Olá, Habr. Eu sou Igor, líder da equipe que luta contra golpistas no Avito. Hoje, vamos falar sobre a batalha eterna contra os malfeitores que tentam, e às vezes conseguem, enganar os compradores online por meio da entrega de produtos.
Já lutamos contra fraudes há muito tempo. Os golpistas atuais enganam as pessoas imitando interfaces e funções de plataformas de comércio eletrônico. Por exemplo, eles elaboram esquemas com entrega por mensageiros nas marketplaces.
Em janeiro de 2020, apareceram na internet instruções prontas para golpistas e todas as ferramentas necessárias. Depois, o isolamento social atiçou ainda mais o fogo: aqueles que antes enganavam e roubavam nas ruas e apartamentos foram forçados a migrar para o online. Talvez você também tenha recebido muitas ligações ou mensagens em aplicativos e e-mails dessas mesmas 'fraudadores'. Eles se apresentam como funcionários de bancos, autoridades, parentes distantes ou notários. Deixe um comentário sobre qual tipo de fraude você encontrou pela última vez.
Esquemas comuns de fraude
O esquema mais comum para enganar um comprador com entrega de produtos funciona assim:
- O golpista publica um anúncio com um produto popular de preço médio. Por exemplo, um anúncio para a venda de um patinete elétrico — muito popular no verão.
- Ele tenta convencer o potencial comprador a optar pela entrega de várias maneiras. As justificativas podem variar: fui embora da cidade por causa da pandemia ou estou muito ocupado e não posso me encontrar pessoalmente.
- Após obter a concordância, o golpista envia um link falso para pagamento. A página do link se parece com o formulário padrão do Avito.
- A vítima paga pela compra e se despede do dinheiro.
- O golpista tenta ganhar mais dinheiro, oferecendo devolver o pagamento. Ele envia ao comprador um novo formulário para reembolso, mas, na verdade, ele retira o dinheiro novamente. A página de reembolso é a mesma página de pagamento, mas o texto do botão foi alterado de 'pagar' para 'devolver'.
Abaixo está um exemplo de uma página falsa que um golpista pode enviar. O domínio imita o Avito, e o site se parece com uma página de finalização de pedido em uma loja online. Páginas falsas frequentemente usam o protocolo https, tornando impossível identificá-las apenas por esse critério. Após preencher os dados, o usuário é redirecionado para uma página de pagamento, onde é solicitado a inserir os dados do cartão bancário.
Páginas falsas de pagamento de produtos e reembolso
Bloqueamos vendedores suspeitos. Portanto, para realizar esse tipo de operação, os golpistas precisam constantemente criar novas contas no Avito. Eles podem registrá-las por conta própria usando SMS para um número virtual temporário ou comprar contas roubadas. Um cartão SIM virtual custa a partir de 60 copeques, e uma conta de terceiros no mercado negro — a partir de 10 rublos. Os custos para ambas as opções são incomensuravelmente menores do que o lucro único obtido ao enganar usuários.
Este foi o Avito Scam 1.0, mas já surgiram as versões 2.0, 3.0 e até 4.0. Esses não são nossos rótulos — são usados pelos próprios golpistas.
Eles enganam não só compradores, mas também vendedores. O segundo esquema é assim:
- O comprador supostamente enviou o dinheiro através de uma transação segura.
- Ele envia ao vendedor um link falso, onde este pode receber o pagamento.
- O vendedor é direcionado para uma página que solicita os detalhes do seu cartão, e, no final, o valor é debitado de sua conta.
O esquema Scam 3.0 funciona assim:
- O vendedor publica anúncios com a entrega ativada através do Avito.
- Quando o comprador paga pelo produto, o golpista envia a ele uma captura de tela, onde o Avito supostamente pede um código de confirmação.
- Com o código, o vendedor acessa a conta do usuário. No perfil do comprador, o golpista marca uma opção indicando que o produto foi recebido. O comprador fica sem dinheiro e sem a compra.
E o esquema 4.0 é organizado da seguinte forma:
- O comprador finge que pagou pelo produto e envia um comprovante falso. Os comprovantes são enviados para qualquer lugar: para o e-mail ou para um mensageiro alternativo. Isso depende de qual contato o vendedor forneceu ao golpista.
- O vendedor recebe um SMS que imita um depósito do banco.
