Golpe do Pix: hackers contam como enganam v�timas; saiba como se proteger

Uma aposentada de 78 anos recebeu, no fim de julho, uma liga��o do filho dizendo que uma suposta funcion�ria do banco entrou em contato relatando que criminosos tentaram acessar a conta banc�ria dela.

A mulher ent�o foi a uma ag�ncia na cidade de Santos, no litoral paulista, e fez os procedimentos que a suposta funcion�ria indicou.

No dia seguinte, a aposentada recebeu uma nova liga��o avisando que os procedimentos n�o tinham sido completados e a orientou para ir a um caixa eletr�nico conclu�-los. Logo depois de seguir os passos, ela tentou fazer uma compra no d�bito em uma farm�cia e teve a opera��o negada.

Ao entrar no aplicativo do banco, a aposentada percebeu que tinham sido feitas diversas transa��es, incluindo um Pix no valor de R$ 24,7 mil e diversos empr�stimos. Os golpistas tiraram dinheiro da conta at� que o saldo ficasse negativo.

A v�tima estima que o preju�zo total tenha sido de quase R$ 60 mil. O caso � investigado como estelionato pelo 3º Distrito Policial de Santos.

A BBC News Brasil ouviu dois hackers (que dizem n�o aplicar mais golpes), especialistas em seguran�a digital e o delegado da divis�o antissequestro do Garra, da Pol�cia Civil de S�o Paulo, para entender como esses crimes s�o cometidos e como se proteger.

Os hackers disseram que os golpes podem ser divididos em duas categorias.

O mais comum � aquele que envolve algum contato entre o golpista e a v�tima. E um mais sofisticado, que envolve programas de computador e invas�es de dispositivos eletr�nicos.

As transa��es por Pix foram integralmente implantadas no Brasil h� um ano, no dia 16 de novembro de 2020.

Em entrevista � BBC News Brasil, o delegado titular da 3ª Delegacia Antissequestro, da Pol�cia Civil de S�o Paulo, Tarcio Severo, confirmou que o n�mero de sequestros-rel�mpago, crime antes considerado adormecido, disparou ap�s a implanta��o do Pix no Brasil e que h� inclusive quadrilhas migrando para esse tipo de crime.

Uma semana ap�s a reportagem, o Banco Central anunciou que limitarias o valor das transfer�ncias banc�rias feitas das 20h �s 6h.

Ataque hacker

H� v�rios tipos de ferramentas digitais para aplicar o golpe. A mais comum chama-se capturador de sess�es. Nela, o golpista envia um PDF ou um e-mail para a v�tima com um arquivo que, caso seja aberto, vai infect�-la de alguma forma.

Com o v�rus implementado, quando a v�tima abrir um aplicativo de banco, o invasor automaticamente receber� uma notifica��o em sua tela informando que a v�tima abriu uma sess�o no banco. O hacker ent�o captura a sess�o daquela pessoa, com a combina��o de senhas, para conseguir obter acesso � conta dela.

Os bancos, entretanto, refor�aram a seguran�a nesse sentido, ressaltou o delegado.

"Mesmo que o hacker tenha a sua senha e sua conta, ele geralmente n�o consegue logar (acessar pela internet) no banco por ser de um local diferente (do autorizado) ou (por que o banco) identifica um acesso n�o autorizado", explica.

O v�rus permite que o hacker use o computador da pr�pria v�tima para acessar o site do banco e fazer transfer�ncias via Pix. Em casos em que o banco exige algum tipo de n�mero fornecido por um token, o hacker precisa clonar o n�mero do celular da v�tima para ter acesso ao c�digo do token.

Segundo especialistas, isso � feito em parceria com pessoas que trabalham em operadoras de telefonia, que bloqueiam o chip da pessoa e o recadastra em um outro chip, do hacker. O custo desse servi�o ilegal varia entre R$ 400 e R$ 500.

Al�m desses programas que furtam sess�es de bancos ap�s infectar o equipamento das v�timas, tamb�m h� os phishings — mensagens falsas que induzem a v�tima a compartilhas seus dados — dos simples aos mais avan�ados. Os mais b�sicos s�o aqueles em que o golpista cria uma p�gina falsa na qual a v�tima acessa por meio de um link de oferta enganosa ou algo parecido.

Hoje, ele � mais incomum porque as pessoas v�o direto no endere�o do site quando querem comprar algo, em vez de acessar por meio de um link. Mas esse tipo de golpe ainda ocorre.

O phishing mais complexo exige que o hacker tenha acesso ao DNS (Domain Name System) da v�tima. Ao digitar um endere�o para acessar um site, o DNS do computador identifica a qual endere�o de IP esse site corresponde, analisa se ele � confi�vel e prossegue com o acesso.

