Atenção redobrada na hora de usar o Caixa Tem, o aplicativo de serviço social e transações bancárias da Caixa: uma campanha de vishing anda enganando os usuários com ligações falsas que simulam um suposto bloqueio ou problema na conta. Identificada pelo pesquisador de segurança conhecido na rede social X pelo nome Clandestine, a operação consiste no disparo de ligações para beneficiários da Caixa que tiveram suas informações vazadas em uma violação de segurança.
Mecanismo do golpe
Uma vez que a vítima em potencial atende o telefone, um criminoso, que finge ser um funcionário da empresa, informa que a conta da pessoa está bloqueada ou com algum tipo de problema que pode impedi-la de abrir o aplicativo. O golpista, então, se oferece para ajudar a solucionar a questão, solicitando o compartilhamento da tela, alteração do e-mail e da senha, ou o envio de um código. Dessa forma, ele consegue acessar a conta do alvo facilmente, sem precisar contar com recursos sofisticados para invadi-la, e transferir o dinheiro disponível via Pix para contas laranjas.
Comercialização em grande escala
A investigação também detectou que existe um grande esquema de comercialização por trás do golpe no mercado clandestino. Chamado "SIP Caixa Tem", o pacote é vendido para outros criminosos contendo o SIP com spoofing de número para camuflar a ligação fraudulenta a preços que vão de R$ 1.500 a R$ 11 mil. A venda criminosa ainda oferece um adicional de um discador automático que faz até 50 chamadas simultâneas e transcreve a voz em tempo real, sem que o golpista precise ouvi-las para aplicar o golpe. O valor é de R$ 2 mil.
Toda a operação é possível graças a vazamentos de dados de beneficiários que possuem uma conta no Caixa Tem, que alimentam ataques em larga escala para obter acesso ao dinheiro dos clientes. Para se proteger, vale desconfiar de ligações com tom de urgência que solicitam dados pessoais, códigos ou transferências bancárias.
Impacto e alcance no Brasil
Este golpe afeta diretamente usuários do Caixa Tem, um aplicativo amplamente utilizado no Brasil para transferência de benefícios sociais e transações bancárias. A escala do ataque é significativa, com pacotes de ataque sendo comercializados no mercado clandestino, o que indica uma organização por trás das operações. O uso de dados vazados em violações de segurança anteriores facilita a personalização das mensagens e aumenta a credibilidade do golpe.
Medidas de mitigação recomendadas
Para se proteger, os usuários devem desconfiar de ligações com tom de urgência que solicitam dados pessoais, códigos ou transferências bancárias. A Caixa não solicita alteração de senha ou compartilhamento de tela por telefone. Em caso de dúvida, o usuário deve entrar em contato diretamente com a instituição financeira através dos canais oficiais.
- Verificar a origem: Nunca fornecer dados pessoais ou financeiros em resposta a ligações não solicitadas.
- Canais oficiais: Sempre verificar informações através do aplicativo oficial ou site da instituição.
- Monitorar contas: Acompanhar extratos e notificações de transações para detectar atividades suspeitas.
- Reportar: Comunicar tentativas de golpe às autoridades e à instituição financeira.
Implicações regulatórias e LGPD
A existência de vazamentos de dados que alimentam esses golpes levanta questões sobre a conformidade com a Lei Geral de Proteção de Dados (LGPD). Instituições financeiras devem garantir que os dados de seus clientes estejam protegidos contra acessos não autorizados e que haja mecanismos de resposta a incidentes eficazes. A transparência sobre violações de dados é essencial para manter a confiança dos usuários e cumprir as obrigações regulatórias.
Perguntas frequentes
- O Caixa Tem entra em contato por telefone? Não, a instituição não solicita alteração de senha ou dados sensíveis por telefone.
- O que fazer se receber uma ligação suspeita? Desligue imediatamente e entre em contato com a Caixa através dos canais oficiais.
- Como proteger minha conta? Ative notificações de transações, use autenticação multifator e monitore extratos regularmente.