Golpes de brushing: o que são e como funcionam?

O que é um golpe de brushing?

Os golpes de brushing são um tipo de fraude em e-commerce no qual vendedores enviam produtos para endereços aleatórios para melhorar a presença online deles dentro do marketplace que estão usando, geralmente deixando avaliações falsas depois que o item é marcado como recebido.

Um golpe de brushing típico pode ser alguém que recebe um produto, como um elástico de cabelo ou um brinquedo de plástico, sem endereço de remetente. Como um item real é enviado a uma pessoa real, esses pedidos podem parecer legítimos para marketplaces como eBay ou Amazon, permitindo que o vendedor deixe uma avaliação “verificada”.

Você pode estar pensando que receber itens gratuitos pelo correio não é o pior do mundo. Talvez você já estivesse procurando uma capinha de celular barata mesmo.

Mas o fato de o vendedor fraudulento ter conseguido encontrar seu nome e endereço indica que suas informações pessoais podem ter sido expostas, por exemplo, na dark web, em sites legais de data broker ou em fontes públicas, e estão sendo usadas por golpistas. Pior ainda, em uma nova variante dos golpes de brushing, alguns golpistas estão anexando códigos QR maliciosos a esses pacotes para tentar roubar as informações pessoais dos destinatários.

Como funcionam os golpes de brushing?

Os golpes de brushing funcionam porque pedidos com entrega confirmada são vistos pelos marketplaces como “verificados”. Embora apenas itens baratos sejam enviados nesse tipo de golpe, os itens avaliados podem ser produtos de luxo. O custo do envio do item pode ser visto como um investimento, já que um grande número de avaliações verificadas positivas pode ajudar a loja do vendedor a ganhar uma posição mais vantajosa no algoritmo do marketplace.

Veja o processo passo a passo de como funciona um golpe de brushing:

Golpes de brushing com códigos QR falsos

Um jeito que os cibercriminosos encontraram de sofisticar os golpes de brushing é anexar códigos QR maliciosos aos pacotes. Esse tipo de ataque é conhecido como quishing, ou phishing por código QR. Quem recebe um pacote não solicitado pode verificar o link na esperança de descobrir a origem do presente misterioso ou como devolvê-lo.

Mas o link incorporado nesses códigos de quishing pode levar a um site malicioso que usa truques de engenharia social para enganar as vítimas. A página pode solicitar que você interaja com uma página de login falsa, revelando suas credenciais, insira dados do cartão em um portal de pagamento falso ou baixe malware que rouba informações.

O FBI alerta que, embora esses ataques híbridos de brushing-quishing não sejam tão difundidos quanto outros tipos de golpes, ainda representam uma ameaça séria, e as vítimas devem informar qualquer incidente ao Internet Crime Complaint Center (IC3).

Por que os golpes de brushing são prejudiciais?

Embora o item que você receba possa ser falsificado, a maioria dos golpes de brushing não causa danos diretos a você. Você não será responsabilizado por receber um item falsificado em um golpe de brushing.

Mas os golpes de brushing não são totalmente inofensivos e podem até ser sintoma de um problema maior: exposição de dados. Se você foi vítima de um golpe de brushing, significa que suas informações de identificação pessoal (PII) estão circulando em algum lugar na Internet e estão disponíveis para golpistas.

Vamos nos aprofundar um pouco mais nos riscos dos golpes de brushing:

Exposição de dados

Os golpes de brushing dependem de nomes e endereços reais, o que significa que algumas das suas informações pessoais provavelmente foram coletadas, vendidas ou expostas na dark web ou em sites de data broker. Se seus dados foram expostos após uma violação de dados, você pode notar um aumento nas tentativas de golpe, incluindo golpes de brushing.

A exposição do seu nome e endereço, por si só, pode não representar um risco direto de fraudes graves como roubo de identidade, mas pode aumentar sua vulnerabilidade a golpes direcionados (também conhecidos como spear phishing). No fim das contas, isso pode resultar em roubo de identidade e prejuízos financeiros caso o golpista já tenha alguns dos seus dados pessoais e consiga convencer você a revelar ainda mais informações confidenciais.

E, se seu nome real e endereço foram vazados, outras informações ainda mais confidenciais também podem estar expostas. Ferramentas de monitoramento como o Avast BreachGuard podem ajudar a descobrir quais informações pessoais suas estão circulando na dark web, para que você possa agir e proteger suas contas e identidade.

