Capítulo 20: SMS falso: a mensagem que abre a porta

Nós carregamos nossas vidas dentro de um pequeno pedaço de vidro e metal que não pesa mais de duzentos gramas. Nosso smartphone é o cofre, o álbum de fotos, a agenda de compromissos e a carteira. E como todo cofre, ele tem um ponto fraco. Não está na codificação da Apple ou nos servidores do Google; está na palma da nossa mão. Dentro do mundo da segurança da informação, o SMS (ou o Smishing – uma combinação de SMS e Phishing) é considerado um dos cavalos de Troia mais eficazes já criados. É simples, é barato e explora o instinto humano mais básico: a resposta imediata ao som do "ding" que anuncia uma nova mensagem.

Enquanto o e-mail é percebido pela maioria de nós como um espaço barulhento, cheio de anúncios e spam que exige filtragem rigorosa, o SMS ainda desfruta de uma aura de urgência e confiabilidade. Quando recebemos uma mensagem de texto, tendemos a presumir que ela é destinada a nós pessoalmente. Pode ser um código de verificação do banco, uma atualização da transportadora ou uma mensagem da escola das crianças. Essa confiança é exatamente a porta que os golpistas desejam abrir. Neste capítulo, analisaremos como uma mensagem de texto curta, às vezes com menos de dez palavras, consegue contornar todos os mecanismos de defesa de uma pessoa comum e levar à possibilidade de danos financeiros e psicológicos.

A anatomia do golpe: a história de Erez

O cenário a seguir é um exemplo didático baseado em padrões comuns de fraude. Os personagens e os eventos destinam-se apenas à ilustração.

Erez, um contador de 45 anos de Ra'anana, é considerado uma pessoa cautelosa. Ele nunca forneceu seus dados de cartão de crédito por telefone, altera senhas a cada seis meses e é ele quem instala o software antivírus para toda a família. Mas em uma terça-feira, às sete da noite, enquanto tentava simultaneamente preparar o jantar para três filhos famintos e responder e-mails do escritório, seu telefone vibrou na bancada.

O remetente apareceu no topo da tela como "Bank_Security". Não um número de telefone, mas um nome oficial. A mensagem era curta e concisa: "Foi detectado um acesso suspeito à sua conta a partir de um dispositivo não reconhecido na região da Geórgia. Se não foi você, você deve acessar o link abaixo imediatamente para proteger a conta e evitar seu bloqueio." Abaixo do texto aparecia um link encurtado: https://bit.ly/bank-protect-il.

"Droga", murmurou Erez. Sua frequência cardíaca subiu de uma vez. Seu cérebro lógico, aquele que analisa balanços de empresas, foi deixado de lado em favor do cérebro de sobrevivência. Ele não pensou que o banco nunca envia links encurtados. Ele não parou para perguntar por que uma mensagem do seu banco vinha de um remetente cujo nome estava em inglês. Ele só viu as palavras "acesso suspeito" e "bloqueio".

Erez clicou no link. O navegador do telefone abriu e exibiu uma página que parecia exatamente – mas exatamente – como o site de acesso do seu banco. As mesmas cores, o mesmo logotipo, as mesmas palavras tranquilizadoras sobre "navegação segura". Ele inseriu seu nome de usuário e senha. Imediatamente após, apareceu uma mensagem na tela: "Para verificação final, um código será enviado a você por SMS agora. Por favor, insira-o aqui."

Segundos depois, chegou outra mensagem. "Seu código para concluir a ação é 882931. Não compartilhe este código com ninguém." Erez, que tinha certeza de que estava em um processo de segurança, inseriu o código no site. A tela carregou por alguns segundos e depois exibiu uma mensagem reconfortante: "Sua conta foi protegida com sucesso. Obrigado por escolher nossos serviços."

