Instalar um ficheiro com segurança

Instalar a aplicação do 1win fora da loja oficial é uma operação banal no Android e, ao mesmo tempo, a mais explorada por quem distribui software alterado. A diferença entre uma instalação segura e um problema sério raramente está no ficheiro em si: está no endereço de onde ele veio e nas permissões concedidas logo a seguir, muitas vezes sem que o utilizador se lembre de as rever. O que separa os dois casos não é a qualidade do pacote, mas o cuidado de quem o recebe.

O risco concreto de instalar fora da loja

Quando uma aplicação passa pela loja, existe uma revisão prévia, ainda que imperfeita, e a possibilidade de a remover em massa se algo for detetado. Fora da loja, essas duas proteções desaparecem. Um pacote pode ter sido recompilado com código adicional, mantendo o nome, o ícone e o aspeto geral da aplicação original, e o utilizador só descobre a diferença quando algo falha. O objetivo habitual não é roubar a conta no momento: é obter permissões que permitam ler notificações, sobrepor ecrãs ou manter processos em segundo plano. Com esses acessos, é possível capturar códigos de confirmação e credenciais sem que a vítima note nada de estranho durante semanas.

De onde o ficheiro deve vir

De um único sítio: o site oficial do 1win, aberto diretamente no navegador do telemóvel, com ligação segura e endereço confirmado letra a letra. O percurso completo está descrito no guia de instalação no Android, incluindo o momento em que o sistema pede autorização para instalar. Não de um motor de busca, não de um agregador de aplicações, não de um link partilhado em grupo, não de um fórum onde alguém diz ter a versão que funciona. Cada um destes caminhos acrescenta um intermediário que pode alterar o pacote, e nenhum deles oferece forma de confirmar o que foi feito ao ficheiro antes de chegar ao telefone.

Antes de abrir o pacote, quatro confirmações resolvem quase todos os casos duvidosos e não exigem qualquer aplicação adicional. Levam menos de um minuto e podem ser feitas no próprio navegador, antes do download. Se alguma falhar, o ficheiro deve ser apagado, não testado.

• Endereço escrito letra a letra, sem letras trocadas nem hífenes a mais.
• Ligação segura, com cadeado e sem aviso de certificado.
• Ficheiro descarregado nesse navegador, não recebido por mensagem.
• Página sem promessas de versão modificada ou sem publicidade.

Sinais de que o pacote foi alterado

Alguns indícios aparecem antes da instalação, outros só depois de a aplicação abrir. A lista abaixo resume os mais fiáveis, do menos ao mais grave, e qualquer um deles justifica apagar o ficheiro em vez de o testar. Vale a pena lê-los antes de tocar no botão de instalação, porque depois já é tarde para recusar permissões.

Permissões que não se justificam

Uma aplicação de apostas precisa de rede, de armazenamento para guardar comprovativos e, opcionalmente, de notificações. Não precisa de ler mensagens, de gerir chamadas, de aceder a contactos ou de contar com serviços de acessibilidade, que dão controlo sobre o ecrã e sobre o que é escrito nele. Quando um destes pedidos aparece, a explicação não é técnica: é uma tentativa de obter controlo sobre o telefone. A permissão de acessibilidade é a mais perigosa de todas e quase nunca tem uso legítimo numa aplicação deste tipo. A regra prática é simples: se a permissão não tem relação direta com apostar, depositar ou levantar, não deve ser concedida.

Depois de instalar: o que revisar

Vale a pena abrir as definições de aplicações e conferir três coisas: a lista de permissões efetivamente concedidas, a existência de administradores de dispositivo ativos e os serviços de acessibilidade ligados. Qualquer entrada que não se reconheça deve ser desativada nesse momento, antes de surgir a tentação de a ignorar por parecer inofensiva. Rever também o histórico de notificações: se aparecerem códigos de outros serviços, algo está a intercetar mensagens. Guardar uma captura de ecrã da lista de permissões serve de referência para o dia em que algo mudar sem explicação.

Se já instalou um ficheiro duvidoso

O primeiro passo é desinstalar, mas isso pode não bastar: alguns pacotes pedem para ser administradores do dispositivo e, nesse caso, a remoção é bloqueada até esse estatuto ser retirado. Depois, alterar a palavra-passe da conta do 1win a partir de outro aparelho, terminar todas as sessões ativas e ativar a verificação em dois passos. Se houve acesso a dados bancários, o banco deve ser contactado no mesmo dia, porque os prazos de contestação não esperam pela investigação. Se existirem outros administradores de dispositivo desconhecidos, o caso já não é de uma aplicação isolada e justifica uma reposição de fábrica.

Nenhuma verificação dispensa o bom senso, e nenhuma aplicação garante ganhar: a segurança serve para proteger a conta e o dinheiro, não para melhorar resultados. Instalar apenas a partir do site oficial e ler as permissões antes de aceitar continua a ser a diferença entre uma aplicação útil e um problema que se arrasta durante meses. Uma instalação limpa poupa semanas de dúvida e não custa mais do que dois minutos de atenção.