Check Point alerta para potencial esquema fraudulento com as Amazon Mistery Boxes

No segundo trimestre de 2021, a Amazon constava em 11% de todas as tentativas de brand phishing

A Check Point Research (CPR), área de Threat Intelligence da Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornecedor líder global de soluções de cibersegurança, alerta para um potencial esquema de phishing envolvendo as Mistery Boxes da Amazon.

Para os utilizadores da Amazon mais indecisos ou aventureiros, comprar uma Mistery Box pode ser a solução ideal. É, tal como o nome indica, uma caixa-mistério que o cliente recebe a seu pedido sem saber exatamente o que está a encomendar. Normalmente, seguem temáticas específicas e têm preços que variam consoante o valor atribuído à caixa. Se, à primeira vista, parece uma ideia engraçada e compensadora para o utilizador comum, no mundo do cibercrime, é vista igualmente como uma oportunidade interessante.

Alertados para o potencial malicioso desta oferta, a equipa da Check Point Research conduziu uma investigação entre os domínios paralelos que fazem negócio a partir da revenda de itens da Amazon. Na última semana, foram identificados vários websites novos que anunciam a venda das Mistery Boxes da Amazon, bem como produtos não reclamados da multinacional americana. A Check Point Software partilha dois exemplos reais de websites que seguem o mesmo design e propósito, estando até registados no mesmo nome.

Fig 1. Página inicial do domínio “show-shops\.top” à esquerda; a página de pagamento à direita

Apesar de não terem encontrado registo de qualquer atividade maliciosa, os investigadores da Check Point identificam potencial de atividade suspeita entre estas páginas. Não seria a primeira vez que a Amazon é utilizada como isco pelos cibercriminosos. De acordo com o último Brand Phishing Report da Check Point Software, durante o segundo trimestre de 2021, a Amazon constava em 11% de todas as tentativas de Brand Phishing, ocupando o terceiro lugar do top 10 de marcas utilizadas para este fim.

“O e-commerce tem ganho cada vez mais adeptos nos últimos anos... É uma realidade cada vez mais instituída em Portugal. Temos o exemplo recente do primeiro Amazon Prime Day em que os utilizadores portugueses puderam participar. Se, por um lado, é interessante ver uma maior abertura para as novas formas de consumo, é inevitável não considerar os riscos que estas comportam,” começa por dizer Rui Duro, Country Manager da Check Point Software Technologies em Portugal. “Há que estar sempre alerta e nunca ficar demasiado confortável com o comércio online. O perigo aqui é cair no erro de fornecer dados bancários e de contacto a websites que não conhecemos bem, por mais inofensivos que pareçam. O meu conselho para os utilizadores é que visitem sempre websites reconhecidos e comprovados, evitando os domínios paralelos que muitas vezes se destacam pelas ofertas atrativas. Há uma máxima importante que devemos ter em conta: se parece demasiado bom para ser verdade, provavelmente é.”

Dicas para evitar ser vítima de um esquema de phishing

1. Ter atenção a potenciais erros ortográficos presentes no domínio: antes de realizar compras, procure no domínio por erros ortográficos que possam evidenciar o cariz malicioso da página, como, por exemplo, um “.co” em vez de um “.com”
2. Utilizar preferencialmente cartões de crédito: os cartões de débito estão vinculados às contas bancárias, pelo que a probabilidade de os atacantes acederem aos nossos dados é muito maior. Assim, é recomendável a utilização de cartões de crédito, que oferecem maior proteção.
3. Partilhar apenas a informação estritamente necessária: a realização de compras online exige, naturalmente, a partilha de alguns dados. Desconfie se lhe está a ser pedida informação que não considera necessária.
4. Procurar pelo protocolo de segurança da página: evite a compra de produtos em páginas que não disponham de um certificado de segurança SSL ou o protocolo https.
5. Investigue antes de comprar: faça uma breve pesquisa sobre o website em que pensa realizar uma compra antes de a completar. Procure por sinais que comprovem a sua credibilidade.