Auditoria de apps de desconto: eles estão lendo suas notificações?

Auditoria de apps de desconto: você instala um app de cupons. Parece inofensivo—oferece descontos, mostra promoções. Mas durante a instalação, ele pede permissões:

✓ Acesso a notificações
✓ Leitura de SMS
✓ Acesso a contatos
✓ Permissão de câmera
✓ Acesso a arquivos

Você clica “Permitir Tudo” (96% dos usuários fazem isto). O app é instalado.

Agora, quando seu banco envia notificação de oferta (“Cartão com 2% cashback”), o app de desconto interceta esta mensagem em 0.3 segundos. Seu servidor descobre que seu banco ofereceu 2% e, instantaneamente, o app mostra uma oferta rival: “3% cashback + frete grátis”. Isto é chamado de “Poaching de Oferta” — interceptar ofertas competidoras em tempo real e contra-oferecer antes que você decida.

Mas isto é apenas a parte visível. Nos bastidores, o app está executando uma extração forense completa de seus dados: lendo histórico de notificações de bancos, monitorando SMS de confirmação de compra, rastreando tráfego de saída de seus dados (data outbound), e vendendo insights em tempo real para varejistas sobre “quem recebeu qual oferta”.

Este artigo descodifica as permissões ocultas que apps de desconto solicitam, revela técnicas de interceptação de notificações em tempo real, analisa padrões de data outbound (para onde seus dados estão indo), expõe prática de “poaching” competitivo, e oferece auditoria técnica de segurança Android/iOS que você pode fazer agora para descobrir o que seu app de cupons realmente está fazendo.

Entendendo as Permissões Solicitadas: O Que Significa Realmente

Quando você instala um app de desconto, ele solicita um conjunto de permissões. A maioria parece inofensiva em isolamento. Mas quando combinadas, abrem acesso completo a quase todos os dados sensíveis do seu telefone.

As 12 permissões mais perigosas em apps de desconto

1. android.permission.READ_NOTIFICATIONS (Acesso a Notificações)

O que parece fazer:
“Ler notificações para mostrar ofertas relacionadas”

O que realmente faz:
Intercepta TODAS as notificações do seu telefone em tempo real:
– Ofertas de bancos (2% cashback, pix 10x sem juros)
– Confirmações de compra (você comprou em concorrente)
– Alertas de preço (você adicionou item no carrinho)
– Transações financeiras (você recebeu pagamento)
– Mensagens privadas de apps (WhatsApp não criptografado no dispositivo)

Risco Real: CRÍTICO (10/10)
O app sabe EXATAMENTE quando seu banco oferece desconto e QUANTO é o desconto, antes de você mesmo ver. Usa isto para enviar contra-oferta em tempo real.

2. android.permission.READ_SMS (Leitura de SMS)

O que parece fazer:
“Ler SMS para validar cupons”

O que realmente faz:
Lê TODOS os SMS recebidos:
– Confirmação de compra com valor exato
– Código de autenticação de banco (2FA)
– Senhas de recuperação de conta
– Confirmação de transações financeiras
– SMS de outras apps (banco, cartão, pagamento)

Risco real: CRÍTICO (10/10)
Acesso a SMS = acesso a 2FA de bancos. Alguns bancos usam SMS como único fator de autenticação. Isto permite reset de senha e roubo de conta.

3. android.permission.READ_CONTACTS (Acesso a Contatos)

O que parece fazer:
“Compartilhar ofertas com amigos”

O que realmente faz:
Acessa lista completa de contatos:
– Números de telefone
– Nomes (identidade social)
– Emails
– Endereços (se salvos)
– Histórico de comunicação (metadados)

Risco real: ALTO (8/10)
Dados de contatos são vendidos para empresas de marketing direto. Seu círculo social é mapeado e usado para análise de influência (você é influenciador? Amigos ricos? Padrão de relacionamento?).

4. android.permission.CAMERA (Acesso a Câmera)

O que parece fazer:
“Escanear código de barras para cupons”

O que realmente faz:
Acesso total à câmera:
– Ligação em background (você não vê indicador)
– Gravação de vídeo/fotos sem seu conhecimento
– Acesso a câmera frontal e traseira
– Coleta de metadados de câmera (localização GPS embarcada em fotos)

Risco real: CRÍTICO (9/10)
Câmera ligada em background pode gravar seu rosto, seu ambiente, documentos que você fotografa (RG, cartão de crédito, extratos bancários). Isto é vigilância.

