Os utilizadores de iPhone estão a ser alvo de um novo esquema de suporte técnico, que utiliza uma notificação falsa do Apple Pay para os enganar.
Os esquemas de apoio técnico que utilizam alertas falsos para induzir as vítimas a ligar para um número de telefone já existem há anos, mas esta página foi criada especificamente para telefones.
Em vez de um aviso no ambiente de trabalho a informar que o seu computador tem vírus, a fraude imita características conhecidas do iPhone, como o Apple Pay, o Face ID e os pagamentos da App Store. Chega a utilizar as capacidades de conversão de texto em voz do próprio telefone e tenta interferir na navegação móvel.
O que acontece
Uma página abre-se no seu telefone e mostra o Apple Pay a processar um pagamento de 657 dólares na App Store. Um indicador rotativo aparece. A mensagem “Face ID · checking identity” surge abaixo do valor. Existe um ID de transação, um cadeado e todos os outros elementos visuais que indicam um pagamento em curso.
Poucos segundos depois, a história muda de figura.
Agora, o seu ID Apple está alegadamente bloqueado devido a um login não reconhecido. Um número de telefone aparece por baixo da instrução para ligar imediatamente para o Suporte da Apple. Ao abrir os dados da transação, o pagamento está marcado como "Concluído". De seguida, o seu telefone começa a emitir um alerta sobre a cobrança não autorizada.
É alarmante. E também é completamente inventado.
A página que analisámos não contém nenhuma transação real do Apple Pay nem verificação biométrica. Em vez disso, utiliza dados de pagamento codificados, discurso gerado pelo navegador, avisos de segurança falsos e truques de navegação agressivos para induzir a vítima a ligar para o burlão.
A verificação de "Face ID" não é real.
O primeiro ecrã foi concebido para dar a impressão de que o próprio telefone está a autorizar um pagamento.
Neste exemplo, “Face ID · verificação de identidade” é simplesmente um elemento HTML apresentado ao lado de um ícone. Não há qualquer pedido Apple Pay nem qualquer chamada de autenticação biométrica por trás.
O Apple Pay pode ser utilizado legalmente em sites, mas um pagamento genuíno só começa quando o comerciante o solicita. O sistema apresenta então imediatamente uma folha de pagamento para o utilizador rever e autenticar, de acordo com as diretrizes da Apple.
Nada disto acontece aqui. A página fraudulenta simplesmente criou a sua própria imitação.
O indicador de carregamento "A processar pagamento" é igualmente meramente estético. Todo o ecrã inicial desaparece após 2,8 segundos, independentemente da ação do utilizador.
O recibo é falso e o código é igual para todos.
O ecrã seguinte é apresentado como um comprovativo de transação. Contém o valor, os dígitos do cartão ocultos, um código de autorização, um ID da transação e o estado verde "Concluído".
A maioria destes valores nunca muda.
Isto porque a página define o valor fixo como $657,00 e o ID da transação como AP-2026-08-03-14:32e o código de autorização como AUTH-8F3A2B1CTodos os visitantes visualizam os mesmos valores.
A data, no entanto, é gerada dinamicamente.
chamadas JavaScript new Date() e formata-o com toLocaleString()Isto significa que o recibo utiliza a data, a hora e o fuso horário atuais do dispositivo da vítima.
Isto cria uma contradição evidente. O ID de transação fixo contém 2026-08-03, enquanto o campo da data mostra a hora e a data em que a vítima abre a página.
Uma transação genuína não reescreve a sua data de transação sempre que alguém a consulta.
O “alerta de voz” é gerado pelo browser.
Assim que a vítima abre os detalhes da transação, a página tenta comunicar por voz:
"Foi realizada uma cobrança não autorizada de seiscentos e cinquenta e sete dólares no seu ID Apple. Contacte imediatamente o suporte."
Não há nenhuma mensagem da Apple registada por trás.
O JavaScript cria um SpeechSynthesisUtterance e envia para window.speechSynthesis, a API de fala Web integrada do browser para ler o aviso em voz alta.
Utilizar uma voz sintetizada já disponível no próprio dispositivo da vítima é uma estratégia inteligente de engenharia social. O aviso pode soar mais como parte do próprio telefone do que como um áudio reproduzido a partir de um site aleatório.
A página tenta dificultar a saída.
Um aspeto interessante deste golpe é o código que envolve as rotas de saída.
A página adiciona uma nova entrada no histórico do browser e fica à espera de novas entradas. popstate, permitindo-lhe reagir quando uma vítima tenta navegar para trás. De seguida, exibe um aviso alegando que o fecho da página pode expor os dados bancários e de pagamento da vítima.
Se a vítima aceitar o pedido para ligar para o suporte, o código redireciona-a para um tel: URL contendo o número do golpe. Se cancelarem este pedido específico, outro aviso aparecerá e outra entrada no histórico será adicionada.
A página também regista manipuladores para beforeunload, pagehide, o menu de contexto, um gesto de deslizar na margem e atalhos de teclado comuns para a navegação. iOS , dele pagehide O assistente chega mesmo a fazer uma tentativa tardia de navegar diretamente até ao número de telefone.