- Após alguns minutos, o comprador informa que um produto de outro vendedor lhe convém melhor e pede o reembolso. Frequentemente, o argumento usado é "devolva, você não é um golpista". O vendedor envia a quantia ao comprador, mas do próprio bolso, já que não houve pagamento.
O que os golpistas pressionam
Os cinco contextos mais populares nos quais as pessoas caem nas garras dos golpistas:
- Proposta de venda única. O preço ou o produto se diferenciam favoravelmente de outras ofertas.
- Agitação. O vendedor tem várias pessoas interessadas em comprar o produto, então ele força o pagamento antecipado.
- Urgência. O comprador oferece comprar o produto urgentemente por qualquer quantia e pede todos os dados do cartão bancário para transferir o dinheiro.
- Bondade. O golpista pede ajuda para comprar o produto: por exemplo, o comprador tem problemas de saúde ou não pode retirar o produto pessoalmente. O golpista solicita os dados do cartão para transferir o dinheiro, e diz que um courier irá retirar o produto.
- Diversas localidades e cidades. Nesse caso, o pagamento antecipado se torna uma condição obrigatória para a transação, o que abre um enorme campo de atuação para os golpistas.
Esquema de "trabalho" dos golpistas
No esquema de fraude, três grupos estão envolvidos: trabalhadores, suporte e TS.
Trabalhadores, da palavra worker, são o grupo mais numeroso, composto principalmente por estudantes e alunos. Eles criam contas na Avito e buscam vítimas, conhecidas como mamutes. Depois, com habilidades de engenharia social, convencem as vítimas a pagar por algo e enviam um link falso. Se a vítima paga pelo "produto", o objetivo dos trabalhadores, com o suporte, é direcionar a vítima para um reembolso, alegando algum erro técnico.
O suporte é composto por pessoas que, por um salário fixo, ajudam os trabalhadores novatos a enganar os usuários. Eles fornecem conselhos, recomendam produtos "lucrativos" e, muitas vezes, estão dispostos a oferecer outros serviços, como preparar um documento de identidade no Photoshop, ligar para a vítima ou escrever para ela em nome do suporte técnico.
TS, ou Topic Starter em fóruns subterrâneos, onde originalmente foram contratados os trabalhadores, são essencialmente os organizadores. Eles baixam ou compram softwares que consistem em duas partes:
- Um bot do Telegram, que é a principal ferramenta dos golpistas. Nele é possível obter um link falso para o produto, receber notificações sobre transações ou pagamentos.
- Versão web, que é responsável pela exibição da página de pagamento/reembolso/recepção de dinheiro. Ela também está conectada ao sistema de pagamento para receber pagamentos.
Os organizadores lucram com a comissão de cada transferência da vítima, que chamam de lucro. Por isso, eles se esforçam para promover seu projeto e pagam suporte para treinar novos usuários. Todas as despesas relacionadas à compra de novos domínios e cartões, para onde o dinheiro vai, recaem sobre eles.
Após analisar o código-fonte de várias versões de scripts fraudulentos, chegamos à conclusão de que a maioria deles é escrita em PHP, mas em um nível muito ruim. Quase todos os scripts coletam informações sobre seus usuários, incluindo os trabalhadores. Uma das suposições sobre o motivo pelo qual eles fazem isso é que, quando as autoridades alcançarem o organizador, ele colaborará com a investigação e tentará minimizar a pena ao revelar os trabalhadores.
Além dos scripts, os golpistas usam bombers. Estes são bots que permitem inundar o telefone de SMS e chamadas. Bombers operam da seguinte forma: eles visitam diferentes sites e solicitam registro ou recuperação de senha pelo número de telefone. Geralmente, os golpistas conectam esses bots a suas vítimas por 2 a 72 horas. E essa é uma razão importante para não mostrar seu número de telefone na internet.
Alguns TS também contratam desenvolvedores para fazer melhorias no bot ou site. Por exemplo, implementando uma classificação dos trabalhadores ou protegendo scripts contra vulnerabilidades que existem nas versões gratuitas. No entanto, na busca por lucro rápido, o TS pode ficar com toda a receita, enganando seus próprios trabalhadores. Ao mesmo tempo, há um grupo de pessoas que lucram com os próprios golpistas, enganando-os com diversos serviços.
