Encontrámos mais de 100 sites de assinatura interligados pelo mesmo conjunto de ferramentas e com detalhes de programador muito semelhantes. Alguns fazem-se passar por produtos já existentes, incluindo o GPT-6 Astra, o DaVinci Resolve, o PixAI e o OpenCut. Outro usa o nome do Omegle, o serviço de chat que foi desativado em 2023. Outros promovem marcas desconhecidas com pouca informação verificável sobre quem as opera.
Os sites que analisámos não utilizavam formulários de palavras-passe falsos nem promoviam downloads de malware. Em vez disso, utilizavam páginas de produtos bem elaboradas e ecrãs de início de sessão do Google autênticos antes de direcionarem os visitantes para planos pagos. Alguém que visitasse um site falso poderia acreditar que estava a comprar ao fornecedor legítimo. Com marcas desconhecidas, é difícil determinar quem está a vender a assinatura ou verificar de forma independente as alegações feitas.
Apesar dos nomes e designs diferentes, os sites partilham ficheiros subjacentes idênticos e endereços de e-mail de programadores estreitamente relacionados. Isto sugere que um único operador, ou um grupo estreitamente ligado, está por detrás da rede.
O que os sites lhe mostram
À primeira vista, estes sites não parecem suspeitos. Utilizam ligações seguras, designs profissionais e a linguagem confiante que se espera de uma empresa de software consolidada.
A ligação segura e o cadeado apenas indicam que o tráfego entre si e o site está encriptado. Não confirmam quem o opera.
Algumas exibem comparações de desempenho, avaliações por estrelas e números precisos de utilizadores. Uma delas afirmava ter mais de 12 milhões de utilizadores. Outra mostrava os nomes de empresas conhecidas como clientes, embora não tenhamos encontrado qualquer evidência de que essas empresas estivessem ligadas a ela.
O proprietário de um website pode adicionar qualquer classificação, número de clientes, testemunho ou resultado de teste a uma página. Nenhuma destas afirmações deve ser considerada como prova independente de que um produto é genuíno ou amplamente utilizado.
Por detrás do botão "Entrar" ou "Começar" , encontra-se um serviço de subscrição. Os visitantes são solicitados a iniciar sessão com o Google e, em seguida, visualizam os planos pagos, os créditos de utilização e o histórico de pagamentos. Os preços variam entre menos de 10 dólares por mês e mais de 2.000 dólares por ano. Vários sites também solicitam que os utilizadores enviem documentos, gravações ou outros ficheiros para que o serviço anunciado os processe.
Nos sites que analisámos, não havia forma de testar o produto anunciado antes de pagar. Os controlos nas páginas de destino não funcionavam até fazermos login, e o login levava a uma página de preços em vez da ferramenta em si.
Muitos serviços legítimos exigem o pagamento antes da utilização, pelo que isso por si só não prova que um site seja inseguro. A preocupação aqui é a falta de informação fidedigna sobre a empresa que vende a subscrição. Não existem avaliações independentes ou listagens oficiais do produto para comparar com as alegações da página.
Marcas diferentes, o mesmo kit de website.
Os sites publicitam uma vasta gama de produtos, incluindo ferramentas de clonagem de voz, editores de vídeo, aplicações de estudo e assistentes de IA de utilização geral. Apesar dos seus designs diferentes, utilizam o mesmo kit de iniciação para sites comerciais.
Um site falso gerador de anime do PixAI 
Um site falso do GPT-6 Astra 
A Astra AI afirma que mais de 12 milhões de estudantes utilizam as suas ferramentas de estudo. 
Um site que usa o nome Omegle oferece chat de texto e vídeo com estranhos. 
Um site falso que utiliza o nome do editor de vídeo DaVinci Resolve. 
Um falso site de edição de vídeo OpenCut 
A VoicesCloning afirma ser capaz de copiar uma voz a partir de uma gravação de dez segundos.
