Uma nova forma de golpe financeiro visa desviar os pagamentos eletrônicos dos clientes em detrimento dos vendedores. Segundo profissionais de riscos informáticos, casos de fraude por substituição de QR code foram registrados na Costa do Marfim.
O alerta ganha atualidade particular enquanto um vídeo explicativo, provavelmente de origem asiática, mostrando o modo operatório dos delinquentes circula nas redes sociais. A fim de preservar a segurança das transações diárias e sensibilizar os agentes econômicos, a Sika finance analisou esta ameaça.
Um golpe simples, denominado 'quishing'. 'Falamos de quishing, contração de QR e phishing.
No caso específico, trata-se de um QR code colado por cima do verdadeiro. Fala-se também de QR code swapping, de QR code overlay ou, em francês, de fraude por substituição de QR code', explica um profissional de riscos informáticos.
Tecnicamente, o modo operatório permanece elementar. Os criminosos imprimem etiquetas adesivas que fixam nos suportes de pagamento legítimos.
Em seguida, dirigem-se a pequenos comércios de rua e colam discretamente, ou substituem, estes falsos QR codes sobre os dos comerciantes, muitas vezes aproveitando um momento de desatenção ou distraindo o comerciante, por exemplo, durante um telefonema. Quando os clientes escaneiam o QR code exibido para pagar as suas compras, o dinheiro é diretamente transferido para a conta dos vigaristas, em vez de ser creditado ao comerciante.
Este tipo de manipulação, que consiste em cobrir um código autêntico com uma etiqueta fraudulenta, é documentado como uma das principais formas de fraude relacionada com pagamentos por QR code. Um responsável por riscos informáticos confirma a realidade do fenômeno no terreno: 'várias pessoas foram vítimas em Abidjan e no interior do país.'
Uma falha primeiramente física. Para os especialistas, a vulnerabilidade não reside principalmente na tecnologia de pagamento, mas na gestão do espaço de venda e na vigilância dos suportes exibidos.
Os códigos estáticos impressos e deixados sem controle podem ser substituídos, o que cria uma oportunidade para os fraudadores. 'Isto diz respeito mais à segurança física, tal como o controle de acesso exigido para as nossas instalações e as nossas salas de servidores.
A exposição sem vigilância das etiquetas cria a oportunidade. É muito simples: não exibir o seu QR code numa zona fora do nosso controle.
Adicionar uma camada de segurança ao pagamento por QR code prolongaria o processo, embora tenha sido esta facilidade e esta simplicidade que favoreceram o sucesso do pagamento por QR code', analisa um profissional da segurança informática. Perdas imediatas para as vítimas.
As consequências são diretas: o cliente paga, mas o comerciante não recebe nada. Os fundos são transferidos para a conta do vigarista, enquanto o comprador perde o seu dinheiro sem que a sua fatura real seja liquidada.
O risco é tanto maior quanto, uma vez validada a transação, é geralmente difícil recuperar os fundos. As recomendações internacionais insistem, portanto, na necessidade de verificar a identidade do beneficiário antes do pagamento e de confirmar a recepção efetiva dos fundos antes da entrega do bem ou serviço.
Bloquear as transações. Para prevenir estes riscos, os dispositivos de proteção devem ser adaptados ao nível de integração do pagamento na atividade do comerciante.
Para os casos não integrados, um especialista recomenda dispor de uma conta de comerciante, uma conta comum e um terminal confiado ao caixa. Este último reporta instantaneamente os pagamentos na conta do comerciante: a transação só é validada quando o caixa recebe a confirmação.
Para as estruturas que dispõem de sistemas mais elaborados, o controle deve ser automatizado. Quando o sistema de pagamento está interconectado com o do comerciante, um mecanismo de validação (token de transação ou identificador único) deve autenticar cada operação antes da sua contabilização pelo caixa.
Sem estes dispositivos, alerta o especialista, o risco de fraude e de quishing permanece elevado. Além disso, estas medidas alinham-se com as boas práticas recomendadas aos comerciantes: inspeção regular dos QR codes, confirmação dos pagamentos através de um painel de controle do comerciante ou uma notificação oficial, e entrega das mercadorias apenas após a recepção de uma confirmação de pagamento.
Escaneie, verifique e pague. Ações preventivas simples podem igualmente reduzir a exposição ao risco.
Um especialista em proteção de dados preconiza um controle físico regular do QR code exibido, enquanto outro especialista propõe a instalação de uma grade de proteção que impeça a afixação de outro código sem prejudicar a sua leitura. A inspeção diária dos suportes, o uso de proteções invioláveis e a formação do pessoal.