Uma chamada de um número oculto, uma operação suspeita anunciada e, depois, códigos QR para validar na aplicação: no caso relatado pela RTL, cada etapa foi apresentada como uma medida de proteção. No entanto, contribuiu para um desvio de 10 000 euros. O caso mostra como uma burla telefónica pode recorrer a ferramentas digitais legítimas; as fontes consultadas não relatam qualquer ataque informático à LuxTrust.
A urgência transforma a vítima em executante
A RTL relata que Marc, nome alterado pela redação, conduzia quando alguém lhe ligou e se apresentou como funcionário da LuxTrust. Falou-lhe de uma transferência suspeita de 750 euros para a Roménia e propôs bloqueá-la. Os contactos prolongaram-se por dois dias: o falso consultor explicava que era necessário seguir um procedimento para anular a operação e bloquear os cartões bancários.
O relato associa várias ações, cada uma apresentada como uma etapa de segurança. Marc forneceu palavras-passe e dados pessoais, depois digitalizou códigos QR recebidos por e-mail e confirmou operações na aplicação da LuxTrust. Também preencheu um formulário e entregou os cartões a um homem que foi buscá-los. No dia seguinte, o banco informou-o de que tinham sido debitados 5 000 euros de cada um dos seus dois cartões, num total de 10 000 euros. Contactou o banco e apresentou queixa; à data da reportagem, não havia garantia de reembolso.
O mecanismo depende menos de um feito informático do que de uma encenação coerente. O interlocutor anuncia uma ameaça, apresenta-se como alguém capaz de a neutralizar e indica o que fazer. A pressão reduz o tempo disponível para verificar a situação; a repetição das chamadas alimenta a impressão de que há um processo em curso. Um código QR ou uma aplicação conhecidos não tornam, por si só, legítimo o pedido: o que importa é a ação que lhe pedem para confirmar.
Quando os dados tornam a falsa chamada credível
A LuxTrust descreve o vishing como uma forma de phishing feita por telefone: o burlão faz-se passar por uma organização de confiança para obter informações sensíveis ou levar a pessoa a agir. A empresa aponta a urgência, o medo e os alertas de segurança inventados entre os recursos mais comuns. Alerta também para o phishing por e-mail ou SMS e para o quishing, que usa um código QR para encaminhar para um site falso ou desencadear uma ação maliciosa.
Estas técnicas podem suceder-se. Uma pessoa que já tenha respondido a uma mensagem ou introduzido dados num site fraudulento pode receber, depois, uma chamada que pareça estar relacionada com o incidente. A RTL explica que as informações pessoais obtidas através de phishing podem tornar a conversa mais convincente. Essa aparente coerência, porém, não confirma a identidade de quem telefona: detalhes corretos sobre uma pessoa não provam que o interlocutor represente a organização que diz representar.
No caso relatado pela RTL, a recolha dos cartões em casa é outro sinal a ter em conta. A LuxTrust afirma que nunca envia alguém para recolher cartões bancários ou dispositivos de autenticação. A empresa esclarece também que não pede palavras-passe, códigos de utilização única nem códigos PIN por telefone, e-mail ou SMS. Estes princípios permitem fazer uma verificação concreta perante uma chamada apresentada como uma intervenção de segurança.
Interromper o procedimento e recuperar a iniciativa
A primeira precaução consiste em não prosseguir um procedimento indicado durante uma chamada inesperada. Não forneça palavras-passe, PIN ou códigos de segurança, nem valide uma operação numa aplicação apenas porque quem lhe telefona diz que é necessário fazê-lo para bloquear uma fraude. Também não digitalize um código QR recebido neste contexto sem verificar a sua origem e o destino para onde encaminha.
Se continuar na dúvida, termine a conversa e contacte diretamente a entidade em causa, usando os contactos disponíveis no respetivo site ou nos seus documentos oficiais. Assim, não fica dependente do número, da ligação ou do endereço de e-mail fornecidos por quem o contactou. A recomendação da AXA citada pela RTL segue a mesma linha: se tiver dúvidas sobre uma mensagem, contacte diretamente a empresa em vez de seguir uma ligação suspeita.
Se já tiver introduzido ou comunicado informações, contacte imediatamente o seu banco para relatar a situação e pedir a verificação de transações ou tentativas de acesso. Se tiver sido debitado dinheiro, o banco pode analisar se ainda é possível travar uma operação ou recuperar o montante, sem que isso garanta o reembolso. Apresentar queixa à polícia permite também comunicar os factos e contribuir para uma investigação.
A RTL relata que foram comunicados à polícia 66 casos de fraude em outubro, incluindo falsas chamadas, e-mails e SMS. Este número diz respeito às participações mencionadas no artigo; não representa, por si só, todas as tentativas nem a sua evolução ao longo de um período mais extenso. Para o leitor, a regra prática é imediata: quem afirma estar a proteger uma conta não lhe deve pedir que revele os seus dados de acesso, confirme uma operação às cegas ou entregue os cartões a terceiros.
Referências
- RTL Lëtzebuerg: falsa chamada da LuxTrust e perda de 10 000 euros
- LuxTrust: reconhecer e evitar burlas
Chamada recebida num telemóvel. Fotografia ilustrativa.
