“Meu problema é que sou uma pessoa desligada. Só que eu não sei porque peguei e abri a fatura. Impossível eu ter feito uma compra de R$ 400 e não lembrar. Quando eu vi os jogos, eu nem tenho Googleplay no celular. A fatura seguinte chegou, e a primeira coisa que eu fiz foi conferir dado por dado”, relata Torres, que já havia passado por situação semelhante em 2018.
O diretor de arte ligou para o banco para cancelar o cartão e não pagou pelas operações não autorizadas. Ele acredita que os dados tenham sido capturados em algum site de compras.
“Quando liguei para o banco disseram que poderia ser algum tipo de site em que comprei alguma coisa. Foi até legal que eles deram dica para usar o cartão que é gerado virtualmente. Agora, todas as compras on-line eu uso cartão virtual”, afirma.
E todos esses cuidados tomados agora por Torres são necessários. O Brasil lidera um ranking de 65 países de vazamento de dados de cartão de débito e crédito. Em 2020, o país contabilizou 45,4% do total de 2.842.779 cartões expostos detectados pela empresa de cibersegurança Axur, ficando 10 pontos percentuais à frente do segundo colocado, os Estados Unidos.
O levantamento da empresa mostra ainda que das 10 instituições financeiras com maior volume de dados vazados, sete são brasileiras. A identificação da empresa pode ser feita pelos seis primeiros dígitos de um cartão de crédito ou débito, o Bank Identification Number (BIN).
vazamento de dados de cartões
Segundo Eduardo Schultze, líder de Threat Intelligence da Axur, a liderança do Brasil no ranking é explicada pelo tamanho da população, com um grande número de potenciais vítimas para os criminosos. Além disso, o crescimento do comércio eletrônico tem dado impulso aos golpes. “Muitas pessoas estão comprando pela primeira vez pela internet”, afirma.
O golpe mais comum, explica o especialista, é o phishing, ação fraudulenta caracterizada por tentativas de adquirir ilicitamente dados de outra pessoa como números de cartões de crédito e informações financeiras. Em geral, a vítima é levada para um site falso onde ela digita os dados, que serão capturados pelo criminoso .
“Uma outra forma é o malware, o vírus que fica monitorando tudo o que a pessoa digita, mas é o menos comum, porque hoje em dia há muitas proteções contra a instalação destes arquivos”, completa.
Os canais para a captura de dados vêm se multiplicando nos últimos anos. Além de e-mail e SMS, as redes sociais e aplicativos também são usados nas tentativas de levar a vítima a um site falso. “Eles começaram a colocar anúncios em redes sociais para sites falsos. Aparece ali que a pessoa está navegando como se fosse a loja verdadeira, ela clica na loja que tem o layout todo igualzinho ao original, mas não presta atenção na url (endereço da página)”, afirma Schultze.
O perfil falso em redes sociais também é uma outra forma de atrair as vítimas. Nesse tipo de golpe, o criminoso cria uma página de uma marca conhecida. “Ele aborda a pessoa ou a pessoa vai falar com ele. O objetivo é sempre fazer a pessoa clicar ou chegar a algum site que eles criaram”, diz o especialista.
O Pix, sistema de pagamento lançado pelo Banco Central, também virou isca para golpes. Somente na primeira semana de cadastramento de chaves do Pix,em outubro, a empresa de cibersegurança Kaspersky identificou 60 domínios falsos que usam as técnicas de “phishing” para o roubo de informações.
Esquema setorizado
“Quem captura as informações, normalmente, não é quem usa o cartão. Ele é o vendedor e tem compradores. É bem setorizado”, explica o especialista.
Segundo Schultze, desenvolvedores criam um código que será vendido para outras pessoas montarem o site falso. Após a coleta ilegal dos dados da vítimas, eles vendem as informações para pessoas especializadas em comprar produtos com o cartão roubado.
“E aí, eles usam para tudo, colocam no Netflix, no Uber, no iFood. E quando fazem compras on-line, geralmente, não colocam o seu próprio endereço e, às vezes, até pagam um valor por mês para alguém do rolo mesmo para receber a encomenda”, afirma.
Com a encomenda em mãos, o criminoso usa ou revende o produto. “Compro um iPhone com cartão roubado, não paguei nada pelo produto e boto para vender mais barato em um site. É um aparelho original, com nota fiscal, e eu recebo o dinheiro limpo”, detalha.
Direitos do consumidor
O tapeceiro Danilo Constantini Pereira, 33, teve o seu cartão de crédito clonado duas vezes em 2020, no início e no fim do ano. Na primeira vez, foram realizadas compras pequenas, de no máximo R$ 15 – a maioria delas no iFood – e outras duas de cerca de R$ 25 no Mercado Livre, que somadas chegaram a R$ 150. Já no segundo golpe a conta ficou em R$ 250.
“É revoltante, né?”, diz Pereira.
O tapeceiro conta que não sabia que poderia ter dinheiro restituído pela instituição financeira e acabou pagando a fatura do primeiro golpe. Na segunda vez, os valores foram descontados da fatura.
“Eu pensava que teria que provar que a compra não era minha. Depois eu pesquisei e percebi que eu não preciso provar nada, eles têm que investigar para achar a fonte. Por isso, eu nem falei nada na época. Na segunda vez, eu não tinha como pagar, então fui pesquisar e perguntar para os meus colegas”, disse.
A advogada Juliana Moya, especialista em relações institucionais da Proteste, alerta, no entanto, que a instituição é obrigada a devolver os valores apenas se tiver havido o vazamento dos dados e senhas dos cartões por falhas no sistema de segurança da próprio banco ou administradora.
“Se o titular empresta o seu cartão ou fornece as suas senhas a terceiros e estes efetuam transações, o titular não terá direito a obter restituição. Também não cabe restituição quando o titular do cartão insere os seus dados em sites fraudulentos, pois cabe ao titular verificar a segurança dos sites antes de fornecer este tipo de informação”, diz.
Segundo a advogada, quando uma pessoa tem o cartão clonado, o primeiro passo é entrar em contato com o banco ou a empresa que administra a bandeira do cartão de crédito, para comunicar a situação e pedir o bloqueio do cartão, caso seja constatado que houve clonagem.
“É importante fazer boletim de ocorrência para comprovar a fraude e para que o titular do cartão não seja responsabilizado por compras indevidas feitas em seu nome. Também é importante para que a polícia possa iniciar uma investigação sobre os fatos e identificar os autores da fraude”, afirma.
A especialista diz ainda que se as transações indevidas aconteceram por falhas na segurança do banco e a instituição não quiser devolver o dinheiro, o titular pode ingressar com ação judicial pedindo a devolução dos valores.
Dicas dos especialistas
Não clique em links suspeitos. Desconfie de promoções de produtos com preços muito baixos. Procure o site oficial da loja e tente achar o produto e sempre confira o endereço da página, a url;
Não passe códigos. Normalmente, lojas e bancos não abordam clientes nas redes sociais ou no WhatsApp pedindo dados pessoais;
Cadeado verde não é garantia. Ele não significa que o site é oficial, diz o especialista da Axur, mas que os dados digitados serão enviados de forma criptografada. Não adianta nada se eles forem enviados ao criminoso. Esse certificado era muito caro, mas agora é mais acessível: 50% dos sites falsos têm o cadeado verde;
Antivírus e sistema atualizado. Mas não é para achar que por ter o antivírus você está imune e pode entrar em tudo o que é site e baixar tudo o que ela quiser. Às vezes, o antivírus demorar para identificar uma ameaça nova. Já a atualização sistema, além de melhorar o desempenho da máquina, corrige falhas de vulnerabilidade;
Aviso por SMS e cartão on-line. Acione o sistema de mensagem para ser avisado de cada transação feita com o cartão. Nas compras pela internet, utilize o cartão de crédito virtual, que é criado somente para uma determinada transação;
Memorize a senha. Não deixe a senha registrada por escrito em nenhum local;
Caixa eletrônico. Não aceite ajuda de estranhos ao usar caixas eletrônicos. Comunique o banco imediatamente caso o cartão fique preso no caixa eletrônico;
Dados por telefone. Muita atenção às ligações telefônicas que ficam pedindo atualizações de seus dados. Tome cuidado com pesquisas feitas pelo telefone ou mesmo com ligações oferecendo promoções, nas quais é preciso dizer o seu CPF, nome de seus pais etc;
Sorteios. Fique atento ao preencher seus dados em cupons para sorteios. Depois que o prêmio é sorteado, ninguém sabe onde essas urnas irão parar;
Cartões e faturas antigos. Cartões fora da validade ou que não são utilizados mais devem ser inutilizados. Ao jogar fora faturas do cartão e extratos bancários, rasgue-os de modo a impedir a identificação dos dados.