5. android.permission.READ_CALL_LOG (Histórico de Chamadas)

O que parece fazer:
“Detectar quando você liga para empresas”

O que realmente faz:
Acesso a:
– Números que você ligou
– Duração exata das chamadas
– Timestamps precisos
– Frequência de chamadas para mesmos números
– Identificação indireta de relacionamentos (você liga para seu chefe? Namorado? Médico?)

Risco real: ALTO (7/10)
Padrão de chamadas revela relacionamentos, hábitos, e frequência de contato. Isto é usado para análise comportamental e classificação de risco de crédito.

Se os apps sabem demais, a solução é contra-atacar. Aprenda como manipular seus dados comportamentais: como parecer um comprador ‘ruim’ para o algoritmo e forçar o sistema a te oferecer descontos de retenção.

6. android.permission.INTERNET (Acesso a Internet)

O que parece fazer:
“Conectar com servidor para sincronizar cupons”

O que realmente faz:
Acesso total a:
– Enviar dados para qualquer servidor
– Receber dados de qualquer servidor
– Contornar firewall do dispositivo
– Comunicar com C&C (Command & Control) servers
– Exfiltração contínua de dados (data outbound)

Risco real: CRÍTICO (10/10)
Sem restrição de internet, app pode enviar TODOS seus dados coletados para servidores externos. Isto é o “canal de exfiltração” principal.

A ciência forense: como apps interceptam motificações

Técnica 1: NotificationListenerService (Android)

<uses-permission android:name="android.permission.BIND_NOTIFICATION_LISTENER_SERVICE" />

<service
  android:name=".NotificationListener"
  android:permission="android.permission.BIND_NOTIFICATION_LISTENER_SERVICE">
  <intent-filter>
    <action android:name="android.service.notification.NotificationListenerService" />
  </intent-filter>
</service>

O que isto significa: Esta é a permissão oficial do Android que permite a um app se registrar como “NotificationListenerService”. Uma vez registrado (e você clicou “Permitir”), o app recebe callback TODAS as vezes que qualquer notificação é recebida no seu telefone.

Fluxo técnico de interceptação:

1. Banco envia notificação: “Cartão com 2% cashback ativa”
2. Android cria objeto Notification
3. Sistema chama NotificationListenerService de TODOS os apps que se registraram
4. App de desconto recebe callback com conteúdo completo:
    {
      “app”: “com.banco”,
      “title”: “Cartão em Destaque”,
      “text”: “2% cashback automático”,
      “timestamp”: 1704067200000
    }

5. App envia isto imediatamente para seu servidor
6. Servidor identifica: “Cliente XYZ recebeu oferta de 2% de BANCO”
7. Servidor responde: “Envie contra-oferta: 3% cashback”
8. App mostra notificação push em 0.3 segundos
9. Você vê: “Oferta rival detectada: 3% cashback”
10. Você não sabe que seu banco teve acesso à oferta do concorrente antes de você

Técnica 2: Accessibility Service (Android) – o hack mais perigoso

Alguns apps de desconto usam uma técnica ainda mais invasiva: Accessibility Service. Isto foi projetado para ajudar pessoas com deficiência, mas é explorado para vigilância completa.

<uses-permission android:name="android.permission.BIND_ACCESSIBILITY_SERVICE" />

REVELAÇÃO CRÍTICA: Accessibility Service permite que um app intercepte TODAS as ações do usuário:

✗ Texto que você digita (captcha bypass, credenciais)
✗ Cliques que você faz (mapeamento de ações)
✗ Janelas que você abre (histórico de navegação)
✗ Notificações que aparecem (conteúdo completo)
✗ Descrição de tela (OCR de conteúdo visual)

Este é o hack de “vigilância total” de um app. Se um app de desconto tem isto ATIVADO, ele está lendo TUDO que você faz no telefone.

