Descoberta e escopo da campanha
Um relatório da empresa de cibersegurança Check Point Software identificou cerca de 7 mil sites falsos da Amazon criados nos últimos meses. A tendência é de que as páginas sejam usadas para aplicar golpes durante o Prime Day, período de ofertas da varejista. Os dados da Check Point revelam que 6.843 domínios relacionados à marca foram criados entre dezembro de 2025 e maio deste ano, com a maior parte criada nos últimos dois meses.
Os sites imitam a identidade visual do marketplace e podem ser usados para aplicar golpes de phishing, no qual a vítima é induzida a ceder dados sensíveis como o número do cartão de crédito, ou tentativas de roubo de conta. As ofertas agressivas e o curto prazo de duração das promoções podem ser usadas como iscas para atrair pessoas.
Vetor e exploração técnica
Uma das campanhas maliciosas é voltada ao público latino-americano: domínios em espanhol com o nome "amazoncredito" tentam oferecer um suposto cartão de crédito adicional com vantagens para atrair vítimas nessas regiões. Os sites falsos utilizam técnicas de engenharia social para criar urgência e confiança, aproveitando-se da expectativa de ofertas exclusivas.
A Amazon destacou que a segurança dos clientes é prioridade para a empresa, usa IA para analisar domínios suspeitos e consegue derrubar sites de phishing em poucas horas. A companhia tem uma página para denunciar golpes e incentiva que os clientes usem esse canal oficial para alertar sobre sites falsos.
Impacto e alcance
O impacto dessa campanha é significativo, especialmente no Brasil, onde o Prime Day ocorre entre os dias 1º e 7 de julho. O volume de sites falsos indica uma operação organizada e escalável, capaz de atingir um grande número de consumidores.
Além do risco financeiro direto, há o risco de comprometimento de credenciais e dados pessoais. A exposição de informações de cartão de crédito pode levar a fraudes financeiras e roubo de identidade. Para empresas, o risco inclui a possível contaminação de redes corporativas se funcionários acessarem esses sites.
Medidas de mitigação recomendadas
Os consumidores devem usar apenas canais oficiais para compras, verificando a URL e desconfiando de lojas que oferecem o Pix como única forma de pagamento. Descontos agressivos devem ser verificados antes de seguir com a compra.
Para empresas, é crucial educar os funcionários sobre os riscos de phishing e implementar filtros de segurança de e-mail e web para bloquear domínios suspeitos. A monitoração de tráfego de rede pode ajudar a identificar acessos a sites de phishing.
Implicações para o Brasil
A campanha tem foco no público latino-americano, o que torna o Brasil um alvo prioritário. A LGPD exige que as empresas protejam os dados dos clientes, e a exposição de dados em golpes de phishing pode resultar em responsabilização se houver falha na proteção de dados.
O que os CISOs devem fazer imediatamente
1. Alertar colaboradores sobre a campanha de phishing do Prime Day. 2. Atualizar listas de bloqueio de domínios com os novos sites identificados. 3. Implementar autenticação multifator para contas corporativas. 4. Monitorar logs de acesso para identificar tentativas de acesso a sites suspeitos. 5. Revisar políticas de segurança para compras online.
Perguntas frequentes
Como identificar um site falso da Amazon? Verifique a URL, desconfie de descontos agressivos e use apenas o aplicativo ou site oficial.
A Amazon remove os sites falsos? Sim, a Amazon usa IA para analisar URLs suspeitas e derruba sites de phishing reportados em poucas horas.
Isso afeta apenas consumidores? Não, funcionários que acessarem esses sites podem comprometer a rede corporativa.