A renda média diária de um golpista-executador é de 20.000 rublos, enquanto a de um golpista-organizador é de 200.000 rublos. É importante lembrar: apesar da aparente impunidade e lucro deste "negócio", toda essa atividade se enquadra . Os golpistas são presos e recebem penas reais mesmo em casos onde o dano do golpe é de 5 a 7 mil rublos.
Todas as informações que temos sobre fraudes são encaminhadas para as autoridades. Estamos convencidos de que, apesar da aparente lucratividade e facilidade do esquema, nossos leitores compreendem que fraudes são práticas apenas de pessoas ingênuas, que não percebem todos os riscos.
A épica batalha entre antifraude e golpistas
Vamos contar quais passos tomamos nos primeiros meses de 2020 para proteger nossos usuários e como os golpistas reagiram.
A principal métrica que usamos para avaliar a eficácia do nosso trabalho foi o número de solicitações de suporte relacionadas a entregas fraudulentas. Bloqueamos a maioria dos anúncios fraudulentos antes mesmo de serem publicados no site. Mas quando quase todo o comércio foi para o online, notamos um aumento nas solicitações. Essa informação é confirmada também pelos bancos: em abril e maio, eles enviaram em massa alertas sobre o aumento de fraudes em compras online.
Para obter feedback rápido sobre novas ferramentas, uma pessoa de nossa equipe infiltrou-se em dezenas de grupos fechados de golpistas. Em um deles, ele passou por uma entrevista para desenvolvedor e obteve acesso ao código-fonte de bots de scam, além de ter sido incluído no grupo dos organizadores. Graças a isso, sempre tivemos informação fresca diretamente da fonte.
Entendendo os riscos devido ao início do isolamento, começamos a trabalhar antes do aumento ativo das solicitações. Uma das primeiras medidas técnicas foi implementar a anti-hack, para retirar as contas dos usuários das garras dos criminosos. Para isso, ao inserir corretamente o login e a senha, mas com uma geolocalização suspeita, solicitávamos um código por SMS, que era enviado ao proprietário da conta. Em resposta, os golpistas começaram a registrar mais contas independentes. Isso nos beneficia — contas novas de vendedores transmitem menos confiança.
Em seguida, começamos a alertar os usuários sobre clicar em links suspeitos no mensageiro. Assim, reduzimos o número de cliques em um terço, mas em nossa métrica principal isso quase não teve impacto: aqueles que foram enganados por golpistas não eram detidos por nenhum aviso.
Em seguida, introduzimos uma lista de permissões de links. Paramos de destacar links desconhecidos no mensageiro Avito, e não é mais possível clicar neles uma única vez. Ao copiar um link suspeito, também exibiamos um aviso. Essa decisão impactou positivamente nossa métrica pela primeira vez.
Começamos a punir ativamente a transmissão de links suspeitos no mensageiro Avito: bloqueando ou rejeitando anúncios de vendedores. Em resposta, os golpistas começaram a levar os usuários do nosso chat para mensageiros externos. Então, lançamos um aviso para não sair para outro mensageiro se virmos sua menção no chat. Essa função começou com a pesquisa por expressões regulares, depois substituímos por um modelo de ML.
Naquela época, os golpistas começaram a levar usuários para o e-mail. Para isso, precisavam da mesma coisa que todos nós — confiança. Começaram a enviar imagens para as potenciais vítimas, onde o Avito supostamente pedia o e-mail do comprador. Isso é uma mentira — não precisamos do e-mail dos compradores.
Aqui, nosso suporte supostamente responde que para a entrega é necessário o e-mail do comprador.
E aqui, em nossa interface, aparentemente apareceu um novo campo para a entrada do e-mail.
Se alguém já podia distinguir um link falso, um e-mail é fácil de falsificar com qualidade, e isso gera mais confiança. Começamos a apagar a mensagem com o e-mail e mostrar ao usuário um aviso sobre o perigo dessa ação. Se, após o aviso, o usuário enviar o e-mail novamente, já não o apagamos.
Os golpistas começaram a pedir aos compradores que enviassem o endereço de e-mail em várias mensagens ou substituindo o símbolo @ por outro. Então, começamos a exibir um aviso já ao solicitar o e-mail. O conjunto dessas medidas permitiu quase que completamente evitar que os usuários fossem para o e-mail a partir do mensageiro Avito.