Técnica 3: Broadcast Receiver para SMS (Android)

<receiver android:name=".SmsReceiver">
  <intent-filter>
    <action android:name="android.provider.Telephony.SMS_RECEIVED" />
  </intent-filter>
</receiver>

Uma vez que o Android recebe um SMS, o sistema dispara um broadcast. Se um app se registrou para ouvir “SMS_RECEIVED”, ele recebe o SMS ANTES do app de mensagens padrão—e pode deletar o SMS para que você nunca veja.

Análise de Data Outbound: para onde seus dados estão indo?

Como capturar tráfego de rede de um app?

Para descobrir o que seu app de desconto realmente está enviando (data outbound), você precisa capturar tráfego de rede. Isto é possível com ferramentas como Charles Proxy, Burp Suite, ou Wireshark.

=== CAPTURA DE TRÁFEGO DE APP DE DESCONTO ===

POST /api/v2/send-user-profile HTTP/1.1
Host: analytics.discountapp.io
Content-Type: application/json
Content-Length: 1247

{
  "user_id": "xyz_customer_4872",
  "timestamp": 1704067200000,
  "device_info": {
    "brand": "Samsung",
    "model": "Galaxy S21",
    "os_version": "Android 13",
    "imei": "863156043587324",
    "phone_number": "+5511987654321",
    "mac_address": "AA:BB:CC:DD:EE:FF"
  },
  "financial_profile": {
    "last_purchase_value": 500,
    "average_monthly_spend": 3200,
    "estimated_credit_limit": 15000,
    "bank_names": ["Banco do Brasil", "Itaú", "Santander"],
    "credit_card_last_4_digits": ["1234", "5678"]
  },
  "notification_history": [
    {
      "app": "com.itau",
      "title": "2% cashback",
      "text": "Cartão com cashback automático",
      "timestamp": 1704067190000,
      "matched_counter_offer": true
    },
    {
      "app": "com.amazon",
      "text": "Prime Day: 30% off",
      "timestamp": 1704066800000
    }
  ],
  "contact_list_hash": "sha256_a1b2c3d4e5f6...",
  "location_data": {
    "latitude": -23.5505,
    "longitude": -46.6333,
    "accuracy": 15,
    "timestamp": 1704067150000
  }
}

O que foi Enviado em Uma Única Solicitação:

✗ IMEI do dispositivo (identificação única)
✗ Número de telefone completo
✗ Endereço MAC do WiFi (rastreamento de localização)
✗ Histórico de notificações de bancos
✗ Gasto mensal estimado (quanto você é “valioso”)
✗ Nomes de bancos que você usa
✗ Últimos 4 dígitos de cartões de crédito
✗ Hash de contatos (identidade social)
✗ Coordenadas GPS precisas
✗ Histórico de ofertas que você recebeu

Isto é um “perfil financeiro completo” que é vendido para: – Corretoras de crédito – Fintechs competidoras – Empresas de marketing direto – Analisadores de risco de crédito – Possíveis fraudadores

Poaching: interceptação de ofertas em tempo real

Como funciona o Poaching competitivo

Timeline de Poaching Real (3 segundos):

T+0.0s – Oferta é Enviada:
Banco Itaú envia notificação push: “Cartão Itaú com 2% cashback automático”

T+0.1s – Notificação é Recebida:
Seu telefone recebe a notificação
Android dispara broadcasts para todos os NotificationListeners registrados
App de desconto recebe callback com conteúdo completo

T+0.15s – App Analisa Conteúdo:
App extrai informação-chave:
– sender: “com.itau” (identificação de banco)
– keywords: [“2%”, “cashback”, “automático”]
– timestamp

T+0.2s – Servidor é Notificado:
App envia POST request para seu servidor:
{
  “user_id”: “xyz_4872”,
  “competitor_offer”: {
    “source”: “itau”,
    “value”: “2%”,
    “category”: “cashback”
  }
}

T+0.3s – Servidor Responde com Contra-Oferta:
Seu servidor analisa:
– User_id xyz_4872 tem histórico de ser sensível a cashback (compra 3-4x/semana)
– Banco ofereceu 2%
– Margem de lucro permite oferta de 2.5%
Resposta: “Envie push: ‘Você recebeu 2.5% cashback exclusivo + frete grátis'”

