Criminosos estão usando o Google Firebase para aplicar golpes bancários, distribuir aplicativos maliciosos e armazenar dados roubados de celulares. O problema levou autoridades da Índia a ordenar a remoção de dezenas de sites e bancos de dados hospedados na plataforma somente em agosto.
O Centro Indiano de Coordenação de Crimes Cibernéticos (I4C) identificou um padrão no qual fraudadores aproveitam a infraestrutura legítima do Firebase para imitar bancos, oferecer falsos benefícios e convencer usuários de Android a instalar malware.
Ao menos 57 sites e bancos de dados hospedados no Firebase receberam ordens de remoção em agosto, segundo documentos analisados pela Reuters. Uma fonte também afirmou que o governo enviou dezenas de notificações ao Google nos últimos meses envolvendo centenas de contas. (reuters.com)
O caso não indica participação do Google nos golpes. Pelo contrário, a empresa afirma que proíbe phishing, malware e fraudes financeiras e trabalha com autoridades para analisar e remover conteúdos maliciosos.
Como funcionam os golpes no Google Firebase
O Firebase é uma plataforma do Google usada por desenvolvedores para criar aplicativos, hospedar páginas e armazenar dados. Milhões de aplicações utilizam seus serviços legítimos ao redor do mundo.
No entanto, criminosos perceberam que também poderiam aproveitar essa infraestrutura para sustentar campanhas fraudulentas.
Segundo as autoridades indianas, alguns golpistas criavam páginas que imitavam grandes bancos e promoviam falsas ofertas de cartões de crédito, aumento de limite ou resgate de recompensas.
Em seguida, a vítima recebia uma orientação para instalar um aplicativo aparentemente legítimo no Android.
Depois da instalação, o malware coletava informações do aparelho e enviava os dados para bancos hospedados no Firebase controlados pelos criminosos. Entre as informações buscadas estavam dados de cartões de crédito e senhas temporárias de uso único, conhecidas como OTPs. (reuters.com)
Portanto, o Firebase não precisava hospedar todo o golpe. Em alguns casos, ele funcionava como infraestrutura para páginas falsas ou como destino dos dados que o malware roubava.
Páginas falsas imitavam grandes bancos
Dos 57 sites e bancos de dados que apareceram nas três notificações analisadas pela Reuters, sete eram páginas de phishing construídas com Firebase e imitavam algumas das maiores instituições financeiras da Índia.
Entre elas estavam State Bank of India, ICICI Bank e Axis Bank.
Os outros endereços teriam recebido informações extraídas dos celulares das vítimas.
Esse modelo mostra como o phishing deixou de depender apenas de domínios estranhos e páginas visualmente precárias. Atualmente, criminosos conseguem construir interfaces convincentes e utilizar serviços de empresas conhecidas para dar uma aparência de legitimidade à operação.
A APIBrasil já mostrou como golpes de phishing conseguem imitar páginas e comunicações legítimas, inclusive com sites bem produzidos e mensagens direcionadas. O endereço ou a aparência profissional de uma página, portanto, não garantem que o conteúdo seja confiável.
Golpistas também usaram benefício do governo como isca
Uma das campanhas investigadas explorava o PM-KISAN, programa do governo indiano que transfere recursos periodicamente para pequenos agricultores.
Sites fraudulentos prometiam ajudar beneficiários a receber o pagamento e orientavam as vítimas a instalar um aplicativo.
A partir daí, o programa malicioso enviava dados do celular para uma base controlada pelos criminosos no Firebase. Segundo as autoridades, esse tipo de malware pode obter acesso amplo ao dispositivo e a outros aplicativos instalados.
Pesquisadores de segurança chamam algumas dessas ameaças de “Android God Mode”, expressão usada para descrever malware capaz de obter um nível muito elevado de controle sobre o aparelho.
Assim, uma campanha que começa com uma falsa promessa de benefício pode terminar com acesso a informações financeiras e credenciais usadas em outros aplicativos.
Por que criminosos escolheram o Firebase
Segundo a avaliação do governo indiano citada pela Reuters, grupos criminosos começaram a migrar de outras ferramentas gratuitas para o Firebase desde o ano passado.
Entre os atrativos estão os recursos gratuitos e as funcionalidades de banco de dados oferecidas pela plataforma.
Além disso, usar a infraestrutura de uma grande empresa pode dificultar a percepção inicial do golpe. Um usuário pode desconfiar menos de um endereço associado a um serviço conhecido do que de um domínio recém-criado e sem histórico.
