Na Black Friday, um golpe pode custar mais do que o valor da compra

CTO da ASAPTECH alerta que ofertas falsas também podem abrir caminho para a invasão do WhatsApp, do e-mail e de contas bancárias

A Black Friday acontece em 27 de novembro, mas a procura por ofertas começa bem antes. Segundo levantamento da Stefanini Marketing, 56% dos entrevistados pesquisam preços com antecedência e as previsões segundo a estatística é que a semana da Black Friday movimente R$ 14,47 bilhões, em 18,3 milhões de pedidos.

Na mesma velocidade em que crescem as buscas, aumentam os anúncios, as mensagens e os sites que imitam lojas, bancos e transportadoras. E o prejuízo pode ir muito além do valor de uma compra falsa. A promoção pode servir de isca para roubar senhas, instalar programas maliciosos ou invadir contas de WhatsApp, e-mail e aplicativos bancários. Esse tipo de invasão é conhecido no setor de segurança como account takeover (ATO), ou tomada de conta.

Depois de assumir uma conta, o criminoso pode se passar pela vítima para abordar familiares, amigos e clientes, pedir dinheiro ou tentar entrar em outros serviços. O e-mail exige atenção especial porque costuma ser usado para recuperar senhas. Se ele for invadido, outras contas ligadas ao mesmo endereço também podem ficar em risco.

Marco Grecco, CTO da ASAPTECH, infratech brasileira que desenvolve e opera tecnologia própria para processamento de cartões e pagamentos e oferece plataformas para conta digital e crédito, explica que um pagamento aprovado não é garantia de que a oferta seja verdadeira.

“O pagamento pode ser processado normalmente mesmo quando a loja é falsa ou o vendedor é um golpista. A aprovação da transação não atesta que aquele vendedor é confiável. E o risco não acaba no dinheiro da compra: o golpe também pode ser uma tentativa de roubar dados e invadir outras contas”, afirma.

O WhatsApp pode aparecer em várias etapas do golpe. Além de se passar por uma loja ou por uma pessoa conhecida para pedir dinheiro, o criminoso pode tentar obter o código de registro da conta, convencer a vítima a conectar um aparelho desconhecido ou enviar arquivos maliciosos por meio de perfis já invadidos.

Um alerta do Centro Integrado de Segurança Cibernética do Governo Digital mostra como isso pode acontecer. Em uma campanha voltada a usuários brasileiros, contas de WhatsApp comprometidas foram usadas para enviar arquivos compactados. Quando a vítima abria o conteúdo em um computador com Windows, era iniciada uma sequência de ações para instalar um programa criado para roubar credenciais financeiras e enviar o golpe a novos contatos.

Manter o sistema operacional e os aplicativos desatualizados também aumenta o risco, pois o aparelho pode continuar exposto a falhas que os fabricantes já corrigiram. No Android, por exemplo, instalar aplicativos fora das lojas oficiais ou conceder permissões sem entender para que servem pode facilitar o acesso indevido ao celular. Dependendo do programa malicioso, os criminosos conseguem capturar logins, senhas, dados de pagamento e até informações que mantêm a pessoa conectada a uma conta. Depois, esse material pode ser usado em outras fraudes ou negociado em ambientes criminosos na internet.

A inteligência artificial tornou mais fácil criar textos, imagens, áudios e vídeos convincentes em grande escala. Isso dificulta a identificação de algumas fraudes, mas não significa que todo golpe sofisticado use IA. Muitas vezes, uma foto copiada, um perfil falso e uma mensagem enviada no momento certo ainda são suficientes para enganar a vítima.

“Não dá para colocar sobre o consumidor a responsabilidade de reconhecer uma voz clonada, um vídeo falso ou cada detalhe técnico de um ataque. A recomendação precisa funcionar mesmo quando tudo parece verdadeiro: pare, não abra o link ou o arquivo recebido e confirme a informação por outro canal, acessado por você”, explica Grecco.

Dez cuidados para proteger seu dinheiro e suas contas

1. Procure a oferta no site ou no aplicativo oficial. Recebeu uma promoção por WhatsApp, e-mail, rede social ou anúncio? Abra o aplicativo oficial da loja ou digite o endereço no navegador, em vez de usar o link recebido. Nos buscadores, confira com atenção o endereço do site, inclusive nos resultados patrocinados.

2. Confira quem vende, quem cobra e quem entrega. Em marketplaces, verifique o nome do vendedor, seu histórico de avaliações, o prazo de entrega e os canais de atendimento. Estar dentro de uma plataforma conhecida não dispensa esses cuidados.

3. Não confunda uma tela de pagamento bem-feita com prova de segurança. Uma página bonita, o cadeado no navegador ou a marca de uma empresa de pagamentos não garantem que a oferta seja verdadeira. Antes de informar qualquer dado, confira o endereço do site, o vendedor, o valor e o nome de quem vai receber o dinheiro.

