Apps bancários: aprovação com um toque virou o método favorito de criminosos.

Notificações se acumulam. Em algum ponto entre o hábito e a pressa, um toque minúsculo agora carrega muito mais peso do que deveria.

Confiamos no celular para acessar o banco sem pensar. Um alerta, um olhar, um polegar na tela, e a tarefa parece concluída. Esse ritmo fácil - feito para a conveniência - virou o novo alvo. Criminosos aprenderam a transformar em arma o momento em que você diz “sim”.

O que está acontecendo na prática

A maioria dos apps bancários agora usa um aviso por push para autenticação forte do cliente. Você tenta entrar, adicionar um favorecido ou aprovar um pagamento; o celular exibe uma solicitação; você abre o app e toca em “Aprovar”. Esse segundo fator deveria elevar a barreira. Em vez disso, os atacantes o bombardearam.

Golpistas disparam ondas de solicitações a qualquer hora. A vítima recusa algumas, até que escorrega. Alguns grupos fazem sessões de phishing ao vivo: imitam um login do banco, roubam o primeiro fator e acionam um push real no celular da vítima. Um falso “agente de suporte” incentiva a aprovação “para verificar sua identidade”. No Android, malwares bancários podem até sobrepor uma tela falsa ao app real para capturar o gesto de aprovação. O atrito sumiu. A cautela também.

Atacantes não precisam quebrar a criptografia. Eles só precisam vencer um momento apressado e distraído.

A dinâmica da fadiga de MFA

O roteiro é desanimadoramente simples. Criminosos coletam logins em vazamentos e kits de phishing. Tentam um acesso, o que dispara um push para o verdadeiro dono. Se o dono recusa, eles tentam de novo - a cada poucos minutos, ou a cada poucos segundos. Muitos aumentam a pressão com uma ligação ou SMS: “Aprove agora para bloquear um pagamento suspeito.” Esse script social transforma uma checagem de segurança em um “OK” reflexo.

De onde vem o problema

O impulso da PSD2 na Europa por autenticação forte do cliente levou bancos a migrarem de códigos SMS de uso único para aprovações dentro do app. No papel, é mais forte: vínculo ao dispositivo, biometria, checagens no servidor. Na prática, o risco mudou de lugar; não desapareceu. Pagamentos instantâneos, feeds densos de notificações e particularidades de deep links em apps criam novas brechas.

• O contexto mínimo nos prompts aumenta a chance de erro. Muitas notificações não mostram favorecido, valor ou finalidade. Usuários respondem no piloto automático.
• A reutilização de credenciais ainda alimenta ataques. E-mails e senhas vazados dão o primeiro ponto de apoio aos criminosos.
• Transferências instantâneas elevam o retorno do golpe. O dinheiro pode cair numa conta “mula” e sair do país em minutos.
• Celulares centralizam tudo: banco, e-mail, autenticadores. Abuso de recursos de acessibilidade e falhas de deep link ampliam o alvo para trojans móveis.
• Open banking adiciona repasses e etapas de consentimento. Cada redirecionamento introduz confusão que engenheiros sociais exploram.

Remover atrito de forma descuidada é remover a pausa que ajuda as pessoas a perceber uma armadilha.

O que isso significa para clientes, bancos e reguladores

Para clientes, a linha entre fraude “autorizada” e “não autorizada” fica confusa. Se você tocou em “Aprovar”, você consentiu? Bancos às vezes tratam isso como sinal verde. No Reino Unido, reguladores endureceram o modelo para golpes de pagamento por push autorizado (APP), transferindo mais custo de volta para as empresas e melhorando o reembolso para muitas vítimas. Essa pressão cresce à medida que o Faster Payments se expande e checagens de Confirmação de Favorecido (Confirmation of Payee) viram padrão.

Para bancos, a conta está mudando. As perdas por fraude sobem, mas etapas mais pesadas de login prejudicam conversão e satisfação. Muitos credores agora investem em camadas invisíveis: biometria comportamental, pontuação de risco do dispositivo, detecção de anomalias e interrupção em tempo real de celulares comprometidos. Padrões de grandes empresas de tecnologia, como passkeys (FIDO2), fortalecem autenticação vinculada ao dispositivo e reduzem retransmissões de phishing. O fator humano ainda pesa. Um par de chaves bem desenhado não resolve um toque apressado provocado por uma voz convincente.

