A Black Friday de 2025 prometia ser caótica nas lojas, mas o verdadeiro caos está a acontecer online. Uma nova investigação da Malwarebytes revelou uma das campanhas de fraude mais sofisticadas e abrangentes que já vimos nesta época festiva, visando os consumidores que procuram as melhores promoções.
Ao contrário dos esquemas tradicionais com erros ortográficos e designs amadores, esta nova vaga é altamente polida, industrializada e utiliza a confiança em grandes marcas para roubar dados bancários através de falsas taxas de envio.
Uma rede de iscos digitais
O esquema começa com o chamado "malvertising" (publicidade maliciosa). Os utilizadores que navegam em sites legítimos podem clicar ou simplesmente passar por anúncios infetados que desencadeiam uma cadeia de redirecionamentos invisíveis. Em segundos, o utilizador aterra numa página que parece oficial, prometendo uma recompensa exclusiva em troca de um inquérito rápido.
Os criminosos não escolheram alvos aleatórios. A campanha foca-se em produtos e marcas com elevada procura nesta época, incluindo a LEGO, a Louis Vuitton, a Coca-Cola e até a tecnologia de satélite da Starlink. Se um produto é tendência, como o Starlink Mini Kit ou os conjuntos da LEGO Titanic, os burlões têm uma página falsa pronta para ele.
A armadilha dos "portes de envio"
A sofisticação deste ataque reside na sua apresentação. Os sites fraudulentos utilizam modelos visuais limpos, logótipos corretos e até fundos desfocados que imitam o ambiente das lojas reais das marcas. Para criar um sentido de urgência, são utilizados temporizadores falsos e avisos de "stock limitado".
O modus operandi é sempre o mesmo:
O utilizador responde a um inquérito genérico.
É "selecionado" para receber um prémio de alto valor (como uma mala de luxo ou um gadget caro).
Para receber a oferta, é solicitado apenas o pagamento de uma pequena taxa de envio ou processamento, geralmente entre 6 e 12 dólares.
É aqui que o golpe se concretiza. Ao introduzir os dados do cartão de crédito para pagar esta taxa irrisória, a vítima não está a pagar portes nenhuns; está a entregar o nome completo, morada, número de cartão e código CVV diretamente aos criminosos.
Uma operação à escala industrial
A investigação identificou mais de 100 domínios únicos a operar sob este mesmo modelo. Todos partilham a mesma estrutura de código HTML e CSS, a mesma lógica de JavaScript para os temporizadores e textos quase idênticos, mudando apenas a "pele" da marca que estão a imitar.
Isto sugere que não estamos perante burlões isolados, mas sim face a uma operação organizada e centralizada, desenhada especificamente para maximizar o roubo de dados durante o frenesim de compras de novembro.
Nesta Black Friday, a regra de ouro é o ceticismo. Se uma oferta parece demasiado boa para ser verdade — especialmente se envolve receber produtos caros "de graça" apenas pagando o envio — é garantidamente uma fraude. Nenhuma marca legítima oferece kits de satélite ou malas de designer em troca de um inquérito de 30 segundos, segundo a Malwarebytes.
Nenhum comentário
Seja o primeiro!