Compartilhe:
Uma ligação aparece na tela com o número oficial do banco. O suposto atendente conhece seu nome, menciona uma compra suspeita e pede uma ação urgente para “proteger” a conta. Durante anos, conferir o número exibido parecia uma precaução razoável. Hoje, já não basta: criminosos conseguem mascarar a origem da chamada e fazer um contato fraudulento parecer legítimo.
É justamente nessa etapa que o Android começou a agir de forma mais direta. No Brasil, celulares com Android 11 ou superior e um aplicativo do Itaú instalado já podem bloquear automaticamente determinadas chamadas que falsificam números oficiais do banco. O Google também anunciou o Nubank entre os parceiros iniciais de sua tecnologia de chamadas financeiras verificadas, enquanto o próprio aplicativo do Nubank oferece uma confirmação para contatos legítimos. Paralelamente, o Android 17 adiciona barreiras contra códigos roubados, aplicativos maliciosos, abuso de permissões e acesso ao aparelho após furto.
Porém, há uma diferença importante entre ajudar a interromper um golpe e tornar o celular invulnerável. O sistema não entende todas as intenções de um criminoso, não desfaz um Pix confirmado pelo usuário e não bloqueia qualquer número desconhecido. A proteção funciona em camadas e depende do aparelho, da versão do sistema, dos aplicativos instalados, do banco participante e do tipo de ataque.
Em resumo: alguns aparelhos Android já conseguem encerrar ou bloquear chamadas que falsificam números bancários cadastrados. Essa proteção não é exclusiva do Android 17 e não elimina todos os golpes do Pix. O Android 17 reforça outras partes da defesa, mas a regra mais segura continua sendo interromper o contato e verificar a situação diretamente no aplicativo oficial do banco.
O Android 17 bloqueia golpes bancários antes que você caia?
A resposta curta é: ele consegue dificultar diferentes etapas de uma fraude, mas não bloqueia todo golpe bancário. Além disso, o recurso mais chamativo — o encerramento de ligações que imitam números de instituições financeiras — também chega a versões anteriores do sistema.
Em maio de 2026, o Google apresentou as chamadas financeiras verificadas. Quando uma ligação aparenta vir de um banco participante, o Android consulta o aplicativo da instituição para confirmar se ela realmente está telefonando. Se o app informar que nenhuma chamada está em andamento, o sistema pode encerrá-la. O banco também pode cadastrar números que existem apenas para receber contatos; se um deles aparecer como origem de uma ligação, o Android sabe que há uma inconsistência.
Segundo o anúncio oficial do Google sobre segurança no Android em 2026, a distribuição começou em aparelhos com Android 11 ou superior, inicialmente com Revolut, Itaú e Nubank. Portanto, atribuir toda essa novidade exclusivamente ao Android 17 seria impreciso.
O bloqueio automático já funciona no Itaú
O Itaú confirmou que a proteção começou em formato piloto em 12 de maio e passou a ser disponibilizada para celulares com Android 11 ou superior que tenham um dos seus aplicativos instalado. Segundo a explicação publicada pelo próprio banco, não é necessário ativar uma configuração: a verificação acontece em segundo plano.
Uma parte do mecanismo usa a lista de números oficiais do Itaú destinados somente a receber ligações de clientes. Esses canais não deveriam originar chamadas. Quando um fraudador usa call spoofing para imitar um deles, a ligação pode ser classificada como suspeita e bloqueada antes de o telefone tocar. O registro ainda pode aparecer no histórico de chamadas.
Essa proteção é relevante porque interrompe o golpe antes do contato humano. Sem conversa, o criminoso perde a oportunidade de criar urgência, conquistar confiança e induzir a vítima a informar uma senha ou fazer um Pix. Ainda assim, ela cobre números e situações compatíveis com o sistema de verificação; não significa que qualquer ligação fraudulenta será reconhecida.
Qual é o papel do Nubank nessa proteção?
O Google incluiu o Nubank entre os participantes iniciais das chamadas financeiras verificadas, mas a disponibilidade pode variar conforme aparelho, versão dos serviços do sistema e implantação do parceiro. Por isso, o usuário não deve presumir que toda ligação falsa usando o nome do Nubank será automaticamente encerrada.
O Nubank também oferece a Chamada Verificada dentro do próprio aplicativo. Quando uma ligação legítima é feita pelo banco ou por uma empresa parceira, o cliente pode abrir o app e conferir dados como protocolo, empresa responsável, data e horário. De acordo com a orientação oficial do Nubank sobre falsa central, não é preciso ativar o recurso.
O ponto essencial é diferenciar os mecanismos. Uma chamada verificada comprova que um contato é legítimo. Já o bloqueio do Android tenta impedir uma ligação incompatível com os dados do banco. Ambos reduzem o risco, mas nenhum autoriza o usuário a compartilhar senha, código de segurança ou controle remoto do aparelho.
Como a ligação falsa de banco consegue parecer verdadeira
O golpe da falsa central combina tecnologia e manipulação. A parte técnica pode envolver call spoofing, método usado para alterar a identificação apresentada na tela. Assim, o número parece pertencer a um banco mesmo quando a chamada veio de outra origem.
Depois entra a engenharia social. O criminoso usa informações vazadas ou obtidas publicamente, fala com segurança e apresenta uma história que exige resposta imediata. É comum mencionar compra não reconhecida, invasão da conta, empréstimo, atualização do aplicativo ou Pix suspeito. Em seguida, ele pede que a vítima “cancele” a operação, transfira o saldo para uma “conta segura”, leia um código, instale um aplicativo ou permita acesso à tela.
O número correto na tela não prova que o banco está ligando
O identificador de chamadas informa o número apresentado pela rede; ele não deve ser tratado como prova absoluta de identidade. É por isso que a verificação entre o Android e o aplicativo da instituição financeira representa uma mudança importante: o sistema passa a consultar uma segunda fonte, em vez de confiar somente no número exibido.
Mesmo assim, criminosos podem usar números diferentes, WhatsApp, SMS, e-mail, anúncios falsos e perfis em redes sociais. Também podem convencer a própria vítima a ligar para uma central fraudulenta divulgada em uma mensagem. A barreira técnica resolve uma parte do problema, não todo o ecossistema da fraude.
O golpe funciona porque transforma medo em ação
Um falso atendente não precisa invadir o banco se conseguir convencer o cliente a autorizar a operação. Esse é o centro do golpe do Pix por engenharia social. A transferência é feita dentro do aplicativo verdadeiro, com senha ou biometria da própria vítima, mas o destino foi escolhido pelo criminoso.
Por isso, frases como “faça um Pix para cancelar outro Pix”, “transfira para uma conta de segurança”, “instale este aplicativo de proteção” ou “informe o código recebido por SMS” devem encerrar a conversa imediatamente. O Itaú alerta que não orienta transferências para uma suposta conta segura nem procedimentos para cancelar transações. O Nubank, por sua vez, afirma que não liga para confirmar transações suspeitas no cartão e não pede Pix, instalação de app, reconhecimento facial ou código de segurança para anular uma operação.
O que o Android 17 acrescenta à segurança contra fraudes
Embora o bloqueio bancário possa funcionar desde o Android 11, a segurança do Android 17 cria obstáculos adicionais ao redor da fraude. Essas medidas atacam caminhos usados por malware bancário, aplicativos falsos e ladrões de celular.
Códigos OTP ficam menos expostos a aplicativos
Códigos de uso único enviados por SMS são alvos valiosos. Um aplicativo malicioso com acesso indevido às mensagens pode tentar capturá-los antes que a vítima perceba. No Android 17, o acesso a mensagens que contêm códigos OTP passa a ser atrasado por três horas para a maioria dos aplicativos que não deveria recebê-los imediatamente.
O anúncio de lançamento do Android 17 explica que há regras diferentes para mensagens no formato WebOTP e para SMS padrão, além de exceções para aplicativos prioritários, como o mensageiro padrão e soluções que usam APIs apropriadas. Na prática, a mudança reduz a janela de oportunidade para apps abusivos, mas não impede que o próprio usuário entregue um código ao golpista durante uma ligação.
Detecção de ameaças passa a observar comportamentos suspeitos
Um aplicativo perigoso nem sempre parece malicioso no momento da instalação. Ele pode esconder o ícone, abrir em segundo plano, encaminhar SMS ou abusar do serviço de acessibilidade para sobrepor telas e induzir toques.
O Google anunciou monitoramento dinâmico desses sinais para aparelhos Android 17 compatíveis, com distribuição das proteções ao longo do segundo semestre de 2026. A detecção ao vivo analisa interações do app com o sistema e pode avisar quando encontra padrões associados a abuso. A disponibilidade, contudo, depende do dispositivo e da implantação dos serviços do Google.
Essa camada é especialmente útil contra o chamado golpe da “mão fantasma”, no qual o criminoso convence a vítima a instalar uma ferramenta que permite acesso remoto ou manipulação da interface. Ela não substitui o cuidado na instalação: nenhum atendente legítimo deve exigir que o cliente baixe um app de suporte para resolver uma suposta fraude bancária.
Advanced Protection reduz a superfície de ataque
O Android Advanced Protection Mode reúne configurações mais rígidas em uma única opção. De acordo com a documentação oficial de recursos do Android 17, o modo pode bloquear instalações de fontes desconhecidas, restringir transferência de dados por USB e exigir verificações do Google Play Protect.
