Permissões perigosas: o acesso que você nunca deve dar

Aquele “Permitir” que você toca no automático pode entregar o controle do seu celular — e da sua conta no banco — a um golpista. Veja quais permissões nunca conceder e por quê.

Segurança – Leitura de 9 min – Atualizado em junho de 2026

---

Toda permissão é uma porta: a regra de ouro

Toda vez que um app pede acesso a algo — câmera, contatos, localização — ele está abrindo uma porta para dentro do seu celular. A maioria dos pedidos é legítima. O problema é o piloto automático: a gente toca “Permitir” sem ler, e é exatamente nesse reflexo que os golpistas apostam.

Existe uma regra simples que resolve quase tudo, e ela cabe numa pergunta: “por que este app precisa disto?”. Um app de banco precisar da câmera para ler um QR Code faz sentido. Uma lanterna pedir acesso aos seus contatos, não faz nenhum. Quando a resposta não é óbvia, desconfie — e negue.

A mais perigosa de todas: a Acessibilidade

De todas as permissões do Android, uma se destaca como a favorita dos criminosos: a Acessibilidade. Ela foi criada com uma intenção nobre — ajudar pessoas com deficiência visual, lendo a tela em voz alta e executando ações no lugar do usuário. Para isso, ela ganha poderes enormes. E poder demais nas mãos erradas é desastre.

O que um app com Acessibilidade pode fazer

Ele praticamente vira você dentro do celular

👁Vê tudo o que está na tela — inclusive senhas e saldos exibidos.

☝Simula toques e gestos — clica, digita e navega sozinho, como se fosse o seu dedo.

⌨Intercepta o que você digita — captura login e senha enquanto você os escreve.

✓Aprova os próprios pedidos — consegue confirmar janelas e autorizações sem você.

Como isso vira o “Golpe da Mão Fantasma”

Junte esses quatro poderes e você tem o motor dos trojans bancários no Brasil. No chamado Golpe da Mão Fantasma, o criminoso usa a Acessibilidade para ver e controlar o seu celular em tempo real: ele abre o app do banco, preenche uma transferência e confirma — sozinho, enquanto você assiste à tela se mexendo “sem ninguém tocar”. É o golpe que controla seu celular à distância e esvazia a conta em minutos.

O disfarce é o de sempre: o trojan se passa por um app inocente. Já houve casos de um malware (o Anatsa) que chegou disfarçado de “atualização de leitor de PDF” na própria Play Store. Por isso a Acessibilidade nunca deve ser concedida a um app que você não reconhece de cabo a rabo.

Se o celular agir sozinho

Tela se mexendo, app do banco abrindo sem você, cursor andando: pode ser a Mão Fantasma em ação. Corte a internet na hora — ative o modo avião ou desligue o Wi‑Fi e os dados. Sem conexão, o controle remoto cai. Depois, desinstale o app suspeito e contate o banco.

Como revisar a Acessibilidade agora

1. Abra a lista de apps com Acessibilidade
   Vá em Configurações → Acessibilidade e role até a seção de apps instalados (o nome exato varia por fabricante).
2. Desligue para qualquer app que não precise
   Leitores de tela e alguns recursos legítimos (até antivírus) usam isso. Mas se há ali um app que você não reconhece, ou que não tem motivo para esse poder, desative na hora.
3. Na dúvida, desative e veja se faz falta
   Tirar a permissão não desinstala o app. Se algo legítimo parar de funcionar, você reativa — mas raramente fará falta.

Os outros “acessos especiais” perigosos

Fora da Acessibilidade, há outros poderes fortes que pedem o mesmo cuidado redobrado:

• Instalar apps de fontes desconhecidas: permite baixar e instalar fora da loja oficial. É a porta de entrada da maioria dos malwares — só libere se souber exatamente o que está fazendo.
• Sobrepor outros apps (overlay): deixa o app desenhar por cima de outros. Golpistas usam para criar uma tela falsa do banco sobre a verdadeira e capturar sua senha.
• Administrador do dispositivo: dá controle profundo, como bloquear a tela ou apagar dados. Malwares pedem isso para dificultar a própria remoção.

As permissões do dia a dia que pedem atenção

Estas são comuns e muitas vezes necessárias — o ponto é liberar só quando faz sentido para aquele app:

SMS

Permite ler suas mensagens — inclusive os códigos de verificação do banco. Pouquíssimos apps precisam; é uma das mais sensíveis.

Contatos

Envia sua agenda inteira para o app. Útil em mensageiros, suspeito numa lanterna ou num joguinho.

Localização

Mostra onde você está e por onde anda. Prefira “só ao usar o app” em vez de “sempre”.

Microfone e Câmera

Podem ouvir e ver o ambiente. Libere apenas para apps de chamada, foto ou gravação — e revise de tempos em tempos.

Arquivos e mídia

Acessa fotos e documentos guardados. Conceda só ao que realmente precisa abrir ou salvar arquivos.

Vale a pena ver quais apps usam seu microfone e câmera e, no geral, controlar tudo o que os apps sabem de você.

Como se proteger (sem paranoia)

O objetivo não é viver com medo do celular — é criar bons hábitos. Com estes, o risco despenca:

• Instale só de lojas oficiais (Play Store, App Store). Não é 100% à prova de falha, mas é muito mais seguro que baixar APK de sites.
• Mantenha o Google Play Protect ligado — ele varre os apps em busca de comportamento malicioso. As “configurações restritas” do Android recente também bloqueiam a Acessibilidade para apps baixados de fora.
• Revise as permissões de vez em quando no Gerenciador de permissões e tire o que não faz sentido.
• Desconfie de quem pede Acessibilidade. Se um app simples insiste nessa permissão, é bandeira vermelha.

Uma nota sobre o iPhone: o risco aqui é bem menor, porque o iOS é mais fechado e não permite instalar apps de fora da loja por padrão. Não é imunidade total, mas o vetor da Mão Fantasma praticamente não existe lá.

Perguntas frequentes

Qual é a permissão mais perigosa?

A de Acessibilidade. Ela permite que um app veja a tela, simule toques, capture o que você digita e aprove pedidos sozinho — o conjunto exato que os trojans bancários exploram.

O app do banco “funcionando sozinho” é golpe?

Pode ser o Golpe da Mão Fantasma. Se a tela se mexe sem você, corte a internet imediatamente (modo avião), desinstale o app suspeito e ligue para o banco.

Posso negar a permissão e o app ainda funciona?

Na maioria das vezes, sim. Muitos apps funcionam bem sem os acessos que pedem; libere só na hora em que o recurso for de fato necessário.

Loja oficial é 100% segura?

Não totalmente — malwares já driblaram a triagem —, mas é muito mais segura que instalar de sites de terceiros. Combine com o Play Protect ligado.

O iPhone tem o mesmo risco?

Bem menor. O sistema é mais fechado e não permite instalação fora da App Store por padrão, o que fecha a principal porta usada por esses golpes no Android.