Erez respirou aliviado e voltou a cortar a salada. Apenas meia hora depois, ao entrar no aplicativo do banco (desta vez através do aplicativo oficial, e não através do link), ele descobriu a amarga verdade. Sua conta não estava protegida. Enquanto ele inseria o código, os golpistas o usaram para definir um "novo beneficiário" para transferências bancárias. Uma quantia significativa de dinheiro desapareceu da conta. Os fundos foram transferidos para outra conta e, de lá, sacados em minutos.

Naquele momento, a cozinha de Erez parecia girar. A sensação de autoengano era mais difícil do que a perda do dinheiro. "Como pude ser tão estúpido?" ele se perguntou repetidas vezes. A resposta é que Erez simplesmente agiu sob pressão e foi vítima de uma engenharia social precisa.

A psicologia por trás do "clique": por que funciona?

Para entender por que o SMS falso é uma ferramenta tão letal, devemos entender a tecnologia e a psicologia que se combinam nele. Ao contrário de ataques cibernéticos complexos que invadem servidores, aqui a "invasão" é realizada na consciência do usuário.

1. Falsificação da identidade do remetente (Sender ID Spoofing)

Uma das razões pelas quais é possível cair na armadilha é o fato de que o remetente aparece com um nome oficial. A tecnologia SMS permite que os remetentes definam um "identificador alfanumérico". Esta é uma ferramenta legítima usada por empresas, no entanto, os golpistas usam esses serviços para se passar por bancos, órgãos oficiais ou empresas governamentais. Quando a mensagem é inserida em um encadeamento de mensagens anterior e real, o nível de confiabilidade aumenta.

2. Engenharia de urgência e medo

As mensagens de phishing são projetadas para motivar uma ação rápida usando palavras que ativam um impulso imediato, como "conta bloqueada" ou "dívida urgente". Quando a pressão é aplicada, a parte do cérebro responsável pelo pensamento crítico pode enfraquecer, e o impulso de agir imediatamente aumenta.

3. A tela pequena como aliada do golpista

Na tela do telefone, é muito mais difícil detectar falsificações. Os links são pequenos, a barra de endereços no navegador às vezes é ocultada ou encurtada, e a interface minimalista do smartphone às vezes serve aos propósitos dos golpistas.

Entre a fraqueza humana e a responsabilidade institucional: aspectos legais

Quando um cliente recorre ao banco com um pedido para examinar a devolução do seu dinheiro, ele pode encontrar a alegação de que fornecer o código constitui negligência grave que isenta o banco de responsabilidade. No entanto, a análise jurídica desses casos é mais complexa.

O ponto de partida jurídico em Israel é a Lei de Serviços de Pagamento, 2019. Esta lei destina-se a regular a responsabilidade em casos de uso de meios de pagamento. O artigo 26 da lei estabelece a responsabilidade do cliente e da empresa de pagamentos em caso de "transação não autorizada".

Isso é uma "transação não autorizada" ou "fraude"?

Este é um tema jurídico central. Pode-se examinar se, em casos de SMS falso, o nível de sofisticação do golpe equivale a privar o cliente de sua livre vontade e, assim, influenciar a definição da ação como "uso indevido".

Na análise jurídica de tais casos, várias questões-chave são examinadas:

• Teste do homem comum: O SMS era convincente o suficiente para enganar uma pessoa comum? Se a mensagem chegou por um canal de comunicação que parece oficial, pode-se examinar o nível de responsabilidade da instituição financeira na proteção de seus canais.
• Sistemas de detecção de fraude: O sistema detectou atividade incomum? Pode-se examinar se uma ação que difere substancialmente dos padrões de atividade normais do cliente deveria ter acendido uma "luz vermelha" nos sistemas do banco.
• Dever de cautela: O banco tem um dever de confiança para com seus clientes. Na realidade tecnológica em constante mudança, pode-se examinar se as instituições financeiras devem arcar com parte dos riscos associados ao uso de meios digitais.