Avaliações falsas publicadas em seu nome

Golpistas podem usar seu nome para publicar avaliações de “compra verificada” vinculadas aos itens que enviam. Isso não prejudica você de modo direto, mas não é nada bom: sua identidade está sendo usada sem seu consentimento para apoiar práticas enganosas.

Produtos falsificados ou perigosos

Os itens enviados em golpes de brushing costumam ser de baixa qualidade, falsificados ou sem regulamentação. Receber esses produtos não vai causar problemas a você, mas eles podem não atender aos padrões de segurança, especialmente se forem eletrônicos, cosméticos ou produtos de consumo. Recomendamos não usar o produto se você acha que o recebeu como parte de um golpe de brushing.

Golpes de seguimento

Em alguns casos, golpistas podem tentar entrar em contato com você sobre o pacote, se passando por suporte ao cliente, serviços de entrega ou vendedores. Se alguém entrar em contato pedindo informações ou pagamento relacionados a uma entrega inesperada, o mais seguro é ignorar a mensagem.

Práticas de venda desleais

Os golpes de brushing são usados para aumentar artificialmente as avaliações e classificações de produtos com resenhas “verificadas” falsas. Isso abala a confiança nos marketplaces online e coloca vendedores legítimos em desvantagem, dificultando que compradores confiem nas avaliações na hora de fazer compras.

Golpes de quishing

Alguns pacotes de golpes de brushing incluem códigos QR que pedem para você verificar e obter mais informações sobre o produto ou a entrega. Esses códigos podem levar a sites de phishing criados para roubar informações pessoais ou de login. Evite ler códigos QR de pacotes inesperados, especialmente se pedirem que você insira dados confidenciais.

O que fazer se receber um pacote não solicitado

Se você receber um pacote não solicitado, o melhor é simplesmente ignorá-lo. Se o pacote contiver consumíveis, eletrônicos ou cosméticos, descarte-o com segurança. Não faça a leitura de nenhum código QR anexado, não ligue para nenhum número que possa vir com o pacote e não responda a mensagens que afirmem ser do vendedor ou do atendimento ao cliente. Provavelmente são golpes de seguimento.

Verifique se há etiquetas que possam indicar em qual marketplace o vendedor está tentando manipular os resultados, pois elas podem ser úteis na hora de denunciar o golpe de brushing.

Por último, use uma ferramenta de monitoramento de violação de dados ou faça uma verificação da dark web para descobrir se mais dados confidenciais, além do seu nome e endereço, estão circulando na dark web. Se for o caso, pode ser necessário alterar suas senhas, ativar autenticação de dois fatores ou até congelar seu crédito para ajudar a se proteger contra invasões de conta ou fraudes.

Monitore seus relatórios de crédito e extratos bancários para identificar cobranças de “teste” não autorizadas. Elas podem aparecer após uma violação de dados e indicar cobranças maiores em breve.

Preciso devolver pacotes não solicitados?

Não. O Serviço de Inspeção Postal dos EUA garante aos consumidores que, por lei, eles podem ficar com pacotes não solicitados. As diretrizes da FTC também reforçam que você pode ficar com qualquer mercadoria que receber.

Como denunciar um golpe de brushing

Denunciar golpes de brushing pode ajudar marketplaces digitais e reguladores a combater fraudes. Veja como denunciar golpes de brushing.

1. Se possível, denuncie as informações ao marketplace no qual o vendedor está tentando melhorar a reputação, como Amazon, eBay ou Temu. Você pode conseguir essa informação no pacote que recebeu pelo correio, procurando por logotipos que reconheça.

2. Denuncie a fraude à Comissão Federal de Comércio (FTC) dos EUA.

3. Se o pacote foi enviado pelo correio e você suspeita que pode ser perigoso, pode denunciar o incidente ao Serviço de Inspeção Postal dos Estados Unidos.

Proteja suas informações pessoais hoje mesmo

A melhor maneira de manter seus dados seguros é com uma abordagem em camadas. A Avast ajuda a manter sua proteção verificando informações vazadas, alertando sobre sites fraudulentos enquanto você navega e bloqueando links maliciosos e anexos conhecidos antes que causem danos.