Hm. Já ouvi coisas muito legais sobre Oregon, mas nunca estive lá. Para falar a verdade, a minha câmera está aqui, do meu lado, neste exato momento. Definitivamente não preciso de outra. A Amazon está mandando um substituto fantasma para um Chris Cardinal fantasma em um endereço fantasma na costa oeste. A essa altura, me senti um pouco frustrado.
Liguei para a Amazon e os informei do ocorrido. Eu já tinha ligado para ver um reembolso parcial na minha câmera então ainda em trânsito e dei sorte com o atendente na ocasião. Desta vez, não tive tanta sorte. O atendente estava convicto de que minha conta havia sido comprometida, mas não pareceu se preocupar muito e me garantiu de que eu não seria responsabilizado por nada disso. Expliquei a ele que a minha conta mesmo estava intacta, que eu tinha controle total sobre ela, e que já havia alterado a minha senha só por precaução. Meu email tem o esquema de autenticação em duas etapas e não apresentou atividade incomum, então, nesse ponto, estava bem confiante de que o vetor do ataque estava totalmente confinado no fraco departamento de atendimento ao consumidor da Amazon.
Como o pedido ainda estava sendo preparado, esmaguei o botão “cancelar pedido” o mais rápido que pude e fiquei contente em ver que ele foi prontamente cancelado. O atendente não me ajudou com o pedido de troca fraudado, mas achei que descoberto o problema.
Duas horas depois, recebi outro email, recebi um novo email de um outro atendente — todos eles, aparentemente, incapazes de verificar o histórico de conversas ou se ligarem em uma potencial sequência de atividades fraudulentas:
Não, você não resolveu o meu problema. A sua vontade de enviar câmeras de US$ 900 com tanto descaso e imprudência, ainda que bem intencionada, está arruinando o meu dia. Não quero que a minha conta fique marcada por comportamento fraudulento e me cause problemas quando eu realmente precisar fazer um pedido de troca no futuro.
Liguei mais uma vez e expliquei que o que quer que estivesse acontecendo, precisava parar. O atendente prestativamente sugeriu que eu alterasse o endereço de email da minha conta. Percebi que isso impediria o fraudador de burlar o mais simples dos obstáculos para falar com os atendentes no bate-papo, então obedeci. E pedi para falar com um superior na esperança de que alguém desse atenção a esse problema.
A supervisora se desculpou bastante e pareceu muito confusa com o fato de que um pedido de troca pudesse ser disparado para qualquer endereço além do original. As duas tentativas (agora canceladas) tinham como destino Portland, bem longe de onde eu moro. Eles (os atendentes) também insistiram que a minha conta tinha sido hackeada. Expliquei que eles são o elo fraco da forma mais educada possível e perguntei se ela poderia puxar algumas transcrições de conversas feitas mais cedo.
Ela não encontrou nenhum registro, mas então a lembrei da minha conta com “pontos” (no email). Certamente aconteceram conversas mais cedo hoje, “mas eu só posso enviá-las para o endereço de email que consta na conversa.” Não brinca. Sou eu, de qualquer forma. (Depois eu também requisitei um reset da senha e loguei na conta com pontos no email. Descobri que o usuário havia alterado seu nome, mais especificamente o sobrenome. Ele não controla a conta de email, então ele não pode usar a conta da Amazon.) A anatomia de um bem sucedido ataque de engenharia social.
9:22 AM Pergunta Inicial: Oi, minha antiga conta foi hackeada, bem como o meu email. Estava pensando aqui se você poderia me ajudar a reaver os números de pedidos da minha conta por causa da garantia.
Vishnu (CSA) : Antes que eu possa ver a sua conta, preciso fazer uma rápida verificação de segurança. Por favor, confirme o seu nome completo e endereço de cobrança da sua conta.