Kastoo
Quando você adiciona uma lista a um player IPTV, entrega seu usuário e sua senha do provedor: eles vão dentro da URL M3U ou nos dados do Xtream Codes. Circulam boatos de players que ficam com essas contas para revendê-las. Não encontramos provas públicas contra nenhum app conhecido, mas há riscos reais e documentados. Explicamos quais são e como se proteger.
O que tem dentro da sua lista
Uma URL M3U típica tem esta forma: http://servidor:porta/get.php?username=USUARIO&password=SENHA&type=m3u_plus. Quem tiver esse endereço pode ver o mesmo que você, de qualquer aparelho. Trate-o como uma senha: não cole em fóruns nem mande em captura de tela.
O que o player faz com ela
Depende de como o app funciona:
- Fica só no aparelho. Você digita a lista na TV ou no celular e ela não sai dali, a não ser para se conectar ao seu provedor.
- Fica no servidor do app. Muitos apps de Smart TV são ativados com o MAC da TV e pedem que você suba a lista no site deles, que depois a envia para a TV. É um sistema legítimo e prático, mas significa que seu usuário e sua senha ficam no servidor dessa empresa, e você precisa confiar nela.
Nenhum dos dois é ruim em si. O importante é saber qual o seu app usa, quem está por trás e se você pode apagar a lista quando quiser.
O risco real: apps falsos
Os casos documentados não são players conhecidos, e sim apps falsos que se passam por apps de IPTV para roubar muito mais do que a lista:
- Massiv (fevereiro de 2026). A empresa de segurança ThreatFabric descobriu este trojan escondido em supostos apps IPTV instalados fora do Google Play. Gravava a tela e mostrava telas falsas sobre os apps do banco. A Espanha estava entre os países afetados.
- RemControl (setembro de 2026). Segundo o BleepingComputer, era anunciado nas redes sociais como um app de TV conhecido e levava a um site que imitava o Google Play. Roubava senhas do banco e o padrão de desbloqueio, e impedia a desinstalação.
- A Guardia Civil espanhola alertou em setembro de 2026 que alguns apps IPTV que prometem canais grátis trazem programas que esvaziam contas bancárias.
Sinais de que alguém usa sua conta
- Aparece «conexões demais» ou o erro 509 quando só você está assistindo. Veja o que significa o erro 509.
- Os canais caem quando ninguém mais em casa está assistindo.
- Seu provedor avisa que a conta está em uso em outro país ou em muitos lugares.
Se acontecer, peça ao seu provedor para trocar a senha da conta e adicione a lista nova só nos apps em que você confia.
Como se proteger
- Instale só de fontes oficiaisGoogle Play, App Store, a loja da sua TV ou o site do desenvolvedor. Desconfie de links de anúncios, grupos de mensagens ou sites que imitam uma loja.
- Confira o nome do desenvolvedorHá muitas cópias com nomes quase iguais aos de apps conhecidos. Veja quem publica e desde quando.
- Leia quais dados ele guardaUm app sério explica na política de privacidade se guarda sua lista no servidor, para quê e como apagá-la.
- Revise as permissõesUm player não precisa ler seus SMS, ser «serviço de acessibilidade» nem controlar outros apps. Se pedir, desinstale.
- Não compartilhe a URLNem em capturas de tela nem em fóruns. Se já compartilhou, peça uma senha nova.
- Apague a lista dos apps que não usa maisPrincipalmente dos sites de ativação por MAC.
O que o Kastoo faz com a sua lista
Para sermos claros com o que pedimos aos outros: quando você adiciona a lista pelo celular com o QR, o Kastoo a guarda no servidor para enviá-la à sua TV e, se você ativar, para o backup na nuvem. Ela só é usada para isso e para consultar ao seu provedor o estado da assinatura quando você toca em «Verificar». Não vendemos nem compartilhamos, e não há anúncios. Você pode apagar suas listas em Meu Kastoo quando quiser. Está tudo na política de privacidade.
Perguntas frequentes
É verdade que há players que vendem as listas?
É um boato frequente, mas não encontramos nenhuma investigação séria que prove isso contra um app conhecido. O que está documentado são os apps falsos que roubam dados, sobretudo bancários.
Um player grátis é mais ou menos seguro que um pago?
O preço não diz tudo. Importa mais quem publica, de onde você instala e o que diz a política de privacidade.
Devo trocar a senha da lista de vez em quando?
Não é preciso se você só a usa em apps de confiança. Sim se suspeitar que alguém mais a usa ou se a compartilhou.
Como saber se meu TV box tem um programa malicioso?
Alguns TV box baratos já vêm infectados de fábrica. Explicamos em BadBox: o malware dos TV box baratos.
Fontes
- Massiv: trojan em apps IPTV falsos (ThreatFabric) · The Hacker News
- RemControl: app IPTV falso que rouba senhas do banco · BleepingComputer
- Alerta da Guardia Civil sobre apps IPTV · El Output
Grátis por 15 dias com todas as funções, sem cartão. Uma licença vale para 3 dispositivos.
O Kastoo é apenas um player: não vende, não hospeda nem inclui listas, canais, filmes ou assinaturas. As capturas usam uma lista de demonstração com conteúdo livre.