A chamada parece real. O autor da chamada sabe o seu nome, o seu banco, até as suas transações recentes. Há um problema com a sua conta e ligaram para o ajudar a resolver.

No momento em que a chamada termina, já transferiu o dinheiro. Para uma conta que pertence ao burlão.

O que é a engenharia social?

A engenharia social é manipulação psicológica: um burlão finge ser alguém de confiança para fazer com que seja você mesmo a entregar o acesso, o dinheiro ou a informação.

A engenharia social funciona ao entrar na sua cabeça antes de o burlão entrar na sua conta. O atacante desempenha um papel: um investigador de fraudes, um agente de segurança do banco, o apoio ao cliente da sua operadora telefónica. Isso é tudo de que precisam para começar a fazer perguntas. No setor bancário, estes ataques ocorrem principalmente através de chamadas telefónicas, SMS ou ambos. Às vezes, as três coisas, com semanas de intervalo.

A IA está a tornar estes ataques mais difíceis de detetar. Um pequeno clipe de áudio é agora suficiente para clonar a voz de alguém: um correio de voz, alguns segundos de um vídeo público. Deepfakes em tempo real podem colocar um rosto numa videochamada enquanto esta acontece. Informações como o seu nome, o seu banco e uma transação recente são reunidas automaticamente a partir de perfis públicos e bases de dados que sofreram fugas de informação. O burlão não precisa de o conhecer pessoalmente.

Como se desenrola um ataque

Começa com urgência. "A sua conta está sob ataque." "Houve atividade suspeita e precisamos de proteger os seus fundos agora mesmo." Os burlões precisam que fique preocupado antes de ter a oportunidade de pensar. Uma pessoa em pânico age primeiro e faz perguntas depois.

Depois, a autoridade. O autor da chamada afirma ser da equipa de fraude do seu banco, um especialista atribuído ao seu caso. Há um número de referência, um cargo profissional, por vezes um nome de funcionário real que poderia verificar no LinkedIn. Alguns autores de chamadas chegam a transferi-lo entre departamentos. O objetivo é fazer com que pareça uma organização real a lidar com um problema real.

No momento em que lhe pedem para transferir fundos ou descarregar algo, já está na chamada há quinze minutos. Já confirmou os seus dados. Ouviu uma história plausível sobre o que correu mal. Seguiu passos que pareciam exatamente os de uma investigação de fraude real. A essa altura, limita-se a dizer que sim.

Nem todos os ataques começam com uma chamada telefónica. Alguns começam semanas antes com um e-mail de phishing ou um SMS suspeito. Clica num link, preenche um formulário e o burlão passa a ter o seu nome, o seu banco e o suficiente para parecer credível quando ligar mais tarde. Quando o telefone toca, parece que já o conhecem, porque já conseguiram o que precisavam.

Alguns ataques combinam tudo isto: primeiro um SMS, depois um e-mail, depois uma chamada, por vezes com dias ou semanas de intervalo. Cada contacto faz com que o seguinte pareça mais legítimo. Phishing é frequentemente onde a cadeia começa. Detetá-lo cedo pode travar as coisas antes de chegarem a uma chamada. As chamadas que imitam especificamente o seu banco são abordadas com mais detalhe em chamadas bancárias falsas e vishing.

Porque funciona até com pessoas cuidadosas

Um técnico fardado entra no edifício. Um médico que se apresenta é seguido para a sala de tratamento. Isso não é ingenuidade. É apenas como a confiança funciona. Ao telefone, um cargo profissional e um número de referência são suficientes para parecer legítimo.

Sob pressão de tempo, pensa mais rápido e questiona menos. Após quinze minutos a cooperar e a ser transferido entre departamentos, parar começa a fazer com que sinta que é você quem está a causar o problema.

Estes ataques são concebidos para funcionar com pessoas cuidadosas. Se passou por um, a culpa não é sua.

Como a bunq o protege

A regra mais fiável: nunca aja com base numa chamada telefónica sem verificar primeiro o chat na aplicação.

A bunq nunca liga. Qualquer chamada que alegue ser da bunq é uma burla. Abra a aplicação: haverá um alerta real se algo precisar da sua atenção.

Os burlões dependem da urgência. Safety Shield foi concebido para contrariar isso. Quando um pagamento parece invulgar, é colocado em pausa por 24 horas antes de ser processado. A retenção não pode ser contornada por si nem pela bunq. Isso é intencional. Se a transferência for legítima, é processada assim que as 24 horas terminarem. Se não for, tem tempo para a intercetar.

Os burlões pedem frequentemente que instale software de acesso remoto, como o AnyDesk ou o TeamViewer. A história deles: a "equipa de fraude" precisa de dar uma olhadela remotamente. Assim que o software estiver a correr, o atacante pode ver e controlar tudo no seu ecrã, incluindo a sua aplicação bancária. A bunq deteta quando qualquer aplicação de partilha de ecrã está ativa e limita os pagamentos efetuados automaticamente.

Ser o seu banco significa que a bunq vê tudo o que um burlão nunca verá: o histórico completo da sua conta, os seus padrões, em tempo real. Se virmos algo invulgar, agimos antes mesmo de ter de pedir.

Leia mais sobre como a bunq mantém o seu dinheiro seguro, incluindo proteção de depósitos e deteção de fraudes. Para passos que pode configurar por si mesmo, banca online segura aborda o lado prático.

Se acha que está a ser alvo neste momento

Desligue o telefone.

Feche qualquer software de acesso remoto que tenha instalado (AnyDesk, TeamViewer ou semelhante). Redefina o seu código de segurança na aplicação para bloquear o acesso do burlão à sua conta. Em seguida, contacte o suporte SOS da bunq, disponível em menos de 20 segundos dentro da aplicação, e denuncie a fraude através do Guia Antifraude.

A linha SOS da bunq está disponível em menos de 20 segundos dentro da aplicação. O Guia Antifraude explica detalhadamente todos os passos.

Se uma transferência já tiver sido efetuada, denuncie-a. A bunq analisa os casos de fraude para efeitos de reembolso por cortesia.

Considerações finais

A engenharia social funciona melhor com pessoas que não sabem o que é. Agora já sabe.

Quer venha como um SMS, um e-mail ou uma chamada, a urgência é um sinal de alerta, não um motivo para agir. Abra a aplicação primeiro. Se algo estiver realmente errado, estará lá.