⚠ AVISO — TRADUÇÃO NÃO VERIFICADA
Traduzido por inteligência artificial, ainda não revisado por um falante nativo. Por enquanto, não imprima nem distribua.
Você fala português? Uma hora do seu tempo basta para revisar. Escreva para [email protected]
(NOTICE — unvalidated AI translation, not reviewed by a native speaker. Please do not print or distribute this yet.)
«Há um problema com a sua conta»
Este é o golpe mais relatado pelos americanos com mais de sessenta anos. Não é o mais caro, mas é o que chega com mais frequência, e com o maior número de disfarces.
Como ele chega
Uma mensagem de texto, um e-mail ou um recado de voz sobre um problema:
- Uma cobrança que você não fez. Responda SIM ou NÃO
- Sua conta está bloqueada ou suspensa
- Sua senha está para vencer
- Um pagamento falhou e seu serviço será cortado
- Sua encomenda não pôde ser entregue
- Um pedágio não pago
- Confirme seus dados para não perder seus benefícios
- Seu antivírus foi renovado automaticamente por 499 dólares. Ligue para cancelar
Eles se passam por quem você provavelmente tem: Amazon, seu banco, Netflix, o correio, Apple, Medicare, Microsoft, a companhia de luz, PayPal.
O que eles querem
Uma de três coisas, e qualquer uma delas já serve:
- Sua senha, por meio de um link para uma página de acesso falsa de aparência perfeita
- Seu código de verificação, os seis dígitos que o banco manda por mensagem
- Uma ligação feita por você, que se transforma em um dos golpes maiores deste site
Essa terceira versão é a que mais cresce, e a mais astuta. Não há link nenhum para examinar nem site falso nenhum para reconhecer. Só um número de telefone e uma história. Os conselhos de segurança que se resumem a «não clique em links» não ajudam em nada aqui.
As formas que ele assume
O mesmo golpe, veículos diferentes. Cada forma tem seu próprio jeito de parecer inofensiva.
O e-mail falso de «confirme sua conta»
O mais antigo e ainda o mais comum. Uma mensagem igualzinha à de uma empresa que você usa, com um botão escrito Confirmar, Verificar, Revisar ou Atualizar. O botão leva a uma cópia da página de acesso verdadeira. Você digita sua senha na cópia, e a cópia é deles.
A cópia costuma ser perfeita. Os logotipos, as letras, o texto do rodapé, até o pequeno link de cancelamento lá embaixo são tirados direto de um e-mail verdadeiro. Uma página parecer certa não é prova. Parecer certa é justamente todo o produto deles.
A mensagem de texto
A mesma coisa, mais curta, e mais difícil de examinar porque a tela do telefone esconde quase todo o endereço. A encomenda, o pedágio e o recall são os três que você mais vai receber, e eles têm uma página só deles (em inglês).
O remetente falsificado
O nome que você vê não é o endereço de onde a mensagem veio. Os programas de e-mail mostram um nome amigável, e esse nome quem escolhe é o próprio remetente. «Alerta de Fraude Chase» pode estar sentado em cima de um endereço como [email protected].
No telefone isso pesa mais, porque o nome amigável costuma ser tudo o que mostram a você. É tocando no nome do remetente que o endereço de baixo aparece, e quase ninguém toca.
O link contra o anexo
O link leva você a algum lugar. O anexo traz alguma coisa até você. Os dois são usados, e o anexo é o que as pessoas menos esperam.
Ele chega como fatura, recibo, fax, recado de voz, etiqueta de envio ou intimação judicial, em PDF, documento do Word ou arquivo ZIP. Alguns anexos simplesmente guardam o mesmo link falso lá dentro, o que faz a mensagem passar pelos filtros que só olham links. Outros pedem que você habilite a edição ou habilite o conteúdo ao abrir, e é esse segundo clique que instala alguma coisa.
Você não encomendou uma fatura que não estava esperando. Um documento que chega do nada recebe o mesmo tratamento de um link: deixe fechado, procure a empresa do seu próprio jeito e pergunte se mandaram alguma coisa para você.
O código QR
Mais novo, e funciona porque um quadrado de pontinhos não lhe dá nada para ler. Não há endereço nenhum para examinar de perto, então não há nada de errado para notar.
Aparecem como adesivos colados por cima do código verdadeiro em um parquímetro ou em um posto de recarga, impressos em panfletos e em avisos falsos de corte de serviço, e dentro de e-mails como imagem, o que os faz escapar dos programas que só examinam links.
