A criptografia protege o caminho da mensagem; a legitimidade de um pedido de dinheiro precisa ser verificada de forma independente.
A criptografia de ponta a ponta pode proteger o conteúdo das mensagens contra intermediários, mas não garante a honestidade de quem as envia. Um golpista também pode enviar mensagens criptografadas da própria conta. Para avaliar um administrador falso, um prêmio falso ou uma oferta de criptomoedas, você precisa verificar a identidade da conta e o pedido separadamente da segurança do caminho percorrido pela mensagem.
Três padrões comuns e como reagir
| Mensagem recebida | O que você precisa verificar | Ação mais segura |
|---|---|---|
| “Sou o administrador do grupo; envie este valor agora” | O nome e a foto de um administrador podem ter sido copiados | Confira a lista de administradores e confirme por um meio de contato que você já conhece |
| “Você ganhou; pague para receber o prêmio” | Cobrar para liberar um prêmio é um sinal de golpe | Não pague; encontre o organizador por uma fonte independente |
| “Lucro garantido; você só tem alguns minutos” | A pressão de tempo e a promessa de retorno certo prejudicam a verificação | Não envie dinheiro nem dados da carteira e verifique a alegação de forma independente |
Esses sinais são motivos para parar e verificar. A aparência oficial, o número de integrantes ou o aval de algumas outras contas, por si só, não comprovam a legitimidade.
Como verificar um administrador falso?
O nome de exibição e a foto da conta podem ser imitados. Confira com atenção o nome de usuário e o identificador, mas lembre que até uma conta verdadeira pode ter sido invadida. Se o pedido for incomum, em vez de responder na mesma conversa, entre em contato com a pessoa por outro meio que você já conhece.
Por exemplo, se o administrador de um grupo de trabalho pedir uma transferência em uma mensagem privada, confirme o pedido por um número registrado ou um canal oficial da organização, não por um número novo informado pela mesma conta. Não envie informações sensíveis para “comprovar que você é integrante”.
Um número de segurança ou uma impressão digital da chave pode ajudar a verificar a conexão criptográfica com o contato. Mas a correspondência das chaves não comprova que a oferta financeira da pessoa é legítima nem que o dispositivo dela está livre de infecção.
Por que não enviar dinheiro ou um código de acesso para receber um prêmio?
O guia da Comissão Federal de Comércio dos Estados Unidos sobre prêmios falsos aponta a cobrança para receber um prêmio e os pedidos de informações financeiras como sinais importantes de golpe. A mensagem pode ter a aparência de um concurso, sorteio, presente ou atendimento de suporte da conta.
Não envie códigos de acesso, senhas ou frases de recuperação pelo chat. Se alguém pedir que você entre em um site para “ativar o prêmio”, abra por conta própria o endereço oficial do organizador por um caminho conhecido. Um cadeado HTTPS ou a palavra “criptografado” na página não comprovam que o organizador é verdadeiro.
Qual é a diferença entre pump and dump, ofertas de criptomoedas e prêmios falsos?
Em um esquema de pump and dump, uma divulgação coordenada pode aumentar a demanda e o preço de um ativo para que os organizadores vendam o que possuem. Em um investimento falso, pode não haver nenhuma negociação real, e o painel pode exibir lucros inventados. Não se deve tratar os dois como o mesmo fenômeno, embora ambos possam explorar a empolgação do grupo e a pressão de tempo.
O guia oficial da FTC sobre golpes com criptomoedas alerta sobre promessas de lucro garantido, pessoas que se passam por outras e pedidos de transferência de criptomoedas. Este artigo não é uma recomendação de compra ou venda de ativos; seu objetivo é avaliar um pedido suspeito.
Não conecte uma carteira nem assine uma transação cujo significado você não entende. Nunca insira sua frase de recuperação a pedido de um administrador, do suporte ou para receber um airdrop. Uma cobrança adicional para “liberar o lucro” ou “recuperar o dinheiro perdido” pode ser a continuação do mesmo golpe.
Em que a criptografia de ponta a ponta ajuda e o que ela não resolve?
A criptografia correta, junto com a autenticação das chaves, foi projetada para proteger a confidencialidade e a integridade das mensagens contra pessoas de fora da conversa. Mas um integrante autorizado do grupo lê o conteúdo e pode mentir, enviar links maliciosos ou copiar mensagens. A segurança pós-comprometimento também não é um sistema de detecção de golpes nem de revogação automática do acesso de um invasor.
Da mesma forma, um protocolo como o SRP, que não envia a senha diretamente durante o processo de login, não impede que você digite essa mesma senha em uma página falsa. Proteger o login e reconhecer uma tentativa de engano são dois problemas diferentes.
Segundo os limites de segurança publicados da Livara, canais públicos não são o mesmo que um chat privado. Poder denunciar conteúdo é útil, mas o caráter público ou a presença de ferramentas de denúncia não tornam os golpes impossíveis.
O que fazer se você já enviou informações ou dinheiro?
- Interrompa o contato e os próximos pagamentos; não pague uma nova taxa para “resolver o problema”.
- Guarde as mensagens, o identificador da conta, o endereço do site e o comprovante da transação para fazer a denúncia; não os publique.
- Se você forneceu dados de acesso, entre no site oficial usando um dispositivo confiável, altere a senha e confira as sessões e os métodos de recuperação.
- Se você fez um pagamento, entre em contato rapidamente com o banco ou serviço de pagamento envolvido. O reembolso não é garantido, especialmente no caso de criptomoedas.
- Denuncie a conta e a mensagem e bloqueie o contato usando as ferramentas oficiais do mensageiro. Para registrar uma ocorrência junto às autoridades, procure orientação de um órgão oficial do local onde você mora.
Perguntas rápidas
Um selo de verificação ou muitos integrantes são suficientes?
Não. Verifique de forma independente o pedido específico, a identidade da pessoa e o destino do pagamento; nenhum sinal visual substitui essa verificação.
Se o número de segurança estiver correto, o pedido de dinheiro é legítimo?
Não. A verificação da chave diz respeito à outra parte da conexão criptográfica, não à veracidade de uma alegação financeira nem à segurança do dispositivo dela.
Você precisa clicar no link para descobrir se ele é falso?
Não. Para verificar um pedido suspeito, primeiro acesse o serviço por um caminho oficial e conhecido. Uma prévia bonita ou um domínio parecido com o verdadeiro não comprovam a legitimidade.
