Um desconhecido envia-te uma mensagem no Reddit. Diz que alguém o denunciou e que a conta que fez a denúncia é muito parecida com a tua. Foste tu?
Não foi. Na verdade, não é esse o objetivo da mensagem.
Esta versão baseia-se inteiramente na engenharia social. Não há malware nem links maliciosos. Começa com uma conversa, mas o objetivo é induzir-te a revelar um código de início de sessão ou de verificação, para que o burlão possa aceder à tua conta do Reddit.
Como funciona este esquema fraudulento
Existem duas variantes comuns deste esquema:
- «Alguém me denunciou, e parece que foste tu.»
- «Denunciei a tua conta por engano.»
Alguém alega que houve um erro relacionado com uma denúncia. Numa versão, dizem que alguém os denunciou e parece que foste tu. Noutra, afirmam que denunciaram acidentalmente a tua conta e precisam da tua ajuda para resolver a situação. Seja como for, não existe qualquer denúncia. Trata-se do início de um esquema de engenharia social que se tornou comum no Discord, no Reddit e noutras plataformas.
O objetivo final varia. Algumas versões tentam induzir-te a partilhar um código de início de sessão ou de verificação, para que o burlão possa aceder à tua conta, alterar a tua palavra-passe e bloquear-te o acesso. Outras tentam convencer-te a alterar o endereço de e-mail associado à tua conta para um que eles controlam. Em seguida, exigem um cartão-presente ou outro tipo de pagamento para «resolver» o problema, ameaçando eliminar a tua conta ou utilizá-la para burlar outras pessoas caso não pagues.
Se ainda estiveres a falar com eles, pára e não partilhes quaisquer códigos nem altere os dados da tua conta. Se já tiveres feito alguma dessas coisas e tiveres perdido o acesso à tua conta, passa diretamente para a secção «Como te proteger», abaixo.
Como tudo se desenrola
A conversa começa normalmente com uma de duas alegações. Ou a pessoa diz que alguém denunciou a sua conta e que parece ter sido você, ou afirma que denunciou a sua conta acidentalmente, por engano.
Se o negares, o burlão não discute. Diz que provavelmente foi um erro involuntário e mantém a conversa. Pode perguntar-te se sabes quem o denunciou ou sugerir que podes ajudar a esclarecer a situação. O objetivo é simplesmente manter-te envolvido.
Em seguida, enviam uma «prova»: uma captura de ecrã de um e-mail que parece ter sido enviado pelo Reddit. Tem um tom formal, um número de ticket, uma afirmação de que está em curso uma «investigação formal» e uma contagem decrescente, normalmente de 12 horas, antes da «suspensão, limitação de funcionalidades ou banimento». Algumas versões dizem-lhe para contactar alguém no Discord que afirma ser um funcionário ou moderador do Reddit. Outras incluem um aviso legal falso que cita leis ou regulamentos sem qualquer relação com a situação. Nada disso é verdade.
Por que é que o Reddit não funciona assim
O Reddit não pede às pessoas envolvidas numa denúncia que entrem em contacto umas com as outras, nem lhe pede para verificar a sua conta através de um desconhecido numa mensagem direta. Não trata de recursos através do Discord nem o encaminha para a conta pessoal de um membro da equipa no Discord. As denúncias, a moderação e os recursos decorrem todos através do próprio Reddit.
A contagem decrescente serve para criar um sentimento de urgência. Aliada a ameaças vagas de suspensão, restrições de funcionalidades ou banimento, foi concebida para o levar a agir antes de ter tempo para questionar o que está a acontecer.
O que eles realmente pretendem
O relatório e o e-mail falso são apenas o pretexto. O burlão diz-lhe que um funcionário ou «supervisor» do Reddit precisa de verificar a sua conta para provar que não esteve envolvido. Para isso, dizem eles, tem de repetir o código que o Reddit está prestes a enviar-lhe.
Enquanto estás a conversar, o burlão tenta iniciar sessão na tua conta verdadeira ou iniciar um processo de recuperação da conta. O Reddit responde enviando-te um código de início de sessão ou de verificação genuíno.
O momento não é uma coincidência. O código chega logo a seguir a terem-lhe dito para o esperar. Se o ler em voz alta, o burlão pode usá-lo para iniciar sessão na sua conta, alterar a sua palavra-passe e impedir-lhe o acesso. O código em si é verdadeiro. A história que o rodeia é que é uma burla.
Porque é que as pessoas caem na armadilha
Quer tenhas sido acusado de denunciar alguém ou te tenham dito que a tua conta foi denunciada por engano, este esquema coloca-te numa situação em que queres resolver o problema. Por isso, quando te pedem para «verificar» a tua conta, pode parecer-te que faz parte da resolução do problema, em vez de ser um risco de segurança.
O e-mail falso faz com que a história pareça mais credível, especialmente se não pararmos para questionar se o método ou processo de contacto corresponde à forma como o Reddit realmente funciona. A contagem decrescente cria uma sensação de urgência, incentivando-nos a agir antes de termos tempo para refletir sobre o assunto.
Não se trata de ser crédulo. Trata-se de um guião de engenharia social bem ensaiado, concebido para fazer com que um pedido razoável pareça legítimo.
Não se trata apenas de mensagens diretas
Embora o esquema de denúncias falsas comece normalmente numa mensagem direta, os burlões também se fazem passar pelo Reddit em e-mails de phishing, alegando que a sua conta foi bloqueada ou necessita de atenção. Se receber um e-mail de segurança inesperado, não clique nos links que nele constam. Em vez disso, inicie sessão no Reddit diretamente através do site oficial ou da aplicação.
Se a sua conta for comprometida, poderá notar publicações, comentários ou mensagens que não criou. Isso é um sinal de que outra pessoa tem acesso à sua conta. Se isso acontecer, altere a sua palavra-passe, ative a autenticação de dois fatores, caso ainda não o tenha feito, e siga o processo de recuperação de conta do Reddit.
Como se proteger
- Nunca partilhe as suas credenciais de acesso ao Reddit nem o código de verificação com ninguém, mesmo que essa pessoa afirme ser um colaborador ou um membro da equipa de apoio do Reddit.
- Nunca altere o endereço de e-mail associado à sua conta a pedido de um desconhecido, mesmo que seja para «resolver» um problema que tenha sido comunicado.
- Se alguém lhe pedir para comprar um cartão-presente ou enviar dinheiro para resolver uma denúncia, trata-se de uma fraude.
- O Reddit não pedirá aos utilizadores envolvidos numa denúncia que entrem em contacto uns com os outros, que verifiquem as suas contas através de mensagens diretas nem que tratem de recursos através do Discord.
- Se receber um e-mail de segurança inesperado do Reddit, não utilize os links que nele constam. Em vez disso, inicie sessão na sua conta diretamente através do site reddit.com ou da aplicação oficial.
- Ative a autenticação de dois fatores utilizando uma aplicação de autenticação e considere qualquer código de início de sessão ou de verificação inesperado como um sinal de que alguém poderá estar a tentar aceder à sua conta.
- Se detetar publicações, comentários ou mensagens que não tenha criado, proteja a sua conta imediatamente, alterando a sua palavra-passe. Se tiver perdido o acesso, utilize o processo oficial de recuperação de conta do Reddit em reddit.com.
- Denuncie o burlão e as suas mensagens utilizando as ferramentas de denúncia integradas no Reddit.
Lembra-te
Se alguém te pedir para partilhar um código de início de sessão ou de verificação, pára por aí. É aí que está o esquema. Tudo o que se passa antes disso é apenas o prelúdio.