A sociedade funciona à base de alertas. Chats de trabalho, atualizações de entrega, pings promocionais - tudo pisca. Um prompt bancário deixou de parecer raro ou sério. Isso torna design de tela e redação decisivos: a forma como o app enquadra o momento molda a escolha que as pessoas fazem.

O que especialistas propõem e as correções que funcionam

Especialistas insistem no mesmo defeito de raiz: um botão “Aprovar” sem contexto. Contramedidas eficazes agora aparecem em finanças e tecnologia. Cada uma busca desacelerar o reflexo, restaurar contexto ou vincular a aprovação à ação exata.

Medida	O que muda	Limitações
Correspondência de número	Usuário digita um código exibido na tela de login; toque automático deixa de funcionar	Sites de phishing ainda podem retransmitir o código em tempo real
Vinculação dinâmica (dynamic linking)	A aprovação mostra favorecido e valor; vínculo criptográfico impede alterações silenciosas	Precisa de UI clara; telas pequenas podem esconder detalhes-chave
Passkeys e chaves com suporte de hardware	Vincula o login ao dispositivo e ao domínio; resiste a retransmissões de phishing	Perda do dispositivo e jornadas de recuperação exigem design cuidadoso
Limitação de taxa de prompts	Bloqueia ou atrasa rajadas após recusas; adiciona alertas	Atacantes migram para ligações sociais e contas novas
Endurecimento do app móvel	Impede sobreposição de telas, detecta root, protege o runtime	Malware sofisticado continua evoluindo

• Use linguagem simples nos prompts: quem está se conectando, de qual dispositivo, de onde aproximadamente, e em que horário.
• Insira um período de “resfriamento” para o primeiro pagamento a um novo beneficiário ou para valores incomumente altos.
• Troque de canal após múltiplas recusas - sem mais pushes; exija reautenticação biométrica ou uma verificação com atendimento humano.
• Compartilhe indicadores de kits de phishing e contas “mula” entre instituições para encurtar a vida útil das campanhas.

Um prompt por push deve parecer uma decisão sobre uma ação específica, não um teste vago de identidade.

A questão mais profunda: segurança como escolha de design

Autenticação não é um ritual. É um ponto de decisão. Se a tela diz pouco e o layout treina um reflexo, as pessoas ficam previsíveis. Usuários previsíveis são fáceis de conduzir. Bancos que reescrevem fluxos em torno de compreensão - e não apenas conformidade - estão vendo menos perdas baseadas em push e menos chamadas ao suporte.

O que você pode fazer agora

Pausar quando um prompt aparece do nada. Se alguém ligar mandando você aprovar “para parar uma fraude”, desligue e ligue para o seu banco num número conhecido. Ative confirmação de favorecido e alertas de pagamento. Evite reutilizar senhas. Use passkeys quando disponíveis. Mantenha o dispositivo atualizado e remova apps que você não reconhece.

Se você lidera um time de produto financeiro, teste a redação. Troque “Confirmar autenticação” por algo humano: “Alguém está tentando entrar em um Samsung Galaxy em Leeds às 14:03. Se não for você, toque em Negar.” Mostre o nome do favorecido, parte do código de agência e número da conta, e o valor exato em toda aprovação. Adicione atrito apenas onde o risco sobe. Mantenha o resto rápido.

Um passo a passo rápido: correspondência de número na prática

Você faz login na web. A tela mostra um número de dois dígitos, digamos 47. Seu celular recebe um prompt com três opções: 12, 47, 83. Você abre o app e escolhe 47. O app assina o desafio com uma chave do dispositivo e envia ao banco. Um criminoso fazendo spam de pushes não consegue adivinhar o número certo sem ver sua tela. Se um site de phishing retransmitir o fluxo, a pressão de tempo ainda derruba menos vítimas, e a pontuação de risco pode sinalizar a incompatibilidade de dispositivo e localização.

Compensações de risco a ter em mente

Pagamentos instantâneos encurtam janelas de recuperação. Períodos de resfriamento e conferência de nome reduzem velocidade, mas bloqueiam muitos golpes. Aprovações por push parecem sem esforço, mas essa facilidade esconde o custo dos erros. Passkeys aumentam a resistência a phishing, mas exigem recuperação de conta e migração de dispositivo bem resolvidas. Cada controle move o ponteiro; nenhum funciona sozinho. Os melhores resultados vêm quando vínculo ao dispositivo, contexto rico e freios inteligentes se combinam com boa educação.