O kit é um produto legítimo desenvolvido para ajudar as pessoas a lançar serviços online rapidamente. Inclui um sistema de contas, faturação, armazenamento de ficheiros e ferramentas administrativas. O comprador fornece a marca e o produto anunciado.
Isto explica porque é que os serviços aparentemente não relacionados têm páginas de finalização de compra e definições de conta idênticas. O sistema subjacente é o mesmo, mesmo quando as cores, os tipos de letra e os nomes dos produtos são diferentes.
O kit custa 249 dólares numa compra única, enquanto os modelos adicionais custam cerca de 2 dólares cada. O fornecedor anuncia que os clientes podem lançar um produto no espaço de uma hora. Depois de o primeiro site ser criado, produzir mais versões requer relativamente pouco tempo ou dinheiro. Construir outro website pode exigir pouco mais do que um novo domínio, design e descrição do produto — o que pode explicar como a rede cresceu a esta escala.
Diversos sites contêm ainda material de demonstração fornecido com o kit de iniciação. Isto inclui a marca do kit, banners promocionais, entradas genéricas no menu e testemunhos de pessoas e empresas sem qualquer ligação aparente ao serviço anunciado.
Um dos sites tinha renomeado uma lista de demonstração de empresas como se fossem os seus próprios clientes. Noutro, a palavra "boilerplate", um termo para código inicial reutilizável, permaneceu no nome de um plano de subscrição paga.
Entrar com o Google
Estes sites direcionam os visitantes para uma página de login legítima do Google. O endereço web pertence à Google e a palavra-passe é introduzida no site da Google, e não no serviço anunciado.
Os sites que analisámos solicitavam informações básicas, como o nome do utilizador, o endereço de e-mail e a fotografia de perfil. Não pediam acesso ao Gmail ou ao Google Drive.
No entanto, uma página de login genuína da Google não confirma que o serviço seja oficial ou esteja ligado à marca apresentada. Apenas confirma que a Google está a processar o login e a passar as informações aprovadas para uma aplicação externa.
O falso site da Astra, que utiliza o GPT-6, pede aos visitantes que iniciem sessão com as suas contas Google. 
A Astra AI coloca as suas ferramentas de estudo atrás de um login da Google. 
O site com a marca Omegle pede aos visitantes que iniciem sessão antes de prosseguir. 
O site falso do DaVinci Resolve utiliza o mesmo processo de login do Google. 
O falso site da PixAI pede aos visitantes que continuem com o Google. 
O site falso do OpenCut exige o login do Google antes que os visitantes possam experimentar o serviço. 
O VoicesCloning pede aos visitantes que iniciem sessão com o Google.
O ecrã de consentimento do Google identifica a aplicação que solicita acesso e fornece detalhes do programador. Compare esta informação com o site e o produto que pretendia utilizar. Se os nomes não coincidirem, pode não estar a interagir com a empresa que pensava.
Também pode aceder às informações do desenvolvedor exibidas pelo Google. Nos sites que analisámos, os contactos de suporte eram endereços de e-mail gratuitos, e não endereços pertencentes às marcas exibidas nos sites.
Um endereço de e-mail gratuito não é prova de irregularidades, mas deve levantar suspeitas quando um serviço alega ter milhões de utilizadores ou se apresenta como uma empresa estabelecida.
Como os sites estão ligados
Os sites carregam ficheiros que contêm o código necessário para o seu funcionamento. O sistema utilizado por estes sites atribui nomes a alguns destes ficheiros com base no seu conteúdo. Quando o conteúdo muda, os nomes dos ficheiros também mudam frequentemente.
Nos sites que examinámos, muitos destes nomes de ficheiros eram idênticos. Isto indica que os sites estavam a executar a mesma versão do mesmo software subjacente. Por si só, isto pode simplesmente significar que pessoas diferentes compraram o mesmo kit de iniciação.
