Os golpes e a engenharia social

Muitos ataques não exploram uma falha técnica, e sim a confiança das pessoas: um e-mail que imita a operadora de cartões, um telefonema em nome do suporte, um boleto com os dados do recebedor trocados. A engenharia social é o nome desse tipo de manipulação, e reconhecer o padrão protege a loja e o próprio técnico, que também é alvo.

Como a manipulação funciona

Os golpes repetem os mesmos recursos:

• Urgência: um prazo curto, uma ameaça de bloqueio ou de multa, para que a vítima aja sem pensar;
• Autoridade: alguém que se apresenta como banco, operadora, fornecedor, suporte ou gerente;
• Pedido fora do normal: a senha, um código de verificação, a instalação de um programa ou um pagamento a uma conta nova;
• Segredo: o pedido para não comentar com ninguém ou para não confirmar por outro meio.

A defesa comum a todos os casos é a confirmação por um canal conhecido, como o telefone que já está no cadastro, o aplicativo oficial ou o contato de sempre. O número, o link e o QR Code que vieram na própria mensagem não servem para confirmar nada.

O phishing

O phishing é a mensagem falsa que imita uma empresa conhecida para levar a vítima a uma página falsa de login ou a abrir um arquivo malicioso. Alguns sinais ajudam a reconhecer a mensagem:

• o remetente com um endereço parecido com o verdadeiro, mas diferente, como pagamentos-example.com no lugar de pagamentos.example.com;
• o link cujo endereço real, que aparece ao passar o mouse, não corresponde ao texto;
• o pedido de senha, de código de verificação ou de dados do cartão;
• o anexo compactado, o executável ou o documento que pede para habilitar o conteúdo.

O Office no Windows bloqueia por padrão as macros de arquivos vindos da internet, com um aviso de risco de segurança e sem o botão para habilitar o conteúdo. Um e-mail que ensina a desbloquear o arquivo ou a liberar as macros é um sinal forte de ataque.

Os golpes que chegam à loja

Alguns golpes aparecem com frequência no comércio:

• Falso suporte: alguém liga em nome do suporte ou de um fornecedor e pede a instalação de uma ferramenta de acesso remoto;
• Boleto adulterado: o boleto chega com o código de barras ou os dados do recebedor trocados, e o pagamento vai para a conta do golpista;
• Troca de dados bancários: uma mensagem em nome de um fornecedor informa uma conta nova para os próximos pagamentos;
• Comprovante falso: o cliente mostra na tela um comprovante de Pix que não corresponde a nenhum pagamento recebido;
• Código de verificação: alguém pede o código recebido por SMS ou por mensagem, que permite assumir a conta de um aplicativo da loja;
• Pedido de aprovação: o celular recebe pedidos de aprovação de login sem que ninguém da loja esteja tentando entrar na conta.

Algumas conferências desmontam esses golpes:

• o nome e o CNPJ do recebedor do boleto iguais aos do fornecedor, e os três primeiros números do código de barras iguais ao código do banco que aparece no boleto;
• o DDA, o Débito Direto Autorizado, que mostra no banco da empresa os boletos emitidos em nome dela;
• a troca de dados bancários de um fornecedor confirmada pelo telefone do cadastro antes do pagamento;
• o Pix conferido no extrato ou no aplicativo do banco da loja, e não na tela do cliente;
• as senhas e os códigos de verificação guardados só por quem usa a conta, e os pedidos de aprovação que ninguém fez recusados.

Depois do golpe

Quem caiu em um golpe precisa agir rápido:

• a troca imediata da senha exposta em todos os lugares em que ela era usada, com a verificação em duas etapas e o encerramento das sessões abertas;
• o contato com o banco pelos canais oficiais, com a contestação do Pix pelo MED, o Mecanismo Especial de Devolução, ou do pagamento no cartão;
• a guarda das evidências, como as mensagens, os links, os comprovantes, os protocolos e os horários;
• o registro do boletim de ocorrência;
• a verificação do computador com o antivírus, e o isolamento da rede quando um programa foi instalado a pedido do golpista.