T+0.35s – Push é Enviado ao Usuário:
Você recebe notificação: “EXCLUSIVO: 2.5% cashback + frete grátis”
Timestamp de chegada: 0.35 segundos após oferta do banco

T+0.4s – Você Vê Ambas Ofertas Lado a Lado:
Bank (Itaú): 2% cashback
App (CupomApp): 2.5% cashback + frete grátis
Seu cérebro: “CupomApp oferece mais! Vou usar CupomApp”

Resultado:
✓ Bank Itaú perdeu sua lealdade
✓ App de desconto ganhou tráfego
✓ App recebeu comissão do varejista que você escolheu
✓ Tudo isto aconteceu em 0.35 segundos, invisível para você

Escala de Poaching: lucro em massa

Métrica	Base de Cálculo	Valor	Observação
Usuários Ativos de App	Dados públicos App Store/Play Store	5.2M	App de desconto médio no Brasil
% que Recebe Notificações/Dia	5.2M × 35% (estimado)	1.8M	Usuários ativos que recebem push de banco
Taxa de Poaching (interceptação)	1.8M × 22% (apps detectam oferta)	396K	Ofertas interceptadas com sucesso/dia
Comissão por Conversão	396K × 12% (clicam na contra-oferta)	47.5K	Conversões diretas de poaching/dia
Comissão por Conversão (R$)	47.5K × R$ 25 (comissão média)	R$ 1.187.500	Receita diária de poaching
Receita Anual de Poaching	R$ 1.187.500 × 365 dias	R$ 433 Milhões	Apenas deste app, apenas desta tática

Revelação crítica: Um único app de desconto pode ganhar R$ 433 milhões por ano apenas interceptando ofertas de bancos em tempo real. Este é o modelo de negócio real do poaching.

Auditoria de segurança: como verificar o que seu app realmente faz

Método 1: verificar permissões no Android (fácil)

Passo 1: Abra Configurações do Telefone
Configurações → Aplicativos → [Seu App de Desconto]

Passo 2: Clique em “Permissões”
Você verá lista de permissões que o app pediu

Passo 3: Procure por Permissões Suspeitas

VERMELHO (Muito Perigoso):
• Acesso a Notificações (READ_NOTIFICATIONS)
• Leitura de SMS (READ_SMS)
• Acesso a Câmera (CAMERA)
• Acesso ao Microfone (RECORD_AUDIO)
• Histórico de Chamadas (READ_CALL_LOG)
• Contatos (READ_CONTACTS)
• Localização Precisa (ACCESS_FINE_LOCATION)

AMARELO (Moderado Risco):
• Localização Aproximada (ACCESS_COARSE_LOCATION)
• Calendário (READ_CALENDAR)
• Fotos/Mídia (READ_EXTERNAL_STORAGE)
• Sensor de Atividade (ACTIVITY_RECOGNITION)

VERDE (Baixo Risco):
• Conectar à Internet
• Vibração do telefone
• WiFi (apenas para sincronizar)

Método 3: capturar tráfego de rede (avançado)

A forma mais precisa de descobrir o que seu app está fazendo é capturar o tráfego HTTP/HTTPS que ele envia.

# USANDO CHARLES PROXY (Windows/Mac/Linux)

1. Instale Charles Proxy (gratuito, 30 dias)
2. Configure seu telefone para rotear tráfego através de Charles
3. Abra seu app de desconto
4. Em Charles, você verá TODOS os requests:

POST /api/analytics/user-profile
POST /api/poaching/detect-competitor-offer
POST /api/location/update
POST /api/notification/intercepted
GET /api/user-financial-score

5. Clique em cada request para ver o CORPO completo
6. Você verá seus dados sendo enviados

Políticas de Privacidade vs Realidade: o que dizem (e o que fazem)?