A questão da negligência grave

A lei estabelece que a responsabilidade do cliente pode mudar se ele agiu em circunstâncias de "negligência grave". É importante notar que a negligência comum não é necessariamente suficiente para isentar a instituição financeira de responsabilidade. A análise jurídica examina se o comportamento foi extremo ou se trata-se de um erro humano em circunstâncias enganosas.

Exame de opções para a restituição de valores

No cenário em que um cliente descobre que foi vítima de uma fraude, a restituição dos valores não é garantida e não é um processo automático. Requer um exame minucioso das circunstâncias do caso. As instituições financeiras podem impor dificuldades, mas existem ferramentas jurídicas e regulatórias que podem ser examinadas para sua ativação.

No caso de um SMS falso, a lacuna de tempo é um fator significativo. Se o cliente descobriu a fraude e informou sobre ela rapidamente, pode-se examinar se a instituição financeira agiu com habilidade razoável para parar o dinheiro antes que ele fosse transferido.

Além disso, deve-se examinar os procedimentos de dupla autenticação. Pode-se argumentar que uma mensagem de código lacônica que não especifica a natureza da operação ou seu valor, pode enganar um cliente, fazendo-o pensar que está realizando uma operação de segurança rotineira.

Sinais de alerta: como identificar o SMS armadilha?

A prevenção é a ferramenta mais eficaz. Abaixo estão alguns sinais que despertam a necessidade de um exame minucioso:

• Criação de urgência: Mensagens que estabelecem um ultimato para ação urgente são frequentemente um sinal de fraude.
• Links suspeitos: Pequenas mudanças no endereço do site ou o uso de encurtadores de URL não são comuns em mensagens oficiais.
• Redação truncada: Linguagem pobre, erros ortográficos ou tradução automática podem indicar uma mensagem falsa.
• Solicitação de detalhes confidenciais: Instituições financeiras oficiais geralmente não solicitam a inserção de senhas completas ou códigos secretos por meio de um link no SMS.
• Mensagem inesperada: Receber uma mensagem sobre um serviço que não foi utilizado deve levantar suspeita.

Passos iniciais em caso de suspeita de fraude

Em caso de suspeita de que os dados foram fornecidos em um site falso, a rapidez é crítica:

1. Contato imediato com a instituição financeira: Entrar em contato com as centrais de emergência que operam 24 horas por dia para solicitar o bloqueio do meio de pagamento.
2. Documentação: Salvar capturas de tela da mensagem e do site suspeito.
3. Troca de senhas: Realizar a troca de senhas para serviços essenciais a partir de outro dispositivo.
4. Denúncia às autoridades: Apresentar uma queixa na polícia como parte do processo de apuração.
5. Verificação de operações na conta: Analisar a lista de beneficiários e transferências realizadas.

Análise jurídica e profissional

Durante os anos de trabalho profissional de um advogado que acompanha esses casos, cada caso é examinado individualmente. A questão central é se a instituição financeira cumpriu seu dever de minimizar os danos da fraude.

Pontos possíveis para exame jurídico:

• Alertas gerais: A instituição financeira publicou avisos específicos sobre ondas conhecidas de fraude?
• Monitoramento de atividades: O sistema detectou e alertou sobre atividades incomuns em valores altos?
• Identificação de circunstâncias incomuns: A operação foi realizada em condições que levantam suspeita, como localização geográfica estrangeira?
• Redação das mensagens de verificação: Pode-se examinar se existe uma base jurídica para a alegação de engano do cliente, caso a mensagem de código não fosse clara o suficiente.

É importante lembrar que a luta jurídica requer recursos e documentação minuciosa. Em certas circunstâncias, pode-se examinar as chances de uma ação judicial para a restituição de valores, e isso depende das circunstâncias específicas do caso e do exame das provas. A lei visa fornecer proteção em circunstâncias em que o cliente foi prejudicado, e o aconselhamento jurídico profissional pode ajudar na defesa dos direitos.

No próximo capítulo, continuaremos a examinar os padrões de fraude por meio de e-mail falso e as formas de lidar com armadilhas na rede.