Link de pagamento falso: O bit inteligente que limpa contas

A revolução digital nos prometeu conveniência. Prometeu que a carteira de couro antiquada, cheia de notas amassadas e moedas pesadas, se tornaria uma memória distante. E, de fato, a revolução cumpriu. Hoje, nosso dinheiro são linhas de código, é um "ping" no telefone, é um clique rápido em um botão roxo ou azul no aplicativo. Mas, durante essa rápida transição do material para o virtual, perdemos algo muito básico: a capacidade de sentir o dinheiro saindo de nossas mãos. Quando você entrega uma nota de cem shekels, sente a falta. Quando você clica em um link de pagamento, você sente apenas satisfação tecnológica. E essa lacuna, entre a sensação de segurança digital e a realidade vulnerável, é o campo de atuação dos golpistas de links falsos.

Nos capítulos anteriores, tratamos de golpes baseados em produtos físicos ou entregadores na porta. Aqui, no capítulo 38, mergulhamos no golpe mais elegante e perigoso do comércio online atual. É um golpe que não exige que o criminoso vá até sua casa ou sequer envie um pacote vazio. Exige apenas uma coisa: que você clique no link errado. Esse link, que parece exatamente com a coisa real, é o "cavalo de Troia" moderno, capaz de esvaziar contas bancárias em poucos minutos, contornando os mecanismos de defesa mais sofisticados que você construiu em sua mente.

O cenário a seguir é um exemplo educativo baseado em padrões comuns de fraude. Os personagens e eventos destinam-se apenas à ilustração.

A história de Alon: quando o comprador era "gentil demais"

Alon, um engenheiro de software de 34 anos de Haifa, era considerado pelos seus amigos um especialista em tecnologia. É ele quem instala os roteadores deles, quem os alerta contra e-mails suspeitos e quem gerencia todos os seus assuntos financeiros através dos aplicativos mais avançados. Quando Alon decidiu vender sua câmera mirrorless profissional em um site de classificados, ele não imaginou que se encontraria no centro de um cenário que exemplifica os perigos da fraude digital.

O anúncio que ele publicou era profissional. Preço justo, fotos de alta qualidade. Em menos de uma hora, chegou uma mensagem de WhatsApp. "Oi Alon, a câmera ainda está disponível? Estou procurando exatamente uma dessas para a minha esposa, é um presente de aniversário", escreveu "Idan". A foto no WhatsApp de Idan mostrava um homem sorridente com uma criança no colo.

"Sim, está disponível", respondeu Alon. "Sou de Haifa, de onde você é?"

"Sou de Ramat Gan", respondeu Idan, "mas estou muito apertado de tempo. Se a câmera estiver em boas condições como você escreveu, eu compro agora. Vou enviar um entregador para buscá-la com você, para não termos trabalho. O que você acha?"

Alon hesitou. Ele preferia um encontro pessoal, mas a oferta era tentadora. "Como você vai pagar?", perguntou.

"Vou te enviar agora um pagamento através do serviço de links do aplicativo de pagamentos", escreveu Idan. "É o mais seguro para nós dois. Assim que você confirmar o recebimento do dinheiro, o entregador vai até você. Dessa forma, o dinheiro está na sua mão antes que a câmera saia de casa."

Um minuto depois, Alon recebeu uma mensagem de SMS anunciando o recebimento do pagamento e incluindo um link para confirmação e transferência para a conta. O link parecia legítimo: as cores eram as conhecidas e o logotipo era idêntico ao original. Alon clicou.

Ele foi redirecionado para uma página que parecia exatamente com a interface do aplicativo. "Para verificar sua identidade e concluir a transferência de fundos", estava escrito na página, "por favor, insira os dados do cartão de crédito para o qual deseja que o dinheiro seja enviado, bem como o código de verificação que será enviado a você pelo banco via SMS."