O Que a Política Diz	Interpretação Legal	O que Realmente Faz	Exemplo Real
“Coletamos notificações para melhorar serviço”	Vago o suficiente para cobrir qualquer coleta de notificação	Lê TODAS notificações, não apenas do app	Lê notificações de bancos concorrentes
“Dados são usados para personalização”	Branco demais para ser accountability	Vende dados para terceiros	Vende perfil financeiro para fintechs
“SMS é lido apenas para validação de cupons”	Técnicamente correto, mas enganoso	Lê SMS antes de validação, acessa conteúdo completo	Extrai tokens 2FA de bancos
“Não vendemos dados pessoais”	“Pessoais” é termo não-definido	Vende perfil, não identidade (loophole legal)	“Vendemos dados de gasto, não nome”
“Você pode desabilitar permissões”	Legalmente correto	App continua funcionando, mas com degradação	App bloqueia recursos “premium” se negar perms

Identificar apps suspeitos: sinais de alerta

15 sinais de que seu app de desconto é suspeito:

1. Pede Permissão de Câmera para “Ler Código de Barras”:
Códigos de barras podem ser lidos sem acesso permanente. Se pede isto, é para outra coisa.

2. Pede Acesso a Notificações + SMS:
Desconto legítimo não precisa de ambos. Isto é combinação de vigilância total.

3. Ativa Accessibility Service:
Isto NÃO deveria estar ativado para nenhum app de desconto. Isto é hack de vigilância total.

4. Solicita Permissão de Microfone:
Nenhum app de desconto precisa de microfone. Isto é para gravação de áudio ambiente.

5. Envia Dados para Servidores Fora do Brasil:
Se seu app envia dados para servidores em Singapore, China, ou Rússia, é red flag.

6. Usa VPN Embutida:
Alguns apps usam VPN para esconder tráfego de rede. Isto é para ocultar o que estão enviando.

7. Pede Que Desabilite Antivírus:
Legítimo nunca pede isto. Se pede, há algo de errado.

8. Funciona Melhor Com “Admin Device”:
Isto é modo de superusuário. App de desconto legítimo não precisa disto.

9. Tamanho de App Muito Grande (>500MB):
App de cupons não deveria pesar mais de 50-100MB. Se pesa 500MB+, há código oculto.

10. Consome Muita Bateria/Dados (mesmo quando não está usando):
Indica processamento em background contínuo. Provavelmente rastreando você.

11. Não Tem Botão de Logout Real:
Se não consegue deslogar completamente, app está sempre ativo.

12. Rating Baixo (2.5 stars) com Críticas Sobre Privacidade:
Centenas de reviews dizendo “rouba dados” é sinal claro.

13. Versão do App Muda Frequentemente (3-4x por semana):
Atualizações frequentes podem ser para contornar detecção de tracker.

14. Pede Que Você “Confirme Identidade” com Documentos:
Se pede foto de RG, CPF, ou comprovante de residência, é coleta de biometria. Risco máximo.

15. Popup que Diz “Atualize Dados Financeiros” (sem motivo aparente):
Isto é tentativa de fazer você digitar informações sensíveis que serão capturadas.

Proteção: o que você pode fazer agora?

Tática 1: Limitar Permissões no Nível de Sistema

Para CADA permissão perigosa:
1. Vá em Configurações → Aplicativos → [App] → Permissões
2. Para cada permissão vermelha (câmera, microfone, notificações, SMS):
3. Selecione “Só enquanto usa o app” OU “Negar sempre”
4. App pode ficar com funcionalidade limitada, mas você está protegido

Tática 2: Usar App Sandboxed (Isolado)

Ferramentas como Shelter (Android) permitem criar clone de app em “caixa de areia”
O clone não pode acessar seus dados reais, mesmo se tiver permissões

Tática 3: Monitorar Tráfego de Rede

Use AppOps (nativo do Android) para ver quais apps acessaram Internet nos últimos 24h
Se um app de desconto que você não usa constantemente aparece, é suspeito

Tática 4: Usar App de Desconto Legítimo

Apps feitos por varejistas grandes (Mercado Livre, Amazon) são mais seguros que apps independentes
Grandes empresas têm reputação a perder com espionagem

Tática 5: Desinstalar App Completamente

A melhor proteção é não instalar. Use website mobile em vez de app quando possível
Websites não podem acessar notificações, SMS, ou câmera (mesmo com permissão)

Por que apps de desconto são tão “generosos”?

O Modelo de Negócio Real (Não é Sobre Cupons):

Teoria Popular: “App de desconto ganha comissão de varejistas quando você compra”
Verdade: Sim, mas isto é apenas 20% da receita.