 

4. Desconfie quando pedirem para continuar a negociação fora da plataforma. Um falso atendente pode oferecer um desconto maior por Pix, alegar que o sistema está com problema ou levar a conversa para um canal privado. Confirme a informação no atendimento oficial. Ao pagar por fora, o consumidor também pode perder as proteções oferecidas pela plataforma.

5. No Pix, confira o nome de quem vai receber e o valor. Se o destinatário não tiver uma relação clara com a loja ou com o pedido, não conclua o pagamento. Use somente o código Pix gerado no ambiente oficial da compra.

6. No cartão, diminua a exposição dos seus dados. Se possível, use um cartão virtual, ative as notificações e confira se o valor cobrado é o mesmo do pedido. O cartão virtual ajuda a proteger os dados, mas não torna uma loja falsa confiável. Avise imediatamente o emissor se aparecer uma movimentação que você não reconhece.

 

7. Proteja o WhatsApp contra invasões. Nunca informe a ninguém códigos de registro ou PINs recebidos por SMS ou pelo aplicativo. Ative a confirmação em duas etapas e verifique com frequência os aparelhos conectados à conta. Desconfie de pedidos para escanear QR Codes ou autorizar a conexão de outro dispositivo. Se um contato pedir dinheiro ou informações pessoais, confirme por outro meio, usando um número que você já conhecia.

8. Reforce a proteção do e-mail e das contas bancárias. Use uma senha diferente em cada serviço e ative a autenticação em dois fatores. Nunca aprove uma tentativa de acesso que você não iniciou. Como o e-mail costuma ser a chave para redefinir outras senhas, a invasão dessa conta pode provocar uma sequência de novos acessos indevidos.

 

9. Não instale arquivos ou aplicativos recebidos em conversas. Arquivos compactados, atalhos, programas e aplicativos em formato APK podem esconder códigos maliciosos. Mantenha Windows, Android, navegadores e aplicativos atualizados, instale programas apenas de fontes oficiais e não dê acesso remoto ao aparelho nem permissões especiais a um suposto atendente.

10. Se a mensagem criar urgência, pare e confira por conta própria. Alertas de compra, cobranças de entrega e ameaças de bloqueio devem ser verificados diretamente no aplicativo do banco, da loja ou da transportadora. Não use o telefone nem o link enviado na própria mensagem. Bancos não pedem transferências, senhas ou pagamentos para cancelar uma compra ou resolver um problema na conta.

Para Grecco, as empresas também têm responsabilidade nessa proteção. Além dos controles de segurança, precisam deixar claro quem está vendendo, qual é o valor total da compra, quem receberá o pagamento e onde o cliente pode pedir ajuda.

“A infraestrutura protege o processamento da transação, mas isso não basta. O cliente precisa saber quem está cobrando, quanto vai pagar e a quem recorrer se houver um problema. A segurança deve estar presente em toda a experiência de compra, não só na hora de autorizar o pagamento”, conclui.

O que fazer se cair em um golpe

Se o golpe envolver Pix, a vítima deve avisar imediatamente sua instituição financeira e pedir a contestação pelo Mecanismo Especial de Devolução (MED). Segundo o Banco Central, o pedido pode ser feito em até 80 dias após a transação, mas agir rápido aumenta a chance de ainda haver dinheiro disponível para bloqueio. O MED não garante a devolução e não se aplica a desacordos comerciais.

No caso de uma compra desconhecida no cartão, o consumidor deve falar com o emissor para contestar a cobrança e receber orientação sobre o bloqueio ou a troca do cartão.

Se houver suspeita de invasão de conta ou de infecção do aparelho, a orientação é usar outro dispositivo, que seja confiável, para trocar primeiro a senha do e-mail e depois as senhas das contas mais importantes. Também é preciso encerrar as sessões abertas, conferir os aparelhos conectados, avisar os contatos e procurar os canais oficiais das empresas envolvidas. Mensagens, comprovantes, endereços de sites e outros registros devem ser guardados para a comunicação às instituições e o boletim de ocorrência.

Sobre a ASAPTECH

Fundada em 2013, a ASAPTECH é uma infratech brasileira especializada em soluções B2B para empresas que desejam oferecer serviços financeiros com sua própria marca. Sua plataforma integra conta digital, Pix, crédito, emissão e processamento de cartões, captura e processamento de pagamentos, adquirência e liquidação, com serviços prestados, conforme a atividade, por instituições e parceiros habilitados. A infraestrutura é 100% em nuvem, preparada para operar em escala e com alta disponibilidade. A ASAPTECH é a primeira processadora do mundo a combinar Private Link e Cloud HSM, tecnologias que protegem a comunicação entre sistemas e as chaves criptográficas utilizadas nas transações.