Nossa mecânica atual é bastante eficaz, mas não é amigável para os usuários. A mensagem com o e-mail é completamente apagada, e muitas vezes nela há outro texto. Mas essa foi a solução mais rápida e barata de desenvolver. Estamos pensando em como reformulá-la e melhorá-la.
Uma das nossas últimas iniciativas é a verificação de números. Geralmente, os números usados por golpistas para registrar contas não duram muito. Nós ligamos para o número do vendedor após a postagem do anúncio no Avito. Se não conseguimos completar a chamada, a moderação rejeita o anúncio. Os golpistas começaram a mudar o número de telefone imediatamente antes da publicação, para que possamos ligar enquanto ele ainda está disponível.
Aqui está o feedback de um golpista.
Em casos suspeitos, diminuímos a prioridade do anúncio nos resultados e o removemos das recomendações. Ao mesmo tempo, estabelecemos um atraso na exibição de até 48 horas, para garantir que possamos verificar tudo cuidadosamente e causar um pouco mais de inconveniência aos golpistas.
Isso é apenas a ponta do iceberg; existem muitos mais tipos de fraudes.
Infelizmente, não é possível descrever todos os tipos de fraudes em um só artigo. Quando soubemos da introdução do regime de autoisolamento, ficou claro que os golpistas que lucravam offline iriam para o online. Eles não desejam mudar seus modelos de comportamento por vários meses e se tornar cidadãos exemplares. Isso levou a um verdadeiro boom de fraudes em todas as plataformas online e por telefone.
Entre os tipos de fraudes, existem algumas raras e até engraçadas. Por exemplo, aqui um golpista se faz passar por um robô para reduzir os custos de comunicação:
Apesar de o número de golpistas no Avito estar diminuindo a cada dia, e de operações em todo o país, onde autoridades policiais os encontram, mesmo com proxies e VPNs, prendendo-os e aplicando penas reais de até 2 anos de prisão por fraudes de 2500 a 5000 rublos, é impossível eliminar completamente a fraude.
Não iremos falar publicamente sobre outras ideias e inovações, para não facilitar o trabalho dos golpistas. Entendemos que esta batalha continuará. Nossa missão é complicar ao máximo a vida dos golpistas, tornando esse tipo de atividade em nosso recurso simplesmente não lucrativa e muito arriscada, minimizando o impacto sobre os bons usuários.
Resultados do trabalho
Aqui está o gráfico de consultas ao suporte sobre fraudes nas entregas. Nas últimas semanas, ele se manteve em um nível invariavelmente baixo:
Como não se tornar uma vítima de golpista
Golpistas são a parte negativa das ofertas vantajosas. Para se manter sempre seguro, basta seguir algumas regras:
- Não compartilhe informações sensíveis. De forma alguma: nome completo, telefone, endereço, e-mail, data e local de nascimento, informações sobre a família e renda, dados do cartão, contatos em outros mensageiros. Nunca informe códigos recebidos por SMS ou notificações push.
- Comunique-se apenas dentro do nosso mensageiro, assim poderemos alertá-lo em caso de perigo.
- Verifique a classificação do vendedor e a idade do perfil. Preços muito baixos, uma data recente de registro no site e avaliações negativas geram suspeitas.
- Se o botão ‘Comprar com entrega’ estiver desativado, não há entrega do produto através de parceiros confiáveis do Avito. Outros métodos de entrega sempre representam risco.
- Não clique em links. O link para pagamento ou recebimento de dinheiro deve ser enviado como mensagem do sistema no mensageiro do Avito. Um link verdadeiro sempre começa com o domínio www.avito.ru. Qualquer outra combinação de palavras e símbolos é fraude.
- Não tenha pressa e faça todas as compras com clareza. Esteja atento a qualquer detalhe. Os golpistas costumam pressionar os potenciais compradores e ameaçar vender o produto para outra pessoa. Vendedores honestos são leais e estão abertos a perguntas adicionais.
- Não faça pagamento antecipado por qualquer serviço se não tiver certeza sobre o vendedor.
- Não instale nenhuma extensão ou programa de terceiros.
- Se você encontrar um perfil ou anúncio suspeito, informe-nos . Nós verificaremos o vendedor. Na internet, é melhor não confiar em ninguém e fazer verificações adicionais.
Fonte: habr.com
