A Tempest Security Intelligence alerta os consumidores e empresas para redobrar os cuidados com a segurança de seus dados, e a atenção a golpes que exploram as redes sociais para obtenção de tais dados, em especial no período do Dia das Mães – uma das principais datas do calendário do varejo no país. A expectativa é de que o aumento das vendas online, em função da pandemia, aumente a incidência de golpes e ameaças virtuais.

No ano passado, o faturamento das vendas online no período mais do que dobrou em relação a 2019, passando de R$ 2,78 bilhões para R$ 6,02 bilhões, segundo o Movimento Compre&Confie, que realiza medições de vendas do e-commerce. Em todo o mundo, a expectativa é que essa modalidade de fraudes gere no e-commerce mundial prejuízo acima de US$ 20 bilhões, em 2021, superando em 18% as perdas geradas no ano anterior, de acordo com a pesquisa Fraude de Pagamento Online: Ameaças Emergentes, Análise de Segmento e Previsões de Mercado 2021-2025. Assim, é importante que varejistas e consumidores fiquem atentos a medidas protetivas para não serem vitimados.

“Os cibercriminosos se aproveitam da intensificação do relacionamento por canais digitais como ponto de contato entre empresas e clientes para se apoderar não apenas de dinheiro, mas dos dados, que muitas vezes pode ser algo ainda mais rentável”, explica Aldo Albuquerque, vice-presidente de Customer Delivery da Tempest Security Intelligence. Um dos golpes mais recorrentes é conhecido como Atendente Impostor, mas o executivo também alerta para o envio de e-mails e mensagens com links falsos com o objetivo de roubar dados, prática conhecida como Phishing.

A Tempest Security Intelligence detalha a seguir essas duas modalidades de golpe, e também reforça algumas dicas de como se proteger dessas ameaças, que costumam afetar usuários e empresas no ambiente digital, em especial nas datas do calendário de varejo.

Atendente impostor

Se por um lado é cada vez mais comum que empresas usem seus perfis nas redes sociais, tais como Facebook, Linkedin, Twitter e Intagram, para divulgar suas campanhas, promoções e avisos, por outro lado os usuários finais dessas mesmas redes adotam esses canais como fonte de relacionamento para direcionar a essas empresas suas dúvidas, reclamações e solicitar informações, muitas vezes compartilhando dados pessoais e até financeiros.

Nesse cenário, criminosos passaram a conduzir ataques contra clientes que entram em contato para sanar dúvidas ou em busca de atendimento, utilizando perfis falsos (nestes perfis é comum o uso de termos como “SAC”, “atendimento” ou “suporte” a fim de aumentar a impressão de legitimidade nas vítimas). Esses ataques podem ser conduzidos de forma passiva ou ativa.

Na primeira modalidade, os criminosos buscam imitar o comportamento do perfil oficial da empresa buscando ganhar a confiança da vítima e leva-la a entrar em contato.

Já na forma ativa, os criminosos monitoram as interações dos perfis legítimos das empresas e abordam os clientes de forma direta. Depois de estabelecer contato, os falsos operadores levam a comunicação para outra plataforma, como WhatsApp ou Telegram, podendo, a depender da intenção, sequestrar a conta do WhatsApp, a fim de estender o golpe aos contatos da vítima ou direcionar a vítima para um site falso que simula a página legítima de uma empresa para roubar suas credenciais.

“De olho nessas movimentações, os criminosos identificam e abordam clientes de diversas empresas, valendo-se de ataques baseados em engenharia social que variam desde o sequestro de sessão WhatsApp até a aplicação de golpes e o roubo de informações”, alerta Albuquerque.

Embora não seja uma modalidade nova de ataque, ela tem se popularizado durante a pandemia. Há cerca de 7 anos a equipe de Threat Intelligence (Inteligência de Ameaças) da Tempest tem monitorado essa categoria de golpe direcionado e, desde março de 2019, registrou um aumento de aproximadamente 60 para quase 1.200 perfis falsos em redes sociais.

Aumento no número de perfis falsos em redes sociais detectados entre março de 2019 e março de 2021.

Imagem: Tempest.