Estes truques podem tornar a página persistente e irritante, mas não bloqueiam o browser ou o dispositivo. Os navegadores modernos restringem o que os sites podem fazer durante a navegação. Por exemplo, beforeunload Não é acionado de forma fiável em dispositivos móveis, geralmente requer interação prévia do utilizador e só pode produzir uma confirmação genérica controlada pelo navegador.
Por outras palavras, o código tenta várias formas de o impedir de sair ou de o fazer ligar, mas não consegue assumir o controlo do próprio browser.
A chamada telefónica é o verdadeiro objetivo.
A cobrança de 657 dólares é um engodo para te fazer ligar.
O número de suporte aparece em destaque na página, o botão vermelho "Verificar agora" aponta para ele, e os falsos avisos de segurança oferecem repetidamente a opção de marcar esse número.
Esta é uma tática de golpe de suporte técnico bem conhecida. A FTC alerta que os burlões utilizam notificações de faturação falsas para induzir as vítimas a ligar, podendo depois solicitar acesso remoto ou pressioná-las a enviar dinheiro através de cartões-presente, transferências bancárias, criptomoedas ou aplicações de pagamento.
A Apple alerta ainda que os burlões podem alegar que alguém invadiu a sua conta Apple ou fez cobranças não autorizadas do Apple Pay, usando a urgência para o impedir de contactar a Apple por conta própria.
O que fazer se vir uma página como esta?
Não ligue para o número que aparece na página. Não são fechaduras reais — a página não assumiu o controlo do seu telefone ou browser.
- Não toque em OK, Ligar ou Verificar em nenhuma das caixas de diálogo. Em todas as caixas de diálogo que oferecem uma escolha, OK marca o número. As caixas de diálogo que oferecem apenas OK não marcam o número, mas a sua eliminação resulta simplesmente noutro aviso.
- Não marque esse número e não ligue de volta mais tarde para reclamar ou verificar algo. Falar com os burlões é exatamente o que eles precisam.
- Feche o separador utilizando o alternador de separadores do seu navegador. No iPhone ou Android Abra o seletor de separadores e deslize o separador para fechar. Assim que o separador for fechado, a página fraudulenta já não poderá mantê-lo(a) lá nem tentar fazer a ligação.
- Se aparecer uma caixa de diálogo a perguntar se pretende sair do site, escolha Sair. As páginas web podem pedir-lhe que fique, mas não podem impedi-lo de sair.
- Em seguida, verifique o seu histórico de compras real. Abra a App Store ou as Definições no seu dispositivo e reveja o seu histórico de compras Apple. Se não houver qualquer cobrança de 657 dólares, significa que nunca existiu.
Se já ligou e deu acesso remoto ao seu dispositivo a alguém, tome imediatamente medidas:
- Desligue-se da internet.
- Desinstale qualquer software de acesso remoto que tenham instalado para si.
- Altere a palavra-passe do seu ID Apple e as palavras-passe do seu banco a partir de um dispositivo diferente.
- Contacte o seu banco para obter informações sobre quaisquer pagamentos que tenha enviado.
Portanto, se um número como este estiver no seu ecrã ou já estiver no seu histórico de chamadas, verifique-o antes de fazer qualquer outra coisa.
Malwarebytes Scam Number Check é uma ferramenta gratuita de pesquisa inversa que informa se um número de telefone foi associado a atividades fraudulentas.
Melhor ainda, nem chegue a aceder à página. Malwarebytes Browser Guard bloqueia sites maliciosos e fraudulentos antes mesmo de carregarem, e Malwarebytes Mobile Security oferece essa mesma proteção web para dispositivos móveis. Android e iOS —além da filtragem de mensagens de texto e chamadas, e o Scam Guard, que fornece um veredicto sobre um número, link, mensagem ou captura de ecrã suspeitos em segundos.
O sinal de alerta mais simples
Há uma dica simples que vale a pena lembrar:
Uma janela pop-up de segurança que simule uma emergência e peça para ligar para o número de telefone apresentado no ecrã deve ser considerada uma fraude.
A Apple aconselha os utilizadores a não responderem a chamadas ou mensagens suspeitas que afirmem ser da Apple e a contactarem a empresa de forma independente através dos seus canais de suporte oficiais. A FTC (Federal Trade Commission dos EUA) é ainda mais explícita nas suas orientações sobre as burlas de suporte técnico:
“Os avisos de segurança pop-up de empresas tecnológicas legítimas nunca lhe pedirão para ligar para um número de telefone.”
E se uma interface semelhante à do Apple Pay aparecer num site, lembre-se que a semelhança visual não prova nada. Um website pode imitar livremente botões, cadeados, logótipos, IDs de transação e até animações de carregamento. O que importa é se foi realmente utilizada uma página de pagamento Apple Pay genuína.
Neste caso, não.
O importante neste golpe não é o pagamento falso de 657 dólares, mas sim a urgência criada em torno do mesmo para levar a vítima a atender uma chamada.
Os burlões sabem mais sobre si do que pensa.
Mobile Security Malwarebytes Mobile Security contra phishing, mensagens fraudulentas, sites maliciosos e muito mais. Com o Scam Guard integrado, alimentado por IA e em tempo real.
