Um desconhecido te envia uma mensagem no Reddit. Ele diz que alguém o denunciou, e a conta que fez a denúncia se parece muito com a sua. Foi você?
Não foi isso. Esse não é, na verdade, o ponto principal da mensagem.
Essa versão se baseia inteiramente em engenharia social. Não há malware nem links maliciosos. Tudo começa com uma conversa, mas o objetivo é induzir você a fornecer um código de login ou de verificação para que o golpista possa acessar sua conta do Reddit.
Como esse golpe funciona
Existem duas variantes comuns desse golpe:
- “Alguém me denunciou, e parece que foi você.”
- “Acidentalmente, denunciei sua conta.”
Alguém alega que houve um equívoco envolvendo uma denúncia. Numa versão, dizem que alguém os denunciou e parece que foi você. Noutra, afirmam que denunciaram sua conta por engano e precisam da sua ajuda para resolver a situação. De qualquer forma, não há nenhuma denúncia. Trata-se do início de um golpe de engenharia social que se tornou comum no Discord, no Reddit e em outras plataformas.
O objetivo final varia. Algumas versões tentam induzi-lo a compartilhar um código de login ou de verificação para que o golpista possa acessar sua conta, alterar sua senha e bloquear seu acesso. Outras tentam convencê-lo a alterar o endereço de e-mail vinculado à sua conta para um que esteja sob o controle deles. Em seguida, exigem um cartão-presente ou outro meio de pagamento para “resolver” o problema, ameaçando excluir sua conta ou usá-la para aplicar golpes em outras pessoas caso você não pague.
Se você ainda estiver conversando com eles, pare e não compartilhe nenhum código nem altere os dados da sua conta. Se você já tiver feito alguma dessas coisas e perdido o acesso à sua conta, pule para a seção “Como se proteger”, abaixo.
Como isso se desenrola
A conversa geralmente começa com uma dessas duas alegações. Ou a pessoa diz que alguém denunciou a conta dela e parece que foi você, ou ela alega que denunciou a sua conta acidentalmente, por engano.
Se você negar, o golpista não discute. Ele diz que provavelmente foi um erro inocente e continua a conversa. Ele pode perguntar se você sabe quem o denunciou ou sugerir que você pode ajudar a esclarecer as coisas. O objetivo é simplesmente manter você envolvido.
Em seguida, eles enviam uma “prova”: uma captura de tela de um e-mail que parece ter sido enviado pelo Reddit. O texto tem um tom formal, inclui um número de protocolo, afirma que uma “investigação formal” está em andamento e apresenta uma contagem regressiva — geralmente de 12 horas — antes da “suspensão, restrição de recursos ou banimento”. Algumas versões pedem que você entre em contato com alguém no Discord que se diz funcionário ou moderador do Reddit. Outras incluem um aviso jurídico falso que cita leis ou regulamentos sem relação com a situação. Nada disso é verdade.
Por que o Reddit não funciona assim
O Reddit não pede que as pessoas envolvidas em uma denúncia entrem em contato umas com as outras, nem solicita que você verifique sua conta por meio de um estranho em uma mensagem direta. Ele não lida com recursos por meio do Discord nem o encaminha para a conta pessoal de um membro da equipe no Discord. Denúncias, moderação e recursos ocorrem exclusivamente pelo próprio Reddit.
A contagem regressiva serve para criar um senso de urgência. Combinada com ameaças vagas de suspensão, restrição de recursos ou banimento, ela foi criada para fazer com que você aja antes mesmo de ter tempo para questionar o que está acontecendo.
O que eles realmente querem
O relatório e o e-mail falso são apenas o começo. O golpista diz que um funcionário ou “supervisor” do Reddit precisa verificar sua conta para comprovar que você não está envolvido. Para isso, dizem eles, você precisa repetir o código que o Reddit está prestes a enviar para você.
Enquanto você está na conversa, o golpista tenta acessar sua conta real ou iniciar um processo de recuperação de conta. O Reddit responde enviando a você um código de login ou de verificação legítimo.
O momento não é coincidência. O código chega logo depois que você é informado de que deve recebê-lo. Se você ler o código em voz alta, o golpista pode usá-lo para acessar sua conta, alterar sua senha e bloquear seu acesso. O código em si é verdadeiro. A história em torno dele é o golpe.
Por que as pessoas caem nessa
Quer você tenha sido acusado de denunciar alguém ou tenha sido informado de que sua conta foi denunciada por engano, o golpe coloca você em uma situação em que você quer resolver o problema. Assim, quando lhe pedem para “verificar” sua conta, isso pode parecer parte da solução do problema, em vez de um risco à segurança.
O e-mail falso faz com que a história pareça mais verossímil, especialmente se você não parar para questionar se o método ou processo de contato corresponde à forma como o Reddit realmente funciona. A contagem regressiva cria uma sensação de urgência, incentivando você a agir antes mesmo de ter tempo para refletir sobre o assunto.
Não se trata de ser ingênuo. É um roteiro de engenharia social bem ensaiado, criado para fazer com que um pedido razoável pareça legítimo.
Não se trata apenas de mensagens diretas
Embora o golpe da denúncia falsa geralmente comece por meio de uma mensagem direta, os golpistas também se passam pelo Reddit em e-mails de phishing, alegando que sua conta foi bloqueada ou precisa de atenção. Se você receber um e-mail de segurança inesperado, não clique nos links contidos nele. Em vez disso, faça login no Reddit diretamente pelo site oficial ou pelo aplicativo.
Se sua conta for comprometida, você poderá notar postagens, comentários ou mensagens que não criou. Isso é um sinal de que outra pessoa tem acesso à sua conta. Se isso acontecer, altere sua senha, ative a autenticação de dois fatores, caso ainda não tenha feito isso, e siga o processo de recuperação de conta do Reddit.
Como se proteger
- Nunca compartilhe suas credenciais de login ou código de verificação do Reddit com ninguém, mesmo que a pessoa afirme ser funcionário ou membro da equipe de suporte do Reddit.
- Nunca altere o endereço de e-mail vinculado à sua conta a pedido de um desconhecido, mesmo que seja para “corrigir” um problema relatado.
- Se alguém pedir para você comprar um vale-presente ou enviar dinheiro para resolver uma denúncia, trata-se de um golpe.
- O Reddit não pedirá aos usuários envolvidos em uma denúncia que entrem em contato uns com os outros, verifiquem suas contas por meio de mensagens diretas ou tratem de recursos pelo Discord.
- Se você receber um e-mail inesperado do Reddit sobre segurança, não clique nos links contidos nele. Em vez disso, faça login na sua conta diretamente pelo site reddit.com ou pelo aplicativo oficial.
- Ative a autenticação de dois fatores usando um aplicativo autenticador e considere qualquer login ou código de verificação inesperado como um sinal de que alguém pode estar tentando acessar sua conta.
- Se você perceber publicações, comentários ou mensagens que não criou, proteja sua conta imediatamente alterando sua senha. Se você perdeu o acesso, use o processo oficial de recuperação de conta do Reddit em reddit.com.
- Denuncie o golpista e suas mensagens usando as ferramentas de denúncia integradas do Reddit.
Lembre-se
Se alguém pedir para você compartilhar um código de login ou de verificação, pare por aí. É aí que está o golpe. Tudo o que vem antes disso é apenas a preparação.