No Android 17, o Google também anunciou restrições adicionais ao uso do serviço de acessibilidade por aplicativos que não são classificados como ferramentas de acessibilidade. Esse serviço é legítimo e essencial para muitas pessoas, mas também pode ser explorado por malware para ler a tela, pressionar botões ou sobrepor interfaces. Restringir o abuso sem prejudicar recursos assistivos é uma parte crítica da defesa.
Roubo de celular passa a exigir barreiras mais fortes
Golpes bancários nem sempre começam por mensagem. Um aparelho roubado e desbloqueado pode expor e-mail, SMS, aplicativos financeiros e sessões autenticadas. No Android 17, o recurso “Marcar como perdido” pode exigir biometria para reabrir o aparelho, além do PIN ou da senha, em dispositivos compatíveis. O sistema também endurece as tentativas repetidas de adivinhar o código de desbloqueio.
O Google informou que proteções como Bloqueio Remoto e Bloqueio por Detecção de Roubo passam a vir ativadas por padrão em novos aparelhos com Android 17, após um piloto realizado no Brasil. A disponibilidade final pode variar conforme fabricante e modelo. Portanto, vale conferir manualmente as opções de proteção contra roubo nas configurações do celular e no serviço de localização do dispositivo.
O que realmente importa para se proteger agora
Não é necessário esperar o Android 17 para adotar uma defesa eficiente. A maior parte da prevenção depende de interromper o roteiro do golpista antes de entregar informação, instalar algo ou confirmar uma transferência.
Durante uma ligação suspeita
Desligue se o interlocutor pedir senha, código, Pix, QR Code, empréstimo, compartilhamento de tela ou instalação de aplicativo. Não discuta e não use um número informado pela própria pessoa. Abra manualmente o aplicativo oficial do banco e procure o chat, a área de segurança ou os contatos cadastrados. Se possível, use outro telefone para fazer a verificação.
Também não confie apenas nos dados que o atendente conhece. Nome, CPF parcial, endereço, banco utilizado e até informações sobre compras podem ter origem em vazamentos, redes sociais ou outras fraudes. Conhecer seus dados não prova que a pessoa trabalha para a instituição.
No Android, revise estas configurações
Mantenha o sistema, os aplicativos bancários, o Phone by Google, o Google Messages e os Serviços do Google Play atualizados. Verifique se o Google Play Protect está ativo e evite instalar arquivos APK recebidos por mensagem. Em seguida, revise permissões sensíveis, principalmente:
- serviço de acessibilidade;
- acesso às notificações;
- instalação de aplicativos desconhecidos;
- administração do dispositivo;
- leitura de SMS;
- exibição sobre outros aplicativos;
- compartilhamento ou gravação de tela.
Se um app desconhecido tiver uma dessas permissões, remova o acesso e investigue sua origem. Aplicativos de acesso remoto também merecem atenção: podem ser legítimos no trabalho ou no suporte técnico, mas jamais devem ser instalados por ordem de alguém que ligou alegando uma emergência bancária.
No banco, diminua o impacto de uma possível fraude
Ative biometria e autenticação adicional quando disponíveis, use senha exclusiva para o e-mail associado à conta e configure limites de Pix compatíveis com sua rotina. Limites menores no período noturno e alertas de transação podem reduzir o prejuízo potencial.
Não guarde senhas em blocos de notas desprotegidos nem compartilhe códigos recebidos por SMS. Um código de autenticação serve para confirmar uma ação iniciada por você; ele não deve ser ditado a quem fez uma ligação inesperada.
Cliquei em um link ou instalei um aplicativo suspeito: o que fazer?
Interrompa o contato e não forneça mais dados. Se você instalou um app, concedeu acesso remoto ou percebe comandos estranhos na tela, desconecte o aparelho da internet e use outro dispositivo confiável para falar imediatamente com o banco. Informe exatamente o que ocorreu, peça o bloqueio preventivo necessário e verifique transações, empréstimos, cartões e dispositivos conectados.
Em um equipamento limpo, altere primeiro as senhas do e-mail principal, da Conta Google e dos serviços financeiros afetados. Remova sessões e dispositivos desconhecidos. Guarde capturas de tela, números, horários, comprovantes e mensagens. Dependendo do nível de comprometimento, pode ser necessário restaurar o celular para as configurações de fábrica após preservar as evidências e confirmar que você consegue recuperar suas contas.
Se houve um Pix, acione o banco e o MED rapidamente
O primeiro passo é entrar em contato com a instituição financeira pelos canais oficiais e pedir a contestação da transferência. O Banco Central orienta que o pedido pelo Mecanismo Especial de Devolução pode ser registrado em até 80 dias nos casos de fraude, golpe ou crime. Entretanto, agir imediatamente aumenta a chance de ainda existirem recursos na conta recebedora.