Uma forma simples de prevenir esse tipo de golpe é, antes de entrar em contato via mídias sociais, procurar conhecer os canais de comunicação com a marca ou empresa, em seu site oficial. Nessa página muitas vezes é possível checar todas as redes sociais em que a companhia tem perfis, além de todos os canais de contato e atendimento ao consumidor.

Phishing

Outro golpe comum, que aumenta o número de vítimas em datas sazonais, é o phishing. Só no primeiro bimestre deste ano teve um crescimento de 70% em relação a igual período do ano passado, de acordo com a Febraban. Essa prática, cujo nome faz referência à pescaria (fishing) de vítimas, usa e-mails, SMS, entre outras ferramentas para induzir a vítima fazer algo como como clicar em um link, abrir um arquivo ou instalar um vírus de computador, com o objetivo de obter informações sigilosas como dados bancários, cartão de crédito, senhas e outras informações confidenciais.

No Dia das Mães, os golpistas costumam explorar a data para enviarem mensagens falsas como links de promoções inexistentes, falsos pedidos de atualizações de dados, entre outros, se passando por outras empresas (como bancos, lojas, empresas de delivery, etc).

É possível reduzir a chance de ser fisgado: os usuários devem evitar clicar em links, descarregar arquivos ou abrir anexos em e-mails (ou em redes sociais), mesmo que pareça ser de uma fonte de confiança. Também recomenda-se evitar o clique em links que direcionem para websites suspeitos, preferindo quando possível digitar a URL de onde deseja navegar. Tenha cuidado com as mensagens que solicitem informações confidenciais, como dados bancários ou pessoais.

Aldo Albuquerque, da Tempest Security Intelligence, também chama a atenção dos consumidores para desconfiar de anúncios publicitários com prazos urgentes e grandes promoções fora do comum.

No Dia das Mães, é usual os criminosos enviarem promoções com produtos ou serviços muito abaixo do valor, com mensagens como “último dia para aproveitar” ou “os primeiros a clicar ganharão um desconto de 50%”, por exemplo, ou outros textos do gênero. Também são comuns avisos, multas ou informativos dizendo que uma conta será encerrada caso não atualize os dados, oferecendo um link para tal atualização. Nesses casos, é fundamental ignorar tais táticas de Engenharia Social (nome usado nas práticas baseadas na manipulação psicológica), e contatar a empresa por meio de um canal de confiança (telefone ou e-mail).

“Ler com atenção é uma forma de defesa. Muitos e-mails de phishing são bastante óbvios, por conterem erros de digitação, palavras caixa alta e pontos de exclamação. Podem também ter saudações impessoais como ‘Caro Cliente’ ou ‘Caro Senhor(a)’ em vez do seu nome – ou apresentar um conteúdo implausível e geralmente surpreendente. Os cibercriminosos frequentemente cometem esses equívocos, por vezes até intencionalmente, para ultrapassar filtros de spam”, afirma Aldo Albuquerque.

Deve-se sempre utilizar websites seguros (indicado por https:// e um ícone de “bloqueio” de segurança na barra de endereços do navegador), especialmente ao submeter informações sensíveis, como dados de cartão de crédito. Também é aconselhável evitar Wi-Fi público para efetuar operações bancárias, compras ou enviar informações pessoais online (a conveniência pode ser um trunfo para o fraudador). Em caso de dúvida, prefira a utilização dos dados do seu celular.

Outras formas de se defender
Outra questão importante que os consumidores precisam estar alertas durante Dia das Mães é a atenção para o uso das senhas. O ideal é ter senhas diferentes em cada plataforma pois, em caso de descoberta, os cibercriminosos tentarão utilizá-las em diferentes canais. Com acesso à senha do Facebook, por exemplo, tentarão a mesma para acessar contas em bancos, lojas e outros locais. Quando não buscam dinheiro, procuram algo que também gera lucro, como dados pessoais ou milhas. Há todo um comércio para essas informações.

“Para pagamentos é indicado fazê-los por meio de cartões virtuais, já que, nessas transações, instituições financeiras enviam códigos de segurança distintos para cada compra, evitando que consumidores tenham que inserir dados do cartão bancário”, finaliza o vice-presidente de Customer Delivery da Tempest Security Intelligence.