Relacionados
Há uma nova vaga de burlas bancárias em curso em Portugal que combina mensagens fraudulentas, chamadas telefónicas falsas e técnicas de manipulação psicológica para conseguir aceder às contas das vítimas e retirar valores elevados.
O alerta foi divulgado pela Procuradoria-Geral da República (PGR), que explica que estas campanhas criminosas são mais complexas do que os tradicionais ataques de phishing, uma vez que envolvem várias etapas para ultrapassar os mecanismos de segurança bancária.
Segundo a PGR, "não se trata de meras campanhas de phishing com o propósito da obtenção de dados bancários, mas antes de uma iniciativa criminosa muito mais complexa, que provoca de imediato prejuízos patrimoniais muito avultados às vítimas".
Burlões enviam SMS e emails a imitar bancos
O esquema começa com o envio em massa de mensagens fraudulentas, através de SMS ou correio eletrónico.
Nas mensagens, os criminosos fazem-se passar por instituições bancárias e alertam as vítimas para uma suposta transferência ou pagamento suspeito realizado a partir das suas contas.
A mensagem cria uma sensação de urgência e pede uma ação imediata através de um link.
A PGR alerta que estas comunicações "não foram remetidas pelas instituições bancárias nem a partir de servidores daquelas entidades ou por elas geridos".
O objetivo é convencer os destinatários de que estão perante um contacto legítimo do banco.
Link falso permite roubar dados de acesso
Ao carregar no link enviado, a vítima é encaminhada para uma página criada pelos criminosos que imita o site oficial da instituição bancária.
Nesse espaço falso são pedidos vários dados pessoais, incluindo informações de acesso à conta bancária e o número de telefone da vítima.
Segundo a PGR, este contacto telefónico é uma peça essencial do esquema, uma vez que permite aos criminosos avançar para uma segunda fase da fraude.
Falsos funcionários do banco entram em contacto com as vítimas
Depois de obterem os dados de acesso, os criminosos conseguem entrar na conta bancária da vítima e consultar movimentos e saldo disponível.
No entanto, para realizar transferências, precisam normalmente de ultrapassar o segundo fator de autenticação exigido pelos bancos.
É nesta fase que surge a chamada telefónica fraudulenta.
Os burlões contactam a vítima e apresentam-se como funcionários da área da cibersegurança do banco. Durante a conversa, demonstram conhecer detalhes da conta para aumentar a credibilidade da abordagem.
Depois, afirmam que foi detetado um movimento suspeito de elevado valor e perguntam se foi autorizado pelo titular da conta.
Código recebido por SMS é usado para autorizar transferência
Perante um movimento que a própria vítima desconhece, o criminoso cria uma situação de alarme e disponibiliza-se para "anular" a operação.
Para isso, convence a pessoa a fornecer o código de autenticação recebido por SMS ou a confirmar uma operação numa aplicação bancária.
Mas a PGR explica que todo o processo é uma encenação.
"Todo este procedimento dos agentes criminosos é uma encenação fraudulenta", alerta a entidade, acrescentando que os autores "não têm qualquer função nas instituições bancárias e o suposto movimento 'suspeito' não existe".
Na realidade, enquanto falam com a vítima, os criminosos estão a tentar executar uma transferência da conta bancária para outra por eles controlada.
Ao facultar o código de autenticação, a vítima acaba por validar a operação e permite o acesso ao dinheiro.
PGR deixa recomendações para evitar cair na fraude
A PGR aconselha os cidadãos a ignorarem mensagens deste tipo e a não responderem a contactos suspeitos.
"Mensagens como as que acima se descreveram devem ser ignoradas e apagadas, sem resposta", indica a entidade.
A mesma recomendação aplica-se a chamadas telefónicas em que alguém se apresenta como funcionário bancário e pede códigos ou confirmações.
Caso sejam fornecidos dados pessoais ou informações bancárias, a primeira medida deverá passar pelo contacto imediato com o banco através dos canais oficiais.
A PGR reforça que nenhuma instituição bancária solicita códigos de autenticação ou dados de segurança através de contactos inesperados.
