Como saber se um APK é seguro: 7 verificações

Não existe um teste único que prove que um APK é seguro, mas algumas verificações, juntas, reduzem muito o risco: baixar do site oficial do desenvolvedor, conferir se o código SHA-256 é igual ao publicado, buscar esse código no VirusTotal, revisar as permissões que o app pede e ler com calma o aviso do Play Protect. Se algo não bater, não instale. Este guia vale para qualquer app, e usamos o CinePR, o nosso, como exemplo.

Por que vale conferir um APK no Brasil

Porque apps de filmes e TV de origem desconhecida são uma porta de entrada conhecida para malware:

Em janeiro de 2024, a ESET mostrou que o malware Android.Pandora se espalhava principalmente por apps de streaming de sites não oficiais, transformando TV boxes e sticks em parte de uma botnet. O Brasil tinha 20% das detecções na América Latina.
Em agosto de 2025, a Anatel alertou que mais de 1,5 milhão de TV boxes no Brasil estavam infectadas pelo BadBox 2.0, que roda em segundo plano e pode ser usado para roubo de dados e fraudes (Tecnoblog).
Em maio de 2026, a MPA Brasil disse que um site pirata no país tem 29 vezes mais risco de ameaças digitais que um serviço legítimo, e até 100 vezes no caso de IPTV e torrent (Teletime).

1. De onde vem o arquivo?

É a verificação que mais pesa. Um APK é tão confiável quanto o site que o publica.

Procure o site oficial do desenvolvedor, não a primeira página que diz "download oficial". Muitos sites copiam o nome de um app para aparecer no Google.
Desconfie de cadeias de download: contagem regressiva, redirecionamentos e botões "Baixar" que na verdade são anúncios.
Cuidado com APK recebido por WhatsApp ou Telegram. Você não sabe quem mexeu nele pelo caminho.
Nunca instale "mod" nem versão "premium desbloqueada". São arquivos alterados por terceiros, mesmo quando prometem de graça o que é pago.

E lembre que nem a loja oficial é garantia absoluta: em junho de 2022, apps piratas como o "Cine Vision V5" chegaram a ficar à frente da Netflix na Google Play brasileira (TorrentFreak).

2. Confira o SHA-256

O SHA-256 é um código de 64 caracteres calculado a partir do arquivo. Se o arquivo muda, mesmo que pouco, o código deixa de bater. Por isso, quando o desenvolvedor publica o código no site, você consegue saber se a sua cópia é idêntica à dele.

Para calcular:

No Windows, abra o PowerShell na pasta do arquivo e digite Get-FileHash arquivo.apk (usa SHA-256 por padrão).
No Mac, abra o Terminal e digite shasum -a 256 arquivo.apk.
No Linux, digite sha256sum arquivo.apk.
Só com o celular, envie o APK ao VirusTotal (próximo passo): o relatório mostra o SHA-256 na aba de detalhes.

Compare com o código publicado: precisa ser idêntico do primeiro ao último caractere. Se não for, apague o arquivo.

3. Busque no VirusTotal

O VirusTotal passa o arquivo por dezenas de antivírus de uma vez. Há dois jeitos de usar:

Cole o SHA-256 na busca do virustotal.com. Se alguém já analisou esse arquivo exato, você vê o relatório sem enviar nada.
Envie o APK se ainda não houver relatório.

Como ler o resultado:

O VirusTotal não dá veredito próprio. Ele mostra o que cada antivírus diz e explica que não pode mudar nem remover as detecções desses antivírus (VirusTotal).
Se vários antivírus conhecidos concordam que é um trojan ou spyware, não instale.
Se só um marca, com um nome genérico, pode ser falso positivo. Na dúvida, não instale.
Relatório limpo não é garantia, principalmente para um arquivo muito novo.
Não confie em print. Busque você mesmo o código.

4. Revise as permissões

Uma permissão não é ruim por si só; o que importa é se faz sentido para o que o app faz. Depois de instalar, veja em Configurações › Apps › [o app] › Permissões e mude para Não permitir o que não quiser (ajuda do Google).

Para um app de filmes, desconfie se ele pedir SMS, registro de chamadas, contatos, acesso às notificações ou o serviço de acessibilidade. Nada disso é necessário para tocar um vídeo.

5. Leia o aviso do Play Protect

O Play Protect também verifica apps de fora da Google Play (ajuda do Google Play). Os avisos não significam todos a mesma coisa (Google):

Aviso de app nocivo, como "Este app é falso. Ele pode roubar seus dados pessoais", é uma detecção. Não instale; se já instalou, desinstale.
"O Play Protect nunca viu um app desse desenvolvedor" quer dizer que ele não conhece o desenvolvedor. Não é um veredito de malware, mas é motivo para fazer as verificações acima.

Mantenha o Play Protect ativado: na Play Store, toque na sua foto, em Play Protect › Configurações e confira se Verificar apps com o Play Protect está ligado.

6. Atualize sempre pela mesma fonte

O Android só instala uma atualização por cima de um app se ela for assinada com o mesmo certificado da versão instalada (Android Developers). Se uma "atualização" baixada de outro site não instala, não desinstale o original para forçar: o mais provável é que esse arquivo tenha sido assinado por outra pessoa.

7. Desconfie do que o app pede depois

Um app legítimo não pede que você desative o Play Protect. Também não deveria pedir dados de cartão para "liberar" conteúdo, recargas por canais estranhos ou a instalação de outros APKs sem você pedir.

Exemplo: como conferir o CinePR

O CinePR não está na Google Play, então aplique a mesma lista:

Origem: o download oficial é a página de download.
SHA-256: essa página mostra o código do arquivo atual. Calcule ou cole o código no VirusTotal para ver o relatório desse arquivo exato.
Permissões: internet e estado da rede e do Wi-Fi; notificações (no Android 13 ou mais recente ele pergunta); rodar em segundo plano para terminar downloads; instalar apps, só para as atualizações que você aceitar; digital ou rosto para o bloqueio opcional de perfil; armazenamento só em Android antigo, para salvar downloads; e o ID de publicidade, que o Firebase Analytics usa para medir o uso. Ele não pede localização, câmera, microfone, contatos, fotos, SMS nem registro de chamadas.
Play Protect: pode mostrar um aviso por ser de fora da loja. Leia, e se disser que o app é nocivo, não instale.

Se o CinePR passar na sua revisão, experimente: é grátis e não pede conta. O que podemos e o que não podemos garantir está em o CinePR é seguro?. Para riscos de outros apps, veja o YouCine é seguro?.

Não confunda com apps de nome parecido

O CinePR não tem ligação com VisionCine, CineVS, UniTV, YouCine, Deepcine ou Pobreflix, e não é versão nem mod de nenhum deles. Também não tem app para iPhone: qualquer "CinePR" na App Store não é nosso.

Perguntas frequentes

O VirusTotal diz se um APK é seguro?

Não dá veredito próprio: mostra o que cada antivírus acha. Se vários conhecidos marcam como malicioso, não instale; um relatório limpo ajuda, mas não garante nada.

Como confiro o SHA-256 pelo celular?

Envie o APK ao virustotal.com pelo navegador do celular e veja o SHA-256 nos detalhes do relatório. Compare com o código que o desenvolvedor publica.

O que faço se o Play Protect disser que um app é nocivo?

Não instale ou, se já instalou, desinstale pelo próprio aviso. Baixe de novo só pelo site oficial e confira o SHA-256.

É seguro instalar um APK "mod"?

Não. Um "mod" é um arquivo modificado por alguém que não é o desenvolvedor, e você não tem como saber o que mudou. Evite sempre, inclusive do CinePR.