Blog do Will | Golpes com PIX: conheça os mais comuns e aprenda a se proteger
Atualizado em 16 jul 21 Dinheiro por Agatha Justino
Desde que foi implementado no Brasil, as tentativas de golpes com PIX cresceram na mesma proporção que o entusiasmo dos usuários de serviços bancários com a praticidade do serviço.
Só no primeiro mês de operação, foram 46,4 milhões de contas cadastradas e R$ 83,4 bilhões movimentados. Esse volume de transações e a facilidade para operar uma transferência atraiu também a atenção de criminosos.
Com o aumento de roubos utilizando a plataforma, é comum que alguns usuários fiquem incrédulos com o PIX. No entanto, vale lembrar que nenhum desses golpes se baseia na invasão do sistema do Bacen nem na quebra da segurança dos aplicativos dos bancos.
Outro lembrete importante: só é possível usar o PIX após a autenticação dos dados bancários com sua senha pessoal. Isso jamais mudou.
Em geral, os métodos envolvem clonagem de números de celulares, roubos físicos e muita manipulação psicológica. Conheça abaixo os golpes com PIX mais comuns e saiba como não cair neles.
Os 5 golpes com PIX mais comuns
1. Clonagem do WhatsApp (e outros apps de mensagens)
Como quebrar a segurança do PIX e dos apps bancários é uma tarefa difícil e custosa, a maioria dos criminosos tenta abordagens laterais. Uma delas é clonar o número do WhatsApp de uma pessoa e se passar por ela pedindo doações por PIX.
As doações, de fato, constituem um dos usos mais comuns do serviço, que é gratuito para os usuários. Rifas, campanhas de arrecadação para tratamentos médicos e outras práticas se tornaram mais comuns com o PIX.
Quando a vítima conhece a pessoa que teve o celular clonado, tornam-se altas as chances de que ela faça uma doação acreditando tratar-se de um pedido legítimo. Mas o dinheiro é enviado diretamente para a conta bancária do criminoso.
A clonagem do WhatsApp é uma prática anterior ao PIX — desde 2019 vem crescendo. A clonagem funciona apenas com acesso físico ao aparelho a partir da leitura de um QR Code por outro aparelho, equipado com um app de clonagem. A partir daí, as conversas são espelhadas nos dois celulares.
Outro método, mais sofisticado, envolve o envio de um código de verificação legítimo, porém solicitado pelo golpista, que entra em contato com a vítima sob um falso pretexto para ter acesso ao código. Com isso, eles conseguem ativar o WhatsApp em outro aparelho.
O passo seguinte é conseguir informações e fotografias das vítimas a partir das redes sociais. Esses dados permitem aos criminosos saberem quem são as pessoas com quem a vítima tem mais contato, o nível de intimidade e parentesco e quais seriam mais suscetíveis a sofrerem o golpe.
A partir daí, são enviadas mensagens solicitando um PIX para vários contatos do WhatsApp da vítima.
Vale ressaltar que usuários de outros aplicativos de mensagens eletrônicas podem passar pela mesma situação.
A primeira medida, recomendada como filtro de segurança tanto pelo Telegram quanto pelo Facebook (dona do WhatsApp) é a ativação da verificação em duas etapas. O procedimento é bastante simples, basta acessar as configurações do aplicativo no aparelho e criar a sua chave.
Caso um criminoso consiga passar pela primeira barreira — a do código de ativação —, a verificação em duas etapas impedirá que ele tenha acesso à sua conta.
Se mesmo assim sua conta for roubada, é importante avisar de imediato ao maior número possível de contatos sobre a falha de segurança, uma vez que eles podem ser vítimas. Outra medida prática é sempre ligar para uma pessoa para confirmar sua identidade antes de fazer uma transferência.
2. Ligações de pessoas que se passam por funcionários do banco
Já mencionamos acima que uma operação PIX só pode ser feita se o usuário — ou criminoso — tiver acesso ao aplicativo do banco por meio da senha do titular. Essa senha pode ser roubada com dois métodos: engenharia social e phishing (vamos falar deste último em seguida).
"Engenharia social" é, basicamente, um jeito de convencer você a ceder uma informação usando pretextos falsos. Por exemplo, o criminoso liga para o seu número se passando por funcionário do banco em que vocẽ tem conta e solicita a senha para resolver um suposto problema.
Você pode pensar "ah, mas tem que ser muito tonto para dar a senha assim". Mas é necessário entender que os golpistas têm um alto poder de convencimento. A narrativa, as palavras usadas e o grau de insistência são escolhidos com cuidado e mesmo usuários experientes podem cair no golpe.
Com a senha, eles podem acessar a sua conta pelo internet banking ou pelo próprio aplicativo baixado em outro celular e efetuar transferências, solicitar cartões e até mesmo pedir empréstimos altos com aumento de limite. Os valores são, em seguida, escoados para outra conta com PIX. Em um caso recente, uma servidora pública teve R$ 65 mil roubados da sua conta com esse método.
Bancos, em hipótese alguma, pedirão a sua senha pessoal. Jamais. Na verdade, eles já têm essa informação em um banco de dados. Portanto, a principal orientação é nunca informar sua senha bancária por telefone ou qualquer outro canal. Só você deve conhecer a chave.