Se um hacker acessa o DNS, ele pode "enganar" o computador da pessoa sobre qual site est� sendo acessado. No navegador da v�tima, aparecer� o endere�o digitado pelo usu�rio, com o cadeado verde ao lado, que atesta a seguran�a da p�gina. Mas, na verdade, trata-se de uma p�gina falsa que algu�m clonou para enganar o DNS do computador da v�tima.

Mas conseguir acesso ao DNS para v�tima para alterar esses dados � a parte mais dif�cil da invas�o. Uma das formas � incluir algum c�digo em algum site de acesso em massa — como um portal de not�cias ou um site de gaming — para que o hacker possa trocar o DNS de diversos usu�rios que tenham senhas facilmente decifr�veis em seu roteador (como "1234").

Esse m�todo hoje, ele explica, � mais dif�cil de ocorrer em sites de bancos, que investiram em novas tecnologias de prote��o. Mas costumava ser algo comum.

Um hacker ouvido pela BBC News Brasil explicou que a maior dificuldade desse m�todo � espalhar o v�rus ou conseguir v�timas. Quando o criminoso consegue isso, ele rouba o dinheiro imediatamente e o usa para comprar criptomoedas e ocultar a sua origem.

Isso criou um segundo mercado paralelo: o de vendas de licen�as de programas para hackers. Para ganhar dinheiro cooperando com o crime, mas "sem sujar as m�os", alguns programadores desenvolvem programas que roubam dados e "alugam" a licen�a de um programa desses por at� R$ 2 mil por semana.

SMS emergencial

Um dos golpes mais comuns � o do SMS emergencial, no qual o golpista dispara milhares de mensagens autom�ticas pedindo socorro e solicitando uma transfer�ncia via Pix para solucionar um problema financeiro.

Os especialistas ouvidos pela BBC News Brasil dizem que poucas pessoas caem nesse tipo de golpe, mas que ainda assim � vantajoso para o golpista.

"Se o cibercriminoso mandou mensagem para mil pessoas e uma delas caiu no golpe, j� � um estrago gigantesco. Ainda mais se ele conseguir acesso a uma conta e conseguir fazer um empr�stimo pessoal, consignado, fazer transfer�ncias. Ele chega a roubar R$ 10 mil por dia. Um neg�cio muito lucrativo para ele", afirmou Em�lio Simoni, especialista em seguran�a digital e diretor do dfndr Lab, do grupo CyberLabs-PSafe.

Como se proteger?

Segundo Simoni, a maioria dos golpes aplicados por hackers exigem uma engenharia social para enganar as v�timas, muitas vezes com o criminoso se passando por banco ou por empresa.

"� comum o golpista dizer que o cliente est� com um problema no Pix e que precisa fazer uma transfer�ncia para test�-lo. Ou at� dizem que se ele fizer um Pix vai receber em dobro porque o sistema est� com problemas."

De acordo com o especialista, a Receita Federal bloqueou, at� setembro de 2021, mais de 2,7 milh�es de tentativas de golpes envolvendo o Pix.

1. Baixe um antiv�rus

Uma das maneiras de proteger o celular de um golpe � instalando um software antiv�rus no aparelho. Simoni disse que o mais baixado no Brasil � o Defender Security, gratuito e criado no Brasil — com 200 milh�es de downloads e 6 milh�es de aparelhos que o usam diariamente. Segundo ele, aplicativos de defesa contribuem para que o aparelho n�o fique vulner�vel a ataques.

2. Fique atento ao visitado e desconfie de mensagens recebidas

Al�m de instalar um antiv�rus, o especialista em seguran�a cibern�tica disse que as pessoas precisam desconfiar de mensagens e liga��es de desconhecidos. Essa � a origem da maior parte dos golpes que envolvem estelionato.

"Na d�vida, procure a institui��o que entrou em contato. Ligue para o gerente perguntando se realmente h� uma cobran�a, retorne a liga��o para o n�mero que te procurou e tome cuidado ao passar seus dados pessoais, principalmente senhas.

Um desses ataques � aplicado por meio de conex�es wi-fi ou p�ginas de sites confi�veis, como portais de not�cias e lojas de departamento.

3. Escolha senhas seguras e dif�ceis

Criado por hackers em 2013, o programa DNS Change invade celulares com senhas de wi-fi f�ceis, como "12345678" ou "adm1234" e troca a identidade do aparelho.

Desta forma, o golpista consegue ter acesso ao aparelho e espelhar a tela em seu computador sempre que o usu�rio entrar em um site ou p�gina que o interesse, como a de um banco. O hacker usa uma p�gina falsa para que o usu�rio coloque suas senhas, n�mero de ag�ncia e conta.

Segundo Simoni, especialista em seguran�a, cerca de 40% dos celulares brasileiros est�o vulner�veis a esse tipo de golpe porque possuem senhas f�ceis ou n�o t�m senha.

J� assistiu aos nossos novos v�deos no YouTube? Inscreva-se no nosso canal!