Pix: dicas de segurança para não cair em golpes

Criado pelo Banco Central, o Pix, encarado como base para uma revolução em termos de pagamento instantâneo, vem conquistando a atenção dos brasileiros. O serviço, lançado em novembro, está ganhando adeptos numa velocidade impressionante. Nos dois primeiros meses de funcionamento, o Pix já foi cadastrado por 25% da população brasileira, e em dezembro de 2020 representou 15% do valor total da movimentação de outros meios tradicionais de transferência, TED e DOC.

A dissociação com meios tradicionais em favor do Pix também chama atenção. Segundo levantamento do banco BS2 com correntistas em todo o país, o Pix já é apontado como a melhor opção de pagamento para 24% dos entrevistados, ficando atrás apenas do cartão de crédito (25%). Isso significa que o Pix já aparece como o queridinho frente ao cartão de débito, TED e DOC.

Com uma adoção tão expressiva em pouco tempo, e o incentivo por parte das instituições financeiras tradicionais e fintechs em relação ao uso do Pix, é evidente que os casos de golpes virtuais que miram essa nova maneira de lidar com o dinheiro estão aumentando rapidamente. Com menos de um mês em funcionamento, golpes com valores de 22 mil e 70 mil reais já estavam sendo contabilizados usando o Pix como a ponte para a trapaça.

Casos como este chamam a atenção de pessoas físicas e jurídicas em torno do uso do Pix. A seguinte questão é o ponto-chave: O Pix é realmente seguro? Antes de abordarmos o tema de maneira mais completa, a resposta é que sim, o Pix é seguro.

Entretanto, há inúmeras maneiras do próprio usuário jogar contra a sua própria segurança em relação ao uso do serviço. Erros que começam desde o cadastro da chave única na instituição bancária até o uso no dia a dia. Neste artigo separei algumas dicas de seguranças valiosas para que você consiga utilizar o Pix com mais segurança.

A segurança com o Pix

Antes de adentrarmos nas dicas, é importante passar rapidamente sobre qual o arcabouço de tecnologias que o Pix está embarcado, e que garantem a segurança para que você ou sua empresa possa trabalhar com este serviço.

Como explica Umberto Rosti, chairman da Safway, empresa brasileira que presta consultorias em Segurança da Informação e Cibersegurança, o sistema Pix tem como sua premissa básica que todas as transações financeiras, incluindo o registro e as alterações das chaves cadastradas, são assinadas digitalmente pela instituição responsável por conceder a chave e enviadas através de um canal criptografado, utilizando para a autenticação do certificado ICP-Brasil padrão SPB o Transport Layer Security (TLS).

Rosti também enfatiza que toda a comunicação é realizada pelos PSP (Prestadores de Serviço de Pagamento) através da Rede do Sistema Financeiro Nacional (RSFN). Esta rede conta com mecanismo de adicional antifraude provido pelo DICT (Diretório de Identificadores de Contas Transacionais).

É o DICT que informa ao PSP dados associados às chaves cadastradas, como data de registro, contagem das transações realizadas e até relatos de infrações. Essas informações serão utilizadas pelos Prestadores de Serviço de Pagamento. Aliados aos controles internos de segurança do PSP, a validação da transação poderá ser aprovada ou negada.

Deu pra perceber que o sistema é complexo e passa por um conjunto de fatores até que a validação aconteça. Processo importante e que está alinhado com a própria magnitude com que o Pix está sendo tratado. O Pix tem o potencial para substituir rapidamente o arcaico boleto bancário. O fator instantaneidade na aprovação e até mesmo a segurança embarcada jogam totalmente a favor do Pix.

Você também deve ler!

Pix – Tudo o que você precisa saber

Infelizmente, isso tudo não elimina a chance de golpes gerados tendo o Pix como o meio para isso. Erros do próprio usuário podem facilitar a proliferação de trapaças, aliás, boa parte dos golpes bancários tem relação direta com o usuário do que com falhas sistêmicas. De acordo com dados da Federação Brasileira de Bancos (Febraban), 70% das fraudes bancárias estão relacionadas à engenharia social.

Dicas de segurança ao utilizar o Pix

Atenção no cadastro da chave

Vamos partir do ponto fundamental para que você possa utilizar o serviço, que é a chave Pix. É com essa chave que você pode realizar ou receber transferências. No cadastro da chave você se depara com algumas opções que, dependendo da escolha, podem trazer problemas no futuro, analisando sobre o aspecto da segurança.