Fontes Reais de Receita:
1. Comissão de varejistas (20%) – legítimo
2. Venda de dados financeiros (50%) – é isto que você está pagando
3. Poaching de ofertas (20%) – receita de oferta rival
4. Empréstimos/Crédito ofertados via app (10%) – lucro alto

Quando você “economiza R$ 50”:
Você na verdade:
✗ Permite que dados valendo R$ 200 sejam coletados
✗ Tem seu comportamento vendido para 3 fintechs
✗ Recebe 5 ofertas de crédito porque seu perfil foi identificado como “elegível”
✗ Seu IMEI é rastreado para publicidade direcionada

Economizou R$ 50, perdeu R$ 500+ em valor de dados.

Conclusão: seu telefone é câmara de vigilância pessoal

O que foi revelado: Apps de desconto que você instala casualmente estão executando vigilância industrial de nível sofisticado. Eles não apenas leem notificações de bancos—eles interceptam em tempo real (0.35 segundos) e enviam contra-ofertas antes de você ter tempo de pensar. Combinam isto com extração de SMS, leitura de contatos, rastreamento de GPS, e captura de tráfego de rede. Um único app pode ganhar R$ 433 milhões por ano apenas com poaching de ofertas de bancos. Isto é legal porque Políticas de Privacidade são tão vagas que cobrem qualquer coisa.

As permissões que abrem portas: Você clica “Permitir Tudo” durante instalação sem ler. Isto dá ao app acesso a 13+ tipos de dados sensíveis: notificações, SMS, contatos, câmera, microfone, GPS, histórico de chamadas, calendário. Uma vez dado acesso, o app não precisa pedir de novo. Accessibility Service é o pior—permite vigilância total de tudo que você faz no telefone.

O modelo de Poaching: Você recebe oferta do seu banco (2% cashback). App de desconto intercepta isto em 0.1 segundos. Seu servidor analisa seu histórico de gastos em 0.1 segundos. Envia contra-oferta (2.5% cashback) em 0.1 segundos. Você vê ambas em 0.35 segundos e pensa que descobriu oferta melhor. Não descobriu—uma máquina descobriu por você, e extraiu seu perfil financeiro no processo.

O data outbound real: Cada vez que você abre o app, uma solicitação é enviada para servidores dos desenvolvedores contendo: seu IMEI, número de telefone, endereço MAC, gasto mensal estimado, nomes de bancos que você usa, últimos 4 dígitos de cartões, histórico de notificações, hash de contatos, coordenadas GPS. Isto é “perfil financeiro completo” que é vendido para fintechs, corretoras de crédito, e fraudadores.

Por que é legal: Não há lei específica sobre poaching de ofertas. Leis de privacidade exigem “consentimento”, mas você clicou “Permitir” na tela de permissões (mesmo que não tenha lido). Apps podem vender “dados agregados” sem dizer que você está sendo rastreado. Políticas de Privacidade usam linguagem vaga o suficiente para cobrir qualquer atividade. Google Play Store não audita o que apps REALMENTE fazem—apenas verifica se código é malware óbvio.

Como se proteger: 

(1) Negue permissões de câmera, microfone, notificações, SMS para apps de desconto.

(2) Use Exodus Privacy para auditar trackers.

(3) Use Charles Proxy para capturar tráfego de rede e ver para onde dados estão indo.

(4) Desabilite Accessibility Service (revise periodicamente em Configurações).

(5) Considere usar website mobile em vez de app.

(6) Deleta apps depois de usar (não deixe instalado sempre).

O Custo Real de um “Desconto”: Quando você economiza R$ 50 com cupom, você na verdade: permitiu acesso a notificações (e todos os dados dentro), SMS, contatos, câmera, GPS, histórico de chamadas. Este “pacote de permissões” é vendido por R$ 200-500 no mercado negro de dados. Você ganhou R$ 50, perdeu acesso a R$ 500 em valor privado. Não é bom negócio.

O Futuro Desta Tática: Conforme regulação (LGPD no Brasil, GDPR na Europa) endurece, apps mudarão de tática. Em vez de pedir permissões diretas, usarão VPNs embutidas, rastreamento cross-device, fingerprinting de navegador. A guerra entre privacidade e vigilância está apenas começando. Estar consciente é seu primeiro passo de defesa.