Seu telefone quase sempre mostra o endereço antes de abrir qualquer coisa. Leia esse endereço antes de tocar em Abrir. Se não for a empresa que você esperava, feche. E um código que chega em uma mensagem que você não pediu é simplesmente um link em uma mensagem que você não pediu. Não use de jeito nenhum.
O alerta «foi você?»
O mais astuto de todos, porque toma emprestada justamente a forma da mensagem que deveria proteger você.
«Alerta de segurança: sua conta foi acessada de um novo aparelho em Dallas, TX. Se não foi você, proteja sua conta aqui.»
Não aconteceu nada. Não houve acesso nenhum. O susto é a isca, e «Não, não fui eu» é o botão que eles esperam, porque ele leva a uma página de acesso que é deles.
O mesmo truque chega como uma redefinição de senha que você nunca pediu, e como um pedido de verificação no telefone que fica vibrando até você aprovar só para que pare.
Nunca aprove um pedido que não foi você que começou. Uma redefinição que você não pediu não é uma tarefa, é um aviso. Ignore a mensagem, entre na conta do jeito que você sempre entra, e veja você mesmo.
Os sinais
Cada um deles é motivo para ir mais devagar e olhar. Nenhum deles é prova, em nenhum dos dois sentidos. Uma mensagem com três desses sinais ainda pode ser seu banco de verdade em uma manhã ruim, e uma mensagem sem nenhum ainda pode ser golpe. Um sinal é uma indicação para ir conferir por conta própria. Nunca é um veredito, e nunca é motivo para se sentir bobo por ter acreditado em uma coisa bem feita.
O link está errado, e o errado é pequeno. Verdadeiro: chase.com. Falso: chase-secure-alerts.com, chase.verify-account.net, chasebank-support.co.
Regra melhor ainda: não examine link nenhum. Não fique bom em identificar falsificação. Simplesmente nunca use nenhuma. Digite o endereço você mesmo, ou use seu próprio favorito, ou o aplicativo do seu banco.
A saudação é genérica. «Prezado cliente», «Prezado titular». Seu banco sabe seu nome.
Pressa junto com um prazo. 24 horas. Imediatamente. Ou sua conta será encerrada.
Erros pequenos. Gramática estranha, um espaço esquisito antes da pontuação, um logotipo com a cor um pouco errada. Repare: os bons já não têm nenhum desses. A inteligência artificial escreve limpo agora. A ausência de erros não prova nada.
O único caminho adiante fica dentro da mensagem. Todas as saídas que ela lhe oferece, o botão e o número e o código e o anexo, moram dentro da própria mensagem. As empresas de verdade ficam contentes quando você as procura do seu próprio jeito. Uma mensagem que precisa que você fique dentro dela está lhe dizendo alguma coisa.
Chegou do nada. Você não estava esperando encomenda nenhuma. Você não anda naquela estrada de pedágio. Você não tem aquela assinatura. Embora às vezes tenha mesmo: eles mandam aos milhares e alguns caem certo.
Como olhar sem tocar em nada
Você não precisa desta parte. A regra logo abaixo resolve todos os casos sem exame nenhum. Mas as pessoas gostam de olhar, e olhar é seguro enquanto você nunca tocar.
No computador, passe o cursor por cima. Deixe o ponteiro em cima do link sem clicar. O endereço verdadeiro aparece no canto de baixo da janela, ou em uma caixinha ao lado do ponteiro.
No telefone, pressione e segure. Mantenha o dedo no link por um segundo em vez de tocar. Abre um painel mostrando o endereço inteiro, com a opção Copiar e a opção Cancelar. Leia e depois Cancelar.
Para ver o remetente verdadeiro, toque no nome do remetente. O nome amigável se abre e mostra o endereço verdadeiro embaixo.
Leia um endereço da direita, não da esquerda. Ache a primeira barra sozinha. As duas palavras logo antes dela são o dono da página, e nada mais é:
- chase.com/login é Chase
- secure.chase.com/alerts é Chase
- chase.secure-login.net/verify é secure-login.net, não é Chase
- chase-com.info/account é chase-com.info, não é Chase
Tudo o que estiver à esquerda dessas duas palavras pode dizer absolutamente qualquer coisa. É esse o truque inteiro, e é por isso que as falsificações se leem tão bem.
Agora guarde tudo isso. Saber examinar um link é truque de salão. Nunca usar nenhum é defesa. Quem cai não é quem não teria percebido. É quem estava cansado, ocupado ou com pressa, e deu um segundo de atenção em vez de cinco.
O que fazer
Nunca use o link. Nunca use o número da mensagem.
Em vez disso:
- Abra o aplicativo do seu banco, ou digite o endereço que você já conhece
- Ligue para o número que está atrás do seu cartão
- Entre do jeito que você sempre entra
Se o alerta for verdadeiro, ele vai estar esperando dentro da sua conta. Se não tiver nada lá, é porque não havia nada.
Nunca leia um código de verificação para ninguém. O banco manda esse código justamente para manter os outros de fora. Nenhuma instituição legítima vai pedir que você o diga em voz alta ou digite em uma conversa. Quem pede está parado na porta do seu banco tentando fazer você entregar a chave.
Não responda STOP a uma mensagem de golpe. Isso confirma que uma pessoa de verdade lê aquele número. Apague, ou denuncie encaminhando para o 7726 (SPAM), gratuito em todas as operadoras dos Estados Unidos.
Os três passos, aplicados a uma mensagem
Este site tem um método só, e aqui ele funciona exatamente como funciona em uma ligação telefônica.
Procure você mesmo.
Não o link. Não o número da mensagem. Não o endereço da assinatura. Abra o aplicativo que você já tem, ou digite o endereço que você já conhece, ou use o número que está atrás do seu cartão.
Procure a empresa você mesmo.
Feche a mensagem primeiro, depois entre em contato do seu próprio jeito e pergunte com clareza: «Recebi uma mensagem dizendo que há um problema com a minha conta. Foi de vocês?» Se o alerta for verdadeiro, ele vai estar esperando dentro da sua conta. Se não tiver nada lá, é porque não havia nada.
Espere um dia.
Quase nada dentro de uma conta de verdade precisa de resposta hoje à noite. Um bloqueio de fraude de verdade, uma conta atrasada de verdade e um recall de verdade sobrevivem todos a uma noite de sono. O prazo da mensagem é a única parte dela que com certeza é falsa.
A mensagem quer que os três passos aconteçam dentro dela: o link dela, o número dela, o relógio dela. Tirar qualquer um dos três para fora já basta para acabar com ela.
Se você clicou e digitou sua senha
- Troque essa senha imediatamente, no site verdadeiro, digitando o endereço você mesmo
- Se você usa essa senha em outro lugar, troque lá também. O estrago de verdade é esse. Uma senha repetida abre uma vida inteira.
- Troque primeiro a senha do seu e-mail se era a mesma
- Ative a verificação em duas etapas onde for oferecida
- Acompanhe seus extratos por três meses
Você não está encrencado. Você digitou uma coisa em um campo. Milhões de pessoas fazem isso todo ano, inclusive gente cuja profissão é segurança de computadores.
Se você abriu um anexo
Abrir o arquivo geralmente não é o momento do estrago. O estrago vem do que ele pediu que você fizesse em seguida.
- Se você abriu, fechou e não aconteceu mais nada, o mais provável é que esteja tudo bem. Apague.
- Se você habilitou a edição, habilitou o conteúdo, permitiu um download, ou se algum programa se instalou sozinho, passe uma verificação com o programa de segurança que já está no seu computador e peça para alguém de confiança dar uma olhada.
- Se você digitou uma senha para ver o documento, trate exatamente como na seção acima. Troque essa senha, e troque em todo lugar onde a repetiu.
A mudança que faz tudo isso deixar de importar
Repetir a mesma senha em todo lugar é o motivo de uma senha roubada virar dez contas roubadas. Um gerenciador de senhas resolve isso de vez: ele inventa uma senha diferente e mais difícil para cada site e guarda todas, então você só precisa lembrar de uma.
É bem provável que você já tenha um, de graça, dentro de um aparelho que já é seu. Apple («Senhas» no iPhone e no Mac), Google («Gerenciador de senhas» no Chrome e no Android) e Microsoft (no Windows e no Edge) já vêm com um. Não precisa comprar nem instalar nada. Peça a alguém de confiança para ajudar a ligar isso e a mudar para lá suas senhas mais importantes, o e-mail e o banco primeiro.
O hábito que acaba com essa categoria inteira
Nunca use um link ou um número que chegou até você. Procure a empresa do seu próprio jeito, toda vez, sem exceção.
Isso não é vigilância e não exige que você examine nada. É um hábito, e assim que você o tem, essa categoria inteira de golpe simplesmente para de funcionar com você: a versão de hoje e todas as que eles inventarem depois.
Relacionado: Os três passos · Todas as páginas em inglês