Alon parou por um momento. Por que precisaria de um cartão de crédito para receber dinheiro? Mas então ele se lembrou de que existem opções no aplicativo para sacar para um cartão. Ele queria terminar logo com isso e inseriu os dados. Em segundos, chegou um SMS do banco com um código de verificação para realizar uma operação. Alon inseriu o código no site. A tela mostrou um ícone de carregamento e, então, uma mensagem de erro indicando que a comunicação falhou.

Alon tentou escrever para Idan que o link não estava funcionando, mas Idan já não estava conectado e sua foto de perfil desapareceu. Em poucos minutos, começaram a chegar alertas do banco sobre transações com valores altos feitas no exterior. Em menos de cinco minutos, o limite do cartão de crédito de Alon foi totalmente utilizado.

Alon não recebeu dinheiro pela câmera. Nesse cenário, ele forneceu ao criminoso acesso ao seu meio de pagamento sem ter a intenção, acreditando que estava apenas "confirmando o recebimento de um pagamento".

A anatomia do link falso: por que caímos nessa?

O golpe do link falso (Phishing/Spoofing) é baseado em engenharia social. Não se baseia em invadir os computadores do banco, mas em explorar padrões de comportamento humano. Durante seu trabalho profissional e acompanhando muitos casos de vítimas de fraude, é possível identificar três pilares sobre os quais este método se sustenta:

1. Falsificação da interface (UI)

Os criminosos usam web designers que copiam o código-fonte das landing pages conhecidas. O cérebro humano, que está acostumado a identificar padrões, reconhece as cores e o logotipo conhecidos e conclui que se trata do serviço legítimo.

2. Manipulação do endereço (URL)

Esta é a principal falha técnica. Muitos usuários não examinam profundamente o endereço do site. Os criminosos usam técnicas como:

• Typosquatting: uso de um pequeno erro de digitação no endereço do site.
• Subdomínios: criação de um subdomínio que parece confiável, mas pertence a um domínio estranho.
• Encurtadores de links: uso de serviços de encurtamento de links para esconder o destino real.

3. Criação de urgência e confusão de papéis

O criminoso inverte os papéis: em vez de o vendedor pedir dinheiro, o comprador "envia" dinheiro. Com a sensação de que estamos no "lado ganhador", as defesas diminuem. A urgência artificial impede que a vítima pare e pense por que dados de cartão de crédito são necessários para receber um pagamento em um aplicativo baseado em número de telefone.

Análise jurídica: quem é responsável quando o dinheiro desaparece?

Quando as vítimas de fraude procuram assistência, a primeira pergunta que surge geralmente é se é possível examinar a responsabilidade do banco e as opções para recuperar os fundos. A análise jurídica é realizada, entre outros, através do prisma da Lei de Serviços de Pagamento, 2019.

Definição de "transação não autorizada"

A lei distingue entre uma situação em que uma pessoa realizou a transação por conta própria e uma situação em que foi feito uso de um meio de pagamento sem autorização. No caso de um link falso, trata-se de uma situação complexa: a vítima digitou os dados, mas não deu autorização para a transação específica que o criminoso realizou na prática.

A responsabilidade pelo uso indevido

A Lei de Serviços de Pagamento estabelece que, se for feito uso sem autorização de um meio de pagamento, o cliente pode não ser responsável por esse uso, sujeito a certas condições. No entanto, existe a questão da "negligência grave". As instituições financeiras podem alegar que fornecer um código de verificação enviado por SMS constitui negligência grave. Por outro lado, na representação jurídica da vítima, é possível examinar o argumento de que se trata de engenharia social sofisticada, na qual até mesmo uma pessoa razoável poderia cair.

Distinção entre "ordem de pagamento" e "recebimento de pagamento"

É possível analisar as opções jurídicas também através da pergunta se os sistemas bancários são suficientemente protegidos contra o "espelhamento" (Mirroring). Se o site fraudulento consegue obter um código de verificação em tempo real, a responsabilidade do provedor de serviços de pagamento pode ser examinada devido a uma possível falha nos mecanismos de segurança.

É importante enfatizar: não há garantia total de recuperação de fundos e a chance depende das circunstâncias do caso. O exame do caso pode incluir a habilidade do usuário, a qualidade da falsificação, a velocidade do relato e as ações tomadas pelas instituições financeiras.

A tecnologia a serviço do criminoso: como funciona o mecanismo de "captura em tempo real"?

Para entender o método de operação, é preciso conhecer o uso de servidores de "proxy reverso" (Reverse Proxy) ou ferramentas de phishing em tempo real:

1. A captura: assim que o usuário insere os dados no site falso, o criminoso os insere simultaneamente no site legítimo.
2. O código: o site legítimo envia um pedido de verificação ao banco, e o banco envia um SMS ao usuário.
3. A intermediação: o usuário insere o código no site falso achando que está confirmando uma operação, enquanto o criminoso "captura" o código e o insere no site legítimo para realizar outra operação.
4. Conclusão da transação: do ponto de vista do sistema, todos os dados de verificação necessários foram recebidos e a transação é aprovada.

Aspectos jurídicos de aplicativos P2P (Peer-to-Peer)

Aplicativos de pagamento são definidos como "serviços de pagamento". Quando uma transferência é feita voluntariamente, mesmo que como resultado de um engano, a capacidade de cancelar a transação (Chargeback) pode ser mais limitada do que em uma transação de cartão de crédito comum contra um estabelecimento comercial. O aplicativo atua como um canal para transferência de fundos e, se a ação foi aprovada pelo usuário, ele pode alegar que cumpriu seu dever contratual.

Nesses casos, a análise jurídica pode se concentrar na pergunta se o banco agiu com o nível de cuidado necessário na identificação de padrões de atividade incomuns na conta.

Quando pode surgir uma chance para examinar a recuperação de fundos?

• Relato imediato que permite a interrupção de transações que ainda não foram liquidadas definitivamente.
• Casos em que o link falso foi distribuído através da invasão de sistemas de entidades conhecidas.
• Falhas técnicas comprovadas no mecanismo de verificação do provedor de pagamento.

Como você identifica a armadilha? (Sinais de alerta)

É possível examinar sinais que indicam uma tentativa de fraude:

• Exigência incomum de dados: receber dinheiro em aplicativos não exige o fornecimento de dados completos do cartão de crédito e código CVV.
• Mensagem fora do aplicativo: suspeita em relação a mensagens SMS com links externos em vez de notificações internas no aplicativo.
• Endereço de site (URL) suspeito: verificação da extensão do endereço e busca por pequenas mudanças no nome do domínio.
• Pressão do outro lado: tentativas de apressar a operação sob o pretexto de "urgência".
• Erros linguísticos: hebraico não padrão ou formulações que indicam tradução automática.

O que fazer se você for vítima (ações imediatas)

Em caso de suspeita de ter caído em um golpe, o tempo é um fator crítico:

1. Bloqueio imediato: contato com a central do banco ou da operadora de cartão de crédito para bloquear o meio de pagamento e o acesso digital.
2. Documentação: salvamento de capturas de tela das mensagens, links e conversas.
3. Apresentação de boletim de ocorrência: recebimento de um comprovante de queixa (pode ser feito online).
4. Mudança de senhas: atualização de senhas para serviços sensíveis a partir de um dispositivo seguro.
5. Verificação das configurações da conta: garantia de que não foram configurados novos dispositivos ou permissões desconhecidas na conta bancária.

Assessoria profissional

Após tomar as medidas urgentes, é possível examinar opções jurídicas junto às instituições financeiras. Um exame profissional das circunstâncias do caso pode levar à análise das falhas na prevenção da fraude e à análise das chances de um acordo ou transação para a recuperação de fundos.

A regra básica no gerenciamento de riscos digitais é extrema cautela: o dinheiro enviado a você não deve exigir que você forneça os dados completos de acesso ao seu meio de pagamento.