Criminosos criam app falso de Imposto de Renda com IA para enganar contribuintes

Um aplicativo que simulava o aplicativo oficial da Receita Federal acumulou mais de 16 mil downloads em lojas não oficiais antes de ser retirado do ar. O levantamento é da INGENI, divisão de inteligência avançada da Redbelt Security.

Essa campanha integra um mapeamento mais amplo que identificou, ao longo desta temporada do Imposto de Renda 2026, ao menos 80 páginas falsas, 26 perfis fraudulentos em redes sociais e cerca de 10 aplicativos maliciosos com tema fiscal.

Wagner Farias, engenheiro de ameaças da INGENI, explica que o volume de downloads não equivale diretamente ao número de vítimas, mas indica a escala da campanha. Esse aplicativo foi o que mais chamou a atenção pelo volume e como ele se posicionou nestes mercados falsas, disse Farias ao Podcast Canaltech.

Os criminosos evitam as lojas oficiais, como Google Play e App Store, justamente porque essas plataformas usam mecanismos para rastrear comportamentos suspeitos e remover apps maliciosos rapidamente. A saída foi apostar em lojas alternativas publicadas na web.

O gatilho do golpe é a engenharia social. A aproximação do prazo de entrega da declaração, que vai até 29 de maio, cria um senso de urgência explorado por campanhas publicitárias direcionadas por público, faixa etária e região.

Quando o usuário, no desespero, começa a pesquisar, vai bater logo aquele anúncio para ele, descreveu Farias. Um fator que preocupa os pesquisadores é o papel da inteligência artificial na sofisticação dos ataques.

Ferramentas de IA permitem que criminosos sem formação técnica criem aplicativos com alto nível de fidelidade visual e até persistência no dispositivo da vítima. Esse recurso antes exigia conhecimento aprofundado de engenharia de software.

Ao ser instalado e executado com as permissões concedidas pelo usuário, o malware pode atuar de duas formas: como infostealer, roubando credenciais salvas em navegadores; ou como trojan de acesso remoto (RAT), que abre uma porta para controle remoto.

O download, sem execução do app, raramente compromete o dispositivo. O risco começa quando o usuário abre o aplicativo e concede as permissões solicitadas. Para quem executou o app e concedeu acessos, Farias recomenda dois passos.

Primeiro, restaurar o dispositivo para eliminar a persistência do malware. Depois, em outro aparelho, fazer a rotação de todas as credenciais. Na prevenção, o principal indicador ainda é o domínio.

Portais do governo federal operam no padrão gov.br. Qualquer endereço fora desse padrão é motivo de desconfiança imediata. A aparência do site ou do app, por si só, já não serve como critério, segundo apontou o portal Canaltech.