Página de verificação falsa, quando o golpe imita o seu onboarding

O phishing clássico pede senha. A variante que cresce junto com a verificação digital pede outra coisa: o rosto. Uma página falsa reproduz a tela de verificação de identidade de uma empresa conhecida, sua conta será bloqueada, confirme seus dados, e conduz a vítima por um fluxo idêntico ao verdadeiro: foto do documento, selfie, às vezes um vídeo de prova de vida. No fim, a vítima não perdeu uma senha, que se troca em um minuto. Entregou um kit de identidade, que não se troca nunca.

Por que selfie e documento viraram alvo

O material colhido numa página dessas tem mercado definido. Documento e CPF alimentam a fraude de abertura de conta com dados de terceiro: o golpista tenta o cadastro em dezenas de serviços com o documento verdadeiro da vítima. A selfie e o vídeo elevam o ataque de patamar: são o insumo para tentar passar pela comparação facial dos fluxos legítimos, seja por apresentação, exibindo a imagem da vítima para a câmera, seja por injeção de câmera, entregando o vídeo roubado, ou um deepfake construído a partir dele, direto ao software, sem passar pela lente. O golpe de hoje é matéria-prima do golpe de amanhã, e é por isso que colher biometria alheia virou etapa industrializada da cadeia de fraude.

O enquadramento penal existe: a Lei 14.155/2021 endureceu o Código Penal para a fraude praticada por meio eletrônico, com pena agravada para o estelionato cometido com uso de informação fornecida pela vítima ou obtida por meio fraudulento. E o volume não é anedota: as estatísticas públicas de incidentes do CERT.br registram, ano após ano, dezenas de milhares de notificações, com fraude e phishing entre as categorias constantes. Os números valem como ordem de grandeza e como lembrete: esse golpe não é raro nem artesanal, é operação de escala, barata de montar e lucrativa o bastante para ser insistente.

Os sinais que o usuário consegue checar

A vítima de uma página de verificação falsa não tem como auditar código, mas tem quatro verificações ao alcance.

• O domínio, antes de qualquer coisa. A verificação legítima acontece no domínio da empresa, ou dentro do aplicativo dela. Endereço que imita a marca com letras trocadas, encurtador de link, domínio genérico de hospedagem: qualquer um desses vale mais que toda a aparência da tela.
• O cadeado não é selo de legitimidade. HTTPS prova que a conexão é cifrada, não que o site é honesto. Página de golpe tem certificado válido como qualquer outra, de graça e em minutos.
• O canal de chegada. Empresa séria não pede re-verificação de identidade por link avulso de SMS ou de mensageiro, com contagem regressiva e ameaça de bloqueio. Urgência fabricada é a assinatura do golpe.
• O contexto. Quem não iniciou um cadastro não deveria estar num fluxo que pede documento e selfie. Na dúvida, o caminho seguro é um só: entrar no site ou no app pelo endereço que já se conhece, nunca pelo link recebido.

Os deveres de quem é imitado

Para a empresa cuja marca é clonada, a página falsa não é só problema da vítima: é o nome dela sendo usado para colher biometria, e com frequência o primeiro aviso chega pelos próprios clientes, o que torna o canal de denúncia parte do controle. O mínimo operacional tem três partes.

• Fechar o e-mail. Política DMARC de rejeição, na forma da RFC 7489, impede a entrega de e-mail forjado com o domínio exato da empresa no remetente, o que empurra o phishing para domínios parecidos, onde filtros e usuários têm mais chance de percebê-lo.
• Vigiar os parecidos. Monitorar registros de domínios semelhantes à marca, manter canal de denúncia visível para clientes reportarem página suspeita e acionar a remoção junto a registrador e provedor de hospedagem assim que a cópia aparecer. Velocidade importa: a página falsa vive de dias, cada dia a menos é vítima a menos.
• Educar pelo padrão, não pelo aviso. A defesa mais durável é o usuário saber como a verificação legítima acontece: sempre no mesmo domínio, sempre no mesmo contexto. Isso exige coerência da própria empresa, porque quem manda link avulso de verificação por SMS está treinando o próprio cliente para cair no golpe que imita exatamente esse hábito.

O que a arquitetura do fluxo muda

Existe uma escolha de desenho que altera a superfície do problema. Quando a verificação roda embutida no site ou no app da empresa, via widget, com o tema e o domínio da marca, o usuário aprende um padrão específico: a verificação da empresa X acontece no site da empresa X, com a cara da empresa X. A alternativa, redirecionar para um domínio genérico de um fornecedor que o usuário nunca viu, treina o hábito oposto, o de entregar documento e selfie em qualquer tela burocrática de terceiro que pareça oficial. É precisamente esse hábito que a página falsa explora.

Na UNIFOKAL, o widget roda no domínio do cliente, com o tema do cliente, e essa é uma das razões do desenho. Mas o limite precisa ser dito com todas as letras: nenhum tema impede clonagem. Uma página falsa pode copiar qualquer pixel, de qualquer fluxo, o nosso inclusive. O que a arquitetura muda é a detectabilidade: quanto mais a verificação legítima está amarrada a um domínio e a um contexto que o usuário conhece, mais o golpe precisa se desviar do padrão para funcionar, e mais sinais sobram para a vítima, para os filtros e para o time de resposta. Contra a página que imita o seu onboarding, não há bala de prata; há defesa acumulada: autenticação de e-mail, vigilância de domínio, remoção rápida e um fluxo legítimo consistente o bastante para que a imitação destoe.

Fontes citadas

• CERT.br, estatísticas públicas de notificações de incidentes de segurança: stats.cert.br
• Lei 14.155/2021, sobre fraude eletrônica no Código Penal, no portal do Planalto: planalto.gov.br
• RFC 7489, Domain-based Message Authentication, Reporting, and Conformance (DMARC), padrão do IETF: datatracker.ietf.org