dados da Kaspersky, os trojans bancários responderam por 52,96% de todas as detecções em aplicativos móveis no primeiro trimestre de 2026 — não é ameaça de nicho, é a maior categoria de malware móvel do país.
Por que o roubo não para no aplicativo do banco
É tentador tratar trojan bancário como problema da vida pessoal do funcionário. Não é. Famílias recentes, como o BankBot-YNRK, foram documentadas roubando bem além do saldo:
- credenciais de VPN e de e-mail corporativo;
- tokens e códigos de autenticação multifator;
- SMS e notificações do aparelho;
- dados pessoais e contatos da agenda.
Ou seja, o celular infectado entrega justamente o segundo fator que deveria proteger a conta da empresa. A partir daí o roteiro é conhecido: o invasor entra no Microsoft 365 com credencial válida, lê a caixa do financeiro e dispara o pedido de mudança de conta bancária para um fornecedor real. Do ponto de vista da vítima não houve invasão — houve alguém autenticado fazendo o que tinha permissão para fazer. O celular pessoal virou o paciente zero de um incidente corporativo.
A permissão que abre a porta
Quase todo trojan de Android moderno depende de um único consentimento: a permissão de Acessibilidade. Ela existe para recursos legítimos de inclusão — leitores de tela, controle por voz — e por isso concede poderes amplos: ler a tela, simular toques e preencher campos. Quando um app baixado fora da loja oficial pede “ativar acessibilidade para funcionar”, o usuário autoriza um programa desconhecido a operar o aparelho no lugar dele.
É como emprestar a chave do escritório e ainda deixar junto o mapa da sala do cofre. O usuário não sente diferença: o app promete otimizar a bateria ou rastrear encomenda, e cumpre isso. O roubo acontece em silêncio, na tela seguinte.
O que a norma e a lei já cobram
Isso não é discussão teórica. O Anexo A da ISO/IEC 27001:2022 traz o controle 8.1, “Dispositivos endpoint do usuário”, que exige política formal para os equipamentos que processam informação da organização — e trata explicitamente de dispositivos pessoais e da separação entre dados corporativos e privados. Some a LGPD: se a base de clientes é lida num aparelho sem controle, a empresa continua sendo a controladora e responde pelo vazamento, mesmo que o celular seja do funcionário e a culpa, do app falso.
Como proteger o celular que acessa a sua empresa
Nada aqui exige um SOC próprio nem trocar o parque de aparelhos. Exige decidir.
1. Escreva a política antes de comprar ferramenta
Defina quem acessa o quê pelo celular, se o aparelho é da empresa ou do funcionário, e o que acontece no desligamento. Política sem regra clara de saída é o erro mais comum: o ex-funcionário sai com o e-mail ainda logado.
2. Separe o corporativo do pessoal com perfil de trabalho
No Android Enterprise, o perfil de trabalho cria um contêiner isolado e criptografado: os apps da empresa vivem separados dos pessoais e o apagamento remoto atinge só o lado corporativo. Preserva a privacidade do funcionário — condição prática para o BYOD ser aceito sem atrito.
3. Exija MFA resistente e pare de depender de SMS
Se o trojan lê SMS e notificações, o segundo fator por mensagem é decorativo. Migre para aplicativo autenticador com aprovação numerada ou, no acesso crítico, chave de segurança física.
4. Bloqueie a instalação fora das lojas oficiais
A maioria das infecções entra por APK baixado de link. Com gestão de dispositivos você desativa fontes desconhecidas e exige tela de bloqueio, criptografia e versão mínima de sistema — três cliques que eliminam o vetor mais usado.
5. Trate o celular como endpoint no inventário e no monitoramento
Liste os aparelhos que acessam dados da empresa, revise o acesso a cada trimestre e inclua o celular no plano de resposta a incidentes. Se alguém disser “meu celular está estranho”, a pergunta seguinte precisa ser “quais acessos corporativos revogamos agora?” — e alguém precisa saber respondê-la.
O aparelho é pessoal, o dado continua sendo da empresa
O mesmo país que concentra 80% dos trojans bancários da região colocou o ERP no bolso do time sem escrever uma linha de política. O celular pessoal não é o problema — a ausência de fronteira entre ele e a empresa é. Definir essa fronteira custa uma política, um perfil de trabalho e uma revisão de MFA. Não definir custa uma credencial válida nas mãos de quem sabe o que fazer com ela.
🔐 Você sabe quantos celulares acessam os dados da sua empresa hoje? Fale com os especialistas da Trinity TI e coloque o BYOD sob controle antes que um app falso decida isso por você.
