Fraude de vale-presente

O mundo da cibersegurança está constantemente sendo inundado por novas variantes de ransomware que derrubam empresas de todos os portes. Infelizmente, isso desviou a atenção de outros ataques cibernéticos, como os golpes com cartões-presente. O Departamento de Justiça dos EUA anunciou esta semana a acusação de quatro golpistas que usaram cartões-presente de forma fraudulenta, alegando que eles obtiveram mais de 5000 cartões fraudulentos para uso próprio.

O que é um golpe de vale-presente?

Golpes com cartões-presente ocorrem quando cibercriminosos resgatam cartões-presente que você (ou sua empresa) comprou, seja porque você foi convencido de que esses cartões eram destinados a outra finalidade, seja porque os criminosos obtiveram acesso temporário a uma de suas contas online, o que lhes permitiu comprar cartões-presente com seu dinheiro. Esses golpes geralmente não exigem grandes pagamentos como em ataques de ransomware , mas ainda assim podem resultar em um prejuízo considerável. Pode-se presumir que os cartões-presente não sejam suficientes para os criminosos, mas eles geralmente permitem adicionar até US$ 200 a cada cartão. Dito isso, os criminosos fraudaram 5,000 cartões, o que, em teoria, poderia ter totalizado US$ 1 milhão. É um valor expressivo que certamente pode afetar empresas, especialmente as de pequeno e médio porte.

Como isso acontece?

Criminosos cibernéticos frequentemente usam táticas de engenharia social para realizar esse tipo de trabalho. Eles invadem redes corporativas e exploram o acesso a sistemas de computador para comprar cartões-presente, se fazem passar pelo CEO de uma empresa e pedem ao departamento de Recursos Humanos que compre cartões-presente para bônus, e exploram a confiança em sites de dados online. Abaixo, apresentamos três exemplos típicos.

Hack de vale-presente para exploração de rede

Durante as festas de fim de ano de 2020, a Equipe de Resposta Rápida da Sophos se deparou com um grupo de cibercriminosos realizando um ataque desse tipo. Os hackers obtiveram acesso à rede de uma empresa e aos dispositivos de cada usuário final para verificar se conseguiam acessar contas de e-mail (ou de comércio eletrônico) já conectadas. Dessa forma, eles conseguiram comprar diversos cartões-presente antes que o alarme fosse acionado e a equipe de resposta da Sophos fosse chamada.

Golpistas românticos

Outro exemplo de como os cartões-presente são protegidos por hackers são os golpistas românticos, que gostam de combinar "pagamentos" com cartões-presente, atraindo suas vítimas que muitas vezes foram enganadas ao acreditarem ter encontrado um amigo ou futuro cônjuge por meio de um perfil falso em um site de namoro, e enviando-lhes dinheiro; às vezes, por meio de cartões-presente.

Ei, você está ocupado?

Frequentemente, hackers se fazem passar por figuras públicas de uma empresa, enviando e-mails para o departamento de recursos humanos fingindo ser o CEO. Nesse golpe, o hacker envia um e-mail aparentemente inofensivo, como "Olá, você está ocupado?", para o RH. Se receber uma resposta, ele entra em contato com o RH solicitando cartões-presente. Esse tipo de golpe foi investigado diretamente pela CyberHoot em um caso que envolveu centenas de cartões-presente de US$ 100, totalizando US$ 25,000.

O que fazer?

Os hackers sabem que sua única arma é a engenharia social. Ao se conscientizar disso, você poderá ficar atento a ataques de falsificação de identidade, golpes românticos e violações de computadores e redes. Nunca use vales-presente como forma de pagamento para assuntos não pessoais. Seguir estas dicas protegerá você dos diversos golpes de vales-presente que existem por aí.

Outras práticas recomendadas de segurança cibernética 

Há outras ações que você deve tomar para proteger sua empresa de outros ataques e danos, incluindo:

• Adote um gerenciador de senhas para melhor higiene de senhas pessoais/de trabalho
• Exigir autenticação de dois fatores em qualquer Solução SaaS ou contas críticas
• Exija senhas com mais de 14 caracteres em seu Políticas de Governança
• Treinar funcionários para identificar e evitar mensagens baseadas em e-mail Phishing ataques
• Verifique se os funcionários pode identificar e evitar e-mails de phishing testando-os
• Dados de backup usando o Método 3-2-1
• Incorpore o Princípio do Menor Privilégio
• Realizar uma avaliação de risco a cada dois a três anos

Se você quiser saber mais sobre golpes com vales-presente, assista a este breve vídeo:

Fonte: NakedSecurity – Sophos

Leitura complementar: Departamento de Justiça dos EUA indicia quatro réus ligados à lavagem de dinheiro.

Descubra como o CyberHoot pode proteger seu negócio.

Agende uma demonstração