João Miguel Mesquita
A utilização indevida de informação pessoal está a alimentar uma nova vaga de esquemas de chantagem por e-mail que recorrem a tácitas cada vez mais personalizadas. Segundo um recente alerta da Kaspersky, os cibercriminosos estão a incorporar nomes completos, contactos telefónicos e outros dados identificáveis nas mensagens, o que reforça a credibilidade das ameaças e aumenta o impacto emocional sobre os destinatários. Esta abordagem tem sido observada também em mensagens escritas em português, incluindo casos em que os criminosos se fazem passar por autoridades policiais.
A personalização destas campanhas resulta de falhas na proteção de dados, permitindo aos criminosos construir narrativas capazes de gerar pânico de forma mais eficaz. As fraudes dividem-se, sobretudo, em três grandes variantes: alegadas invasões informáticas, ameaças de assassinos contratados e intimações falsificadas atribuídas a organismos policiais.
Na modalidade mais difundida, os remetentes afirmam ter invadido os dispositivos da vítima e obter acesso a câmaras, microfