Android passa a barrar no Brasil app de desenvolvedor sem identidade verificada, e a regra chega aos celulares dos EUA em 2027

O Google começou a aplicar no Brasil, em 30 de setembro, a exigência de que todo aplicativo instalado em celular Android pelas principais lojas tenha um desenvolvedor com identidade verificada. A regra vale também na Indonésia, em Singapura e na Tailândia, os quatro países escolhidos para a primeira fase. Nos Estados Unidos ainda não muda nada: o Google informou que vai estender a verificação a todos os aparelhos Android certificados do mundo em 2027.

Para o brasileiro que mora nos EUA, a novidade chega por dois caminhos. A família que ficou no Brasil já está sob as regras novas. Aqui, a mudança tem data marcada para o ano que vem. E, na quarta-feira (1º), o Google anunciou seis reforços no modo Proteção Avançada do Android 17, que qualquer usuário pode ativar.

O que começou a valer em 30 de setembro

Segundo a página oficial do programa, a proteção vale para quem instala aplicativos pelas lojas participantes em aparelhos certificados com Android 7 ou mais recente. A lista inicial inclui a Google Play Store, a Galaxy Store da Samsung, a HONOR App Market, a OPPO App Market, a Xiaomi GetApps, a vivo V-Appstore e a Palm Store, da Transsion. Nessas lojas, o aplicativo precisa estar registrado em nome de um desenvolvedor verificado.

O site Android Authority atualizou a cobertura na madrugada de 2 de outubro para esclarecer o alcance. Por enquanto, o arquivo baixado fora dessas lojas, o chamado APK, continua instalando normalmente, mesmo nos quatro países da primeira fase. O bloqueio amplo, que inclui esse tipo de instalação, faz parte da expansão global prevista para o ano que vem.

O Google afirma que a Play Store registra automaticamente 99% dos aplicativos. Segundo a empresa, para a grande maioria dos usuários a experiência de instalação continua igual.

Por que o Google decidiu apertar a regra

A empresa justifica a mudança com números próprios. Em comunicado publicado em março e atualizado em 29 de setembro, Matthew Forsythe, diretor de produto do Android, escreveu que a análise interna encontrou mais de 90 vezes mais vírus vindos de fontes externas do que da Google Play. A ideia, segundo ele, é impedir que criminosos se escondam no anonimato para espalhar aplicativos maliciosos repetidas vezes.

O mesmo texto cita um relatório de 2025 da Global Anti-Scam Alliance segundo o qual 57% dos adultos entrevistados passaram por alguma tentativa de golpe no ano anterior, com prejuízo global estimado em US$ 442 bilhões. O Google descreve o padrão do golpe telefônico: o criminoso ameaça a vítima com prejuízo financeiro, problema com a lei ou risco a um parente, e fica na linha orientando a pessoa a desligar as travas de segurança do celular.

Como vai funcionar a instalação de app fora da loja

Quem quiser instalar aplicativo de desenvolvedor sem verificação terá de passar por um processo que o Google chama de fluxo avançado, lançado em agosto. Pelas regras publicadas pela empresa, o caminho exige estas etapas:

• ligar as opções de desenvolvedor nas configurações do sistema;
• confirmar, numa tela de aviso, que ninguém está orientando a pessoa a desativar a segurança;
• reiniciar o aparelho e se autenticar de novo, o que derruba ligações e acessos remotos que um golpista esteja usando;
• esperar 24 horas, uma única vez por aparelho;
• voltar ao menu, confirmar com digital, rosto ou PIN e escolher liberar por sete dias ou por tempo indeterminado.

Mesmo depois disso, o sistema mostra um alerta de desenvolvedor não verificado, e o usuário precisa tocar em "Instalar mesmo assim". O Android Authority relata que aplicativos instalados antes da regra continuam funcionando, mas só recebem atualização depois de cumprido um desses caminhos.

A espera de 24 horas mira o golpe por telefone

O Google diz que desenhou a espera para quebrar a pressa que o golpista cria. "Scammers rely on manufactured urgency, so this breaks their spell and gives you time to think", escreveu a empresa, algo como "golpistas dependem da urgência fabricada, e isso quebra o encanto e dá tempo para pensar".

A decisão divide a comunidade de usuários mais avançados. Uma enquete do Android Authority feita no início do ano mostrou que 82% dos participantes consideraram a medida exagerada ou disseram que ela torna o Android menos aberto. O site também lista alternativas técnicas que dispensam a espera, como a instalação por cabo via ADB, ferramenta oficial do Google para desenvolvedores.

Android 17 ganha seis reforços na Proteção Avançada

Em paralelo, o Google publicou em 1º de outubro as novidades do modo Proteção Avançada, lançado em 2025 no Android 16. O recurso liga, com um único botão, as configurações de segurança mais rígidas do sistema, e impede que a pessoa desative o Google Play Protect e a detecção de golpes. Segundo Il-Sung Lee, gerente de produto de segurança do Android, os recursos novos são:

1. Proteção de USB: com a tela travada, toda conexão nova pela porta do celular fica limitada a carregar a bateria, o que barra roubo de dados por carregador adulterado. Vale para Pixel 6 em diante e alguns aparelhos com Android 17.
2. Proteção de acessibilidade: só aplicativos verificados como ferramentas de acessibilidade acessam esses serviços, que o Google aponta como uma das principais portas de entrada de fraudes.
3. Registro de invasão: guarda por 12 meses, cifrado e na nuvem, um histórico de eventos de segurança e de rede, útil para investigar espionagem. É opcional e precisa ser ligado à parte.
4. WebGPU desligado no Chrome: a tecnologia gráfica fica desativada para reduzir brechas no navegador.
5. Bloqueio por falha de autenticação: o aparelho trava depois de várias tentativas erradas de acesso.
6. Lista de apps compatíveis: uma tela nova mostra quais aplicativos instalados reforçam a segurança quando o modo está ligado.

O que o golpe de acessibilidade tem a ver com o banco

Os serviços de acessibilidade foram criados para ajudar pessoas com deficiência a usar o celular, lendo a tela e tocando em botões no lugar do usuário. Segundo o Google, aplicativos maliciosos abusam desse acesso para ler dados sensíveis, instalar outros vírus e impedir que a vítima os desinstale. O site Help Net Security, especializado em segurança, destaca que a restrição preserva as ferramentas de quem realmente precisa delas.

O registro de invasão foi desenvolvido com organizações de liberdade de imprensa. Donncha Ó Cearbhaill, chefe do laboratório de segurança da Anistia Internacional, chamou o recurso de "potential game-changer for spyware accountability", um possível divisor de águas para responsabilizar quem usa programas espiões.

O que fazer agora

Quem já usa a Proteção Avançada vai receber uma notificação quando os recursos chegarem ao aparelho, segundo o Google. O registro de invasão precisa ser ativado manualmente na página de configurações do modo. Pelas regras atuais, quem tem Android 17 nos EUA pode ligar a proteção desde já, sem esperar 2027.

O próprio Google aponta o sinal de alerta: alguém ao telefone pedindo para desligar avisos de segurança ou mexer nas configurações do celular é o roteiro que a empresa descreve como típico de golpe. A orientação vale tanto para quem está nos EUA quanto para os parentes no Brasil. A empresa ainda não divulgou o mês exato da expansão da verificação para os Estados Unidos.