A Check Point® Software Technologies Ltd. (NASDAQ: CHKP), empresa pioneira e líder global em soluções de cibersegurança, revela uma campanha coordenada de engenharia social na qual cibercriminosos monitorizam reclamações públicas dirigidas a companhias aéreas e outras marcas, fazem passar perfis falsos por equipas de apoio ao cliente e abordam consumidores que procuram ajuda. A investigação da Check Point Exposure Management identificou milhares de contas fraudulentas no X, Facebook e Instagram, com centenas de novos perfis a surgir diariamente.
Os investigadores interagiram diretamente com os atacantes e acompanharam todo o percurso da fraude, desde a primeira resposta nas redes sociais até às conversas no WhatsApp e aos falsos processos de compensação. Em diferentes variantes, as vítimas recebem a indicação de que têm direito a um reembolso, mas acabam por ser conduzidas a aplicações de pagamento ou formulários que pedem dados pessoais, informações da reserva e elementos do cartão bancário.
A investigação mostra que a superfície de ataque das organizações já não se limita aos seus sistemas e infraestruturas. A exposição também se desenvolve nos canais públicos onde as marcas comunicam com clientes, o que exige visibilidade contínua sobre perfis fraudulentos, usurpação de identidade e risco de marca.
Principais conclusões da investigação
Os atacantes monitorizam reclamações públicas. Os falsos perfis respondem a clientes insatisfeitos em publicações de marcas verificadas e imitam a linguagem utilizada por equipas legítimas de apoio ao cliente.
Foram identificadas milhares de contas fraudulentas. Os perfis encontrados no X, Facebook e Instagram fingem ser companhias aéreas, marcas de viagens, departamentos de reclamações e equipas de apoio.
As conversas passam rapidamente para canais privados. Os consumidores recebem pedidos de número de telefone, dados da reserva e outras informações antes de a interação seguir para o WhatsApp.
Os falsos reembolsos servem de isco. Os investigadores documentaram três variantes destinadas a recolher dados pessoais e financeiros sob a promessa de uma compensação já aprovada.
A campanha permanece ativa e evolui. Embora algumas contas sejam anteriores a 2024, a maioria foi criada a partir desse ano, com centenas de novos perfis e novas técnicas a aparecer diariamente.
Como funciona o esquema
O ataque começa com uma reclamação genuína publicada numa rede social. Perante situações como atrasos de voos, bagagem extraviada ou reembolsos pendentes, um perfil fraudulento responde diretamente ao cliente, pede desculpa em nome da marca e oferece ajuda. O objetivo é conquistar confiança e retirar a conversa do espaço público.
Algumas contas utilizam logótipos, imagens de capa e descrições semelhantes às das marcas oficiais. Outras apresentam nomes associados a serviços de apoio, departamentos de reclamações ou centros de ajuda. Depois de o consumidor responder, os atacantes pedem dados de contacto e informações da reserva, seguindo depois para o WhatsApp.
Da falsa assistência à fraude financeira
Numa das interações, o atacante pediu o nome completo, endereço de correio eletrónico, dados da reserva, informação sobre a reclamação e custo da viagem. Em seguida, comunicou que o pedido de compensação tinha sido aprovado. A investigação revelou depois uma transferência inacabada de 500 dólares associada aos dados fornecidos. Para prosseguir, o sistema exigia dados do cartão e informação pessoal adicional.
Uma segunda variante prometia uma compensação de 1.200 dólares e encaminhava a vítima para uma aplicação internacional de pagamentos. Uma terceira recorria a um formulário Google intitulado pedido de compensação ou reembolso, no qual eram solicitados o nome do titular, número do cartão, data de validade e código de segurança.
Os investigadores não conseguiram determinar a data exata de início da campanha. Contudo, a concentração de contas criadas em 2024 ou posteriormente indica uma aceleração da atividade nos últimos dois anos. As três técnicas documentadas representam provavelmente apenas uma parte dos métodos atualmente utilizados.
A inteligência artificial pode aumentar a escala dos ataques
A Check Point não confirmou a utilização de inteligência artificial nas contas analisadas. Ainda assim, a campanha ilustra como a IA generativa pode facilitar a expansão deste tipo de engenharia social. Estas fraudes dependem de respostas rápidas, linguagem persuasiva e capacidade para manter uma identidade credível durante várias conversas.
Ferramentas de IA generativa podem ajudar os atacantes a redigir mensagens semelhantes às de um serviço de apoio, adaptar cada resposta ao problema descrito, comunicar em vários idiomas e manter múltiplos perfis convincentes em simultâneo. Como as reclamações públicas já incluem contexto sobre o cliente e a ocorrência, essa informação pode ser transformada rapidamente em mensagens personalizadas.
“O que torna esta campanha preocupante é a facilidade com que transforma uma interação quotidiana de apoio ao cliente numa oportunidade de fraude. Os consumidores que procuram ajuda podem não perceber que há um atacante a observar, pronto para se fazer passar por uma marca de confiança. Para as organizações, isto demonstra que a sua superfície de ataque se estende para lá dos próprios sistemas. Proteger os clientes também implica identificar e interromper a usurpação da identidade da marca onde quer que esta surja online”, afirma Ben Neeman, Cyber Threat Intelligence Analyst da Check Point Software.
Recomendações para as organizações
Identificar e remover contas fraudulentas. Monitorizar as redes sociais e denunciar rapidamente perfis de usurpação de identidade reduz o tempo disponível para alcançar potenciais vítimas.
Informar clientes e colaboradores. Explicar como comunicam as equipas oficiais, que informação podem pedir e como validar uma conta legítima.
Transferir interações sensíveis para canais seguros. Conversas que envolvam reservas, números de telefone, pagamentos ou outros dados pessoais devem seguir para canais oficiais ou portais protegidos.
Cooperar com as plataformas sociais. A comunicação de campanhas recorrentes ajuda a acelerar a remoção de perfis e a reforçar a monitorização.
Alertar os prestadores de pagamentos. A partilha de informação sobre contas e transações fraudulentas pode ajudar a identificar e interromper a utilização abusiva dos serviços.
Recomendações para os consumidores
Confirmar antes de confiar. Contactar as empresas apenas através dos respetivos sites oficiais, contas verificadas ou números de telefone conhecidos.
Ter especial cuidado nas redes sociais. A presença de um logótipo e de uma linguagem profissional não prova que uma conta pertence à marca.
Desconfiar de pedidos invulgares. Empresas legítimas não solicitam palavras passe, códigos de utilização única, cartões oferta, transferências bancárias ou pagamentos em criptomoedas através de mensagens de apoio ao cliente.