Os detalhes de programador do Google proporcionam uma ligação mais forte. Os contactos do programador utilizam contas de webmail gratuitas com o mesmo nome, com apenas pequenas diferenças, como os números adicionados ao endereço.
Uma vez que estes endereços são fornecidos quando as aplicações são registadas no Google, em vez de serem fornecidos automaticamente pelo kit inicial, isto sugere que os sites são operados por uma única entidade ou por pessoas intimamente ligadas a ela.
Ao inscrever-se, concorda com os seguintes termos.
Os sites fornecem pouca informação sobre a empresa que vende a subscrição. Não encontramos nomes de empresas registadas, endereços comerciais ou outros detalhes de propriedade verificáveis de forma independente. Em muitos casos, o único método de contacto era um endereço de e-mail utilizando o próprio domínio do website.
Isto pode dificultar a solicitação de um reembolso, a contestação de uma cobrança ou a resolução de um problema com a subscrição.
Algumas das assinaturas são substanciais. Além dos planos mensais, os sites vendem o acesso anual cobrado num único pagamento, com um plano a custar mais de 2.000 dólares. Alguns planos estipulam que os créditos não utilizados expiram após um período determinado.
Dependendo do sistema de pagamento utilizado, os dados do cartão podem ser processados por um fornecedor de pagamento externo, em vez de serem fornecidos diretamente ao operador do website. Os utilizadores podem ainda partilhar informações da conta e material potencialmente sensível com um serviço cujo proprietário não conseguem identificar.
Como identificar sites como estes
Um design sofisticado, uma página de login do Google autêntica e avaliações impressionantes não comprovam que um serviço seja fiável.
- Verifique o endereço do site. Certifique-se de que pertence à empresa ou ao produto que pretende utilizar. Não confie apenas no logótipo ou no nome do produto.
- Descubra quem gere o site. Procure pelo nome da empresa, endereço comercial, política de privacidade, termos de utilização e informações de contacto fiáveis que possam ser verificadas de forma independente.
- Leia o ecrã de consentimento do Google. Verifique o nome da aplicação, o domínio, os detalhes do programador e as informações a que pretende aceder antes de selecionar Continuar .
- Tenha cautela se não puder testar o produto. Um serviço que não oferece um período de teste ou demonstração prática está a pedir-lhe que pague antes mesmo de poder confirmar se realmente funciona como promete.
- Consulte fontes independentes. Pesquise o produto separadamente e procure um site oficial ou a sua página na app store. Não confie nas avaliações e testemunhos exibidos pelo vendedor.
- Não envie ficheiros confidenciais até saber quem opera o serviço. Os documentos, fotos, gravações e avisos podem conter informações privadas.
- Confira os seus extratos após a assinatura. Caso identifique uma cobrança desconhecida, contacte imediatamente o fornecedor de pagamento ou o seu banco.
- Remova as ligações em que já não confia. Aceda à página de ligações na sua Conta Google e remova os serviços que não reconhece ou não utiliza. Isto impede o acesso futuro, mas não elimina as informações já partilhadas com a operadora.
Como Malwarebytes pode ajudar
Malwarebytes Browser Guard bloqueia sites maliciosos, de phishing, fraudes e fraudulentos, incluindo páginas acedidas através de anúncios enganosos ou resultados de pesquisa.
Se tiver dúvidas sobre um website, Malwarebytes Scam Guard pode avaliar o endereço web ou uma captura de ecrã e ajudar a identificar sinais de alerta.
Estes sites específicos focavam-se em contas e assinaturas, em vez de chamadas telefónicas. Se um serviço suspeito o encaminhar para um número de suporte, pode verificá-lo com o Malwarebytes Scam Number Check antes de ligar.
Impedir as ameaças antes que causem qualquer dano.
Browser Guard Malwarebytes Browser Guard automaticamente páginas de phishing e sites maliciosos. É gratuito e instala-se com um clique. Adicione-o ao seu navegador →
