Setor de cartões questiona existência de golpes com aproximação

Os consumidores que optam pela aproximação para fazer pagamentos já respondem por R$ 17 de cada R$ 100 movimentados por meio de cartões no Brasil, segundo os dados da Abecs (Associação Brasileira das Empresas de Cartões de Crédito e Serviços). A modalidade, que tem crescido de forma contínua, é alvo de questionamentos relacionados à segurança. O setor afirma, porém, que os golpes informados ao longo do último mês não foram detectados pelas empresas.

No ano passado, o pagamento por aproximação movimentou R$ 572,4 bilhões no Brasil, uma quantia quase três vezes maior que o de 2021. Chegou a 17,2% do volume movimentado pela indústria de cartões e a 40% das transações realizadas de modo presencial. Em 2021, a aproximação respondia por 7,5% do volume movimentado pela indústria.

Para as empresas de pagamentos, a tecnologia é uma aliada para manter o cartão mais atrativo que o Pix. A aproximação é mais rápida que a inserção do cartão. Para compras de até R$ 200, dispensa a digitação de senha. No Pix, um pagamento ainda exige algumas etapas a mais, como a autenticação no aplicativo do banco.

Diante dessa aposta, gerou contrariedade no setor a divulgação de um suposto golpe em que criminosos invadiriam maquininhas para desabilitar a função de aproximação, o que obrigaria o cliente a inserir o cartão e digitar a senha. Nesse processo, os dados seriam clonados.

“Não conseguimos comprovar [a existência de] golpes com aproximação”, disse o presidente da Abecs, Rogério Panca, referindo-se ainda ao uso de maquininhas para “capturar” transações de cartões NFC nos bolsos dos titulares. Segundo ele, o setor está seguro com as camadas de proteção das transações feitas por aproximação.

O suposto golpe foi informado pela empresa de cibersegurança Kaspersky, que alega tê-lo detectado ao atender a um lojista de porte médio com um equipamento infectado por uma nova versão do Prilex, programa malicioso conhecido pela indústria desde 2014. O Prilex afeta as chamadas TEFs, que são as maquininhas ligadas por cabos aos computadores de um comércio. Elas são diferentes das chamadas POS, portáteis, comuns em restaurantes ou postos de combustíveis.

“Ao analisar o ambiente infectado, a equipe de especialistas da empresa identificou uma nova versão do Prilex que apresenta um complexo sistema de regras que também permite bloquear transações realizadas por NFC”, disse por escrito o chefe da equipe global de Pesquisa e Análise da Kaspersky na América Latina, Fabio Assolini. “Todas as evidências do ataque foram coletadas, documentadas e verificadas.”

Ainda por escrito, Assolini informou que, no ano passado, a empresa detectou sete novas versões do Prilex — uma delas, a que bloquearia as transações por aproximação. O Broadcast perguntou se há uma estimativa de quantos ataques do tipo já ocorreram no país, mas não houve resposta.

Um executivo da área de segurança de uma das maiores empresas de maquininhas do país disse à reportagem, sob anonimato, que os ataques do Prilex a máquinas do tipo TEF são menos comuns hoje. “O último caso foi em maio de 2022″, comentou ele, que adiciona que, até então, resumiam-se à chamada “transação dublê”: o programa malicioso copiava as informações de uma compra e simplesmente a repetia em um outro comércio que fazia parte do esquema.

Camadas

Integrante do Comitê de Segurança da Abecs e diretora-executiva de Riscos da Visa no Brasil, Adriana Umeda afirma que os pagamentos com cartão têm algumas camadas de segurança, como o chip e o contador, que numera cada transação pela ordem de realização. Como os fraudadores pegam os dados em uma determinada compra e não conseguem ver as demais, provavelmente realizam compras fraudulentas e atribuem a elas um número errado, o que permite aos emissores bloquear os cartões.

Umeda adiciona que, de todo modo, para que uma maquininha TEF seja infectada, é preciso que o comerciante seja enganado em um momento anterior. “Existe uma força-tarefa para que o comércio não abra as portas para qualquer pessoa, tenha a confirmação do próprio técnico”, diz ela.

“Os golpes envolvendo envio de e-mail de phishing ou com links ou arquivos anexados podem ser considerados os mais comuns para infectar sistemas, redes e permitir ao atacante acessar e capturar dados”, disse por escrito o gerente de Engenharia de Segurança no Brasil da Check Point, Fernando de Falchi. “O e-mail é o vetor de ataque mais comum na disseminação de malware e outras ameaças.”

Ainda de acordo com Falchi, os golpes financeiros mais comuns incluem o da falsa central de atendimento e o da maquininha quebrada. Em comum, ambos usam da chamada engenharia social: em vez de recorrerem a programas maliciosos, induzem o cliente a fazer uma transferência ou pagamento para os bandidos.