As chaves cadastradas nas instituições financeiras podem ser de quatro tipos: e-mail, CPF, telefone ou uma chave aleatória.

Do ponto de vista da comodidade, cadastrar chaves baseadas no número de CPF, telefone ou e-mail é óbvio, mas o interessante realmente é adotar uma chave aleatória. Quanto menos você expor dados que podem ser explorados por cibercriminosos melhor. Deixe a comodidade de lado e cadastre uma chave aleatória. As próprias instituições financeiras irão consultar seus dados, já que é deles a responsabilidade da validação; portanto, a chave aletória é menos sensível do ponto de vista da privacidade.

Adivinha qual a forma de chave mais comum entre os brasileiros. Você pensou CPF? Acertou em cheio. De acordo com dados do Banco Central, até o final de dezembro, 133,8 milhões de chaves Pix já haviam sido cadastradas. O CPF é o modo de cadastro mais usual. 45,9 milhões de chaves baseadas no cadastro de pessoa física, seguido por chaves aleatórias e número de celular, com 35,4 milhões e 29,2 milhões de chaves, respectivamente.

Atenção aos links

Como de praxe, boa parte da atuação dos cibercriminosos em relação a disseminação de suas trapaças é a clássica engenharia social, se passar pelo que não é.

Sites falsos com cada vez mais verossimilhança com o original de alguma instituição bancária ou loja está se tornando mais comum. Assim sendo, é muito importante ficar atento a certos links, principalmente se eles são repassados por grupos no WhatsApp, por exemplo. A regra de não sair fornecendo dados sensíveis através de links repassados por mídias sociais e SMS sempre será uma das boas práticas em segurança digital.

Lembre-se que empresas não irão utilizar contas de pessoas físicas para cadastrar sua chave Pix. Caso você veja uma conta de pessoa física atrelada a uma empresa, já desconfie. Entre em contato com sua instituição bancária caso tenha recebido alguma mensagem duvidosa. Checar, ainda mais quando dinheiro está envolvido, é indispensável!

De acordo com a empresa de segurança Kaspersky, os cibercriminosos estão até modificando seus SMSs falsos repassados para evitar os filtros de bloqueio das operadoras de telefonia. Os hackers substituem o espaço entre as palavras pelos caracteres sublinhado (_) ou ponto (.), e trocam letras como o “i” por “l”, pois visualmente a diferença é mínima.

Fabio Assolini, analista sênior de segurança da Kaspersky, explica que os bancos jamais enviam links com pedidos de atualização de dados por mensagem – seja por SMS, WhatsApp ou e-mail. O acesso a sites de bancos ou outros serviços financeiros deve ser sempre feito digitando o endereço dos sites oficiais no navegador, ou baixando o aplicativo nas lojas oficiais (Play Store ou App Store).

Cuidado com o QR Code Falso

Assim como o golpe do boleto falso, também temos o golpe do QR Code falso. Para agilizar o pagamento, muitos prestadores de serviço e até empresas grandes utilizam o QR Code como esse facilitador na transação, que pode ter uma link com o Pix. Pode acontecer do QR Code ser falso, repassado por um cibercriminoso. C0nfie apenas em QR Codes que são enviados dos canais oficiais das instituições que você está comprando.

Cautela com pedidos de dinheiro por WhatsApp

Novamente temos a engenharia social como base. Com o Sim Swap, a clonagem de uma conta do WhatsApp sem a verificação de dois fatores ativadas, o invasor pode se passar por você e tentar extorquir algum conhecido seu, contando alguma história triste ou apenas pedindo uma transferência mesmo. Muitos casos baseados nessa mecânica já foram registrados, e com o Pix e sua agilidade e facilidade na transação de dinheiro golpes como este só irão aumentar. O que muda é apenas a forma de roubar seu dinheiro, o Pix agora é a bola da vez.

Primeiramente, desconfie de pedidos de dinheiro via WhatsApp. Não faça a transferência e depois confirme ligando para o suposto beneficiado. Realize o processo inverso. E, acima de tudo, ative a verificação em duas etapas, já que é uma forma de neutralizar a ativação da sua conta em outro chip, já que mais um fator de verificação, que só você sabe, será necessário para concluir o processo.