No entanto, esse problema não significa que serviços de nuvem sejam inseguros por natureza. Ele mostra como plataformas legítimas também podem sofrer abuso.
Esse desafio aparece em diferentes áreas da computação em nuvem. Recentemente, por exemplo, uma falha no Azure Cosmos DB mostrou os riscos associados a serviços compartilhados de cloud, embora naquele caso o problema envolvesse uma vulnerabilidade técnica da própria infraestrutura, e não o uso criminoso de contas legítimas.
A diferença importa: no caso do Firebase, as informações disponíveis apontam para abuso da plataforma por fraudadores, e não para uma falha de segurança que permitiu invadir clientes do Google.
Google precisa remover conteúdos após notificações
A legislação indiana estabelece prazos para que plataformas atuem após receber determinadas notificações governamentais.
Nos casos analisados, o Google poderia enfrentar responsabilidade pelos links identificados caso não realizasse a remoção dentro de três horas após a notificação, segundo a Reuters.
A empresa afirmou que possui políticas rígidas contra phishing, malware e fraudes financeiras. Além disso, disse trabalhar em parceria com órgãos de segurança, incluindo o I4C, para analisar solicitações e tomar providências.
Portanto, o desafio envolve identificar rapidamente o abuso sem prejudicar milhões de desenvolvedores e empresas que utilizam a mesma plataforma para aplicações legítimas.
Crescimento dos pagamentos digitais aumenta interesse dos criminosos
O problema ganha escala porque a Índia possui um dos maiores mercados de pagamentos digitais do mundo.
No período de 12 meses encerrado em março de 2026, o sistema de pagamentos instantâneos do país processou quase 242 bilhões de transações. (reuters.com)
Quanto mais consumidores usam aplicativos para bancos, pagamentos e cartões, maior também se torna o número de potenciais vítimas.
O Brasil enfrenta um desafio semelhante com a expansão do Pix. A popularidade dos pagamentos instantâneos criou novas oportunidades para consumidores e empresas, mas também aumentou a atenção sobre golpes, engenharia social e segurança no Pix.
Nesse cenário, criminosos não precisam necessariamente quebrar a criptografia de um banco. Muitas vezes, eles preferem enganar a própria vítima para obter credenciais ou autorizar operações.
Empresas também precisam monitorar o abuso de suas plataformas
O caso dos golpes no Google Firebase reforça um desafio para empresas que oferecem APIs, hospedagem, bancos de dados e plataformas para desenvolvedores.
Quanto mais simples for criar uma aplicação, maior pode ser a necessidade de detectar usos maliciosos rapidamente.
Por isso, fornecedores podem combinar análise de comportamento, limites de uso, denúncias, identificação de contas e monitoramento de atividades suspeitas.
Do lado das empresas que desenvolvem aplicações, medidas de autenticação e autorização também ajudam a impedir acessos indevidos a recursos internos. A APIBrasil explica como a segurança em microserviços depende de controles claros de autenticação e permissões.
Além disso, equipes precisam tratar links, arquivos e aplicativos externos como conteúdo potencialmente não confiável, mesmo quando utilizam infraestrutura de fornecedores conhecidos.
Como usuários podem identificar esse tipo de golpe
A principal orientação é evitar instalar aplicativos recebidos por links em mensagens, SMS ou páginas que prometem benefícios financeiros.
Bancos e órgãos públicos normalmente oferecem seus aplicativos pelas lojas oficiais. Portanto, uma solicitação para instalar um arquivo diretamente de um site deve gerar desconfiança.
Além disso, ofertas de aumento imediato de limite, cartões especiais, recompensas ou liberação de benefícios podem funcionar como iscas.
O usuário também deve desconfiar quando uma página solicita informações que normalmente não seriam necessárias naquele momento, como senha bancária completa, códigos temporários ou dados de vários cartões.
Por fim, o domínio sozinho não deve servir como prova de autenticidade. Criminosos podem utilizar serviços legítimos de hospedagem e desenvolvimento para construir parte de suas campanhas.
O caso do Firebase mostra justamente essa mudança: a infraestrutura pode ser verdadeira enquanto a aplicação hospedada nela é fraudulenta.
Para integrar dados e serviços aos seus sistemas por meio de APIs, acesse a documentação da APIBrasil e conheça os recursos disponíveis.