O MED não é uma garantia de reembolso. A instituição analisa o caso e a devolução depende, entre outros fatores, da confirmação da fraude e da disponibilidade de saldo. Registre também um boletim de ocorrência e envie ao banco as evidências solicitadas. Não pague terceiros que prometem recuperar o dinheiro e não faça nova transferência sob a justificativa de liberar o valor anterior.
Perguntas frequentes
O Android 17 bloqueia o golpe do Pix?
Não de forma absoluta. O Android 17 dificulta roubo de códigos, abuso de permissões, instalação de apps perigosos e acesso após furto. O sistema também participa de camadas que verificam chamadas bancárias. Porém, se o usuário autorizar voluntariamente um Pix para o criminoso, o Android pode não impedir a transferência. Alertas do banco e limites de operação ajudam, mas atenção e verificação continuam indispensáveis.
Como saber se uma ligação do banco é falsa?
Considere suspeita qualquer ligação inesperada que crie urgência e peça senha, código, transferência, QR Code, instalação de app ou compartilhamento de tela. Mesmo que o número pareça oficial, desligue e abra o aplicativo do banco por conta própria. Quando houver chamada verificada, confirme os dados dentro do app, sem usar links enviados pelo interlocutor.
Aplicativos falsos conseguem roubar dados bancários?
Sim. Um app malicioso pode tentar capturar notificações e SMS, exibir telas falsas, abusar da acessibilidade ou obter controle remoto. Instale aplicativos somente de fontes confiáveis, mantenha o Play Protect ativo e revise permissões sensíveis. Mesmo na loja oficial, confira desenvolvedor, avaliações, número de instalações e coerência das permissões solicitadas.
O bloqueio de chamadas bancárias funciona apenas no Android 17?
Não. O recurso de chamadas financeiras verificadas foi anunciado para Android 11 ou superior em parceria com instituições participantes. O Itaú confirmou sua disponibilidade em aparelhos compatíveis com o app instalado. O Android 17 adiciona outras proteções, mas não é requisito para toda verificação bancária.
Preciso ativar o bloqueio do Itaú no Android?
Segundo o Itaú, não. Em aparelhos com Android 11 ou superior e um aplicativo do banco instalado, a proteção compatível funciona automaticamente em segundo plano. Isso não significa que todas as chamadas fraudulentas serão bloqueadas; ligações que usam outros números ou canais ainda podem chegar ao usuário.
Como funciona a Chamada Verificada do Nubank?
Quando o Nubank ou uma empresa parceira faz um contato legítimo, o cliente pode abrir o aplicativo e conferir protocolo, empresa responsável, data e horário da ligação. O recurso não exige ativação manual. Se a confirmação não aparecer ou se houver pedido de senha, Pix, código ou instalação de app, encerre o contato.
O que fazer se cliquei em um link suspeito?
Não preencha dados nem instale arquivos. Feche a página, faça uma verificação de segurança e revise os aplicativos recentes. Se você informou credenciais, altere-as em um dispositivo confiável. Caso tenha fornecido dados bancários, códigos ou autorizado acesso remoto, contate o banco imediatamente pelos canais oficiais.
Conclusão: o celular virou uma barreira, não um substituto para sua atenção
O bloqueio de ligações falsas de banco no Android representa uma evolução concreta. A parceria entre Google e instituições financeiras permite confrontar o número apresentado com informações fornecidas pelo aplicativo do banco. Em casos compatíveis, o golpe pode ser interrompido antes mesmo de o telefone tocar.
Ao mesmo tempo, o Android 17 fecha outras portas usadas por criminosos: reduz o acesso indevido a códigos OTP, monitora comportamentos suspeitos de aplicativos, reforça o Advanced Protection e torna o acesso a celulares roubados mais difícil. É uma arquitetura de defesa em camadas, não um botão mágico contra fraude.
A melhor proteção combina sistema atualizado, aplicativo bancário oficial, permissões restritas, limites financeiros e uma regra simples: nenhuma urgência apresentada por telefone merece uma transferência imediata. Desligue, respire e confira pelo canal que você mesmo abriu.
Atualize o Android e seus aplicativos, confirme se o Play Protect está ativo, revise as permissões sensíveis e compartilhe este guia com familiares. Uma conversa de cinco minutos pode evitar que uma ligação convincente se transforme em prejuízo real.
Fontes primárias consultadas
- Google: novidades de segurança e privacidade do Android em 2026
- Android Developers: recursos e APIs do Android 17
- Android Developers Blog: lançamento do Android 17
- Google: expansão das proteções contra golpes no Android
- Itaú: barreira contra ligações fraudulentas no Android
- Nubank: golpe da falsa central e Chamada Verificada
- Banco Central: funcionamento do Mecanismo Especial de Devolução