Se alguém ligar se passando por atendente do banco e pedir sua senha, desligue o telefone imediatamente e bloqueie o número.
3. Páginas falsas para capturar dados (phishing)
O phishing é um golpe antigo usado para roubar dados bancários dos usuários sem que eles sequer desconfiem. Apesar de não ser novidade, ainda é bastante utilizado.
Funciona da seguinte maneira: o criminoso envia um e-mail para você como se o banco fosse o remetente. O e-mail é identificado com o logotipo e todas as referências da instituição financeira. O texto leva você a clicar em um link que leva para a página.
Essa página, apesar de muito semelhante à do banco, é falsa. Quando você digita os dados de acesso — conta corrente, agência e senha, por exemplo — essas informações são enviadas para o criminoso, e não para o banco.
Vale ressaltar que essa abordagem também pode ser feita por SMS e WhatsApp. Portanto, desconfie de links que chegam por esses canais sem qualquer solicitação da sua parte.
Uma vez que o criminoso tem as informações necessárias, ele acessará a conta remotamente e transferirá os valores via PIX para outra conta digital. Ele também pode pedir cartões e empréstimos em seu nome.
E não é só você que recebe um e-mail assim. Os golpistas enviam milhões de mensagens na esperança de que uma porcentagem mínima de receptores caiam na armadilha.
Sempre verifique o remetente da mensagem antes de clicar em quaisquer links. Em seguida, sem clicar, passe o cursor do mouse por cima do hiperlink e veja qual o endereço que aparece no canto inferior esquerdo da sua tela.
Golpes com phishing usam nomes de domínio e URLs suspeitas, com encurtadores e redirecionamentos para mascarar sua origem. Uma forma mais rara de phishing é quando a segurança do navegador é comprometida, redirecionando automaticamente a navegação para sites maliciosos.
Por isso, mantenha sempre seu browser, sistema operacional e softwares atualizados e tenha cuidado ao instalar extensões e add-ons. Se não se sentir seguro ao receber um e-mail do banco, digite o endereço na barra de URL em vez de clicar.
Outra boa prática para evitar esse tipo de crime e outros é fazer o cadastro gratuito em algum birô de crédito, como Serasa Experian, SPC e Boa Vista. Lá, você terá uma visão geral da sua situação financeira e saberá se há alguma dívida pendente em seu nome — muitos criminosos usam esse argumento para roubar os dados, embora a vítima não esteja em situação de inadimplência.
4. "Bug do PIX: transfira X reais para tal chave e receba o dobro de volta"
A engenharia social também pode ser usada para convencer você a simplesmente dar dinheiro para o criminoso. Um caso bem recente é o do "bug do PIX".
O golpe se espalhou por meio de mensagens em redes sociais alertando que valores transferidos via PIX para determinadas chaves seriam restituídos em dobro ao remetente.
É claro que o bug (nome genérico dado a uma falha qualquer em um sistema) nunca existiu — e, mesmo se existisse, será que alguém teria interesse em sair espalhando por aí?
O sistema que opera o PIX no Banco Central é robusto e bastante seguro. Ele auxilia o Banco Central até no combate à lavagem de dinheiro. Mesmo que nenhum sistema, em tese, seja 100% à prova de falhas ou invasões, o PIX é capaz de identificar transações suspeitas e usa criptografia avançada para proteger as comunicações.
Se você fizer um PIX para alguém esperando obter o dobro, pode dar o valor transferido como perdido.
Nunca faça um PIX esperando receber dinheiro de volta. Ignore as mensagens e alerte outras pessoas em grupos de WhatsApp e Facebook.
5. Roubo do aparelho celular
Outra técnica que mistura roubo físico do aparelho e roubo de dados passou a ser utilizada por criminosos recentemente. Os criminosos subtraem o aparelho — seja por meio de furto ou assalto — e quebram a segurança.
Há quadrilhas especializadas nesse tipo de crime, que pode se tornar cada vez mais comum. Com o celular da vítima, uma rede de criminosos consegue roubar os dados bancários e acessar as contas digitais, limpando tudo pelo PIX.
Os bancos alegam que a segurança dos aplicativos não é quebrada. O que pode acontecer é os criminosos solicitarem os dados por meio da opção "esqueci minha senha" e, com acesso ao e-mail do celular, autenticar a mudança de palavra-chave.
Hackers associados a tais quadrilhas conseguem burlar a segurança dos próprios celulares, como números PIN, biometria e padrões de bloqueio de telas. No entanto, é mais comum que os criminosos prefiram roubar celulares que já estão com a tela desbloqueada para uso.
Se você é motorista de aplicativo, evite usar, em um mesmo aparelho, o GPS e as contas bancárias. Como o celular fica bastante visível no painel do carro para monitoração de novas corridas e uso do GPS, sua vulnerabilidade a esse tipo de golpe aumenta.
Na rua, evite caminhar digitando e olhando o celular. Além de ser uma distração, o uso do aparelho desbloqueado pode atrair criminosos em busca de uma oportunidade.
O PIX não é, em si, uma vulnerabilidade de segurança. Você pode continuar realizando transações digitais sem problemas. A ação criminosa tem abordagens geralmente mais sutis, mas também podem vir por meio de assaltos. Para não cair em golpes com PIX, basta ter os mesmos cuidados que sempre foram recomendados ao utilizar quaisquer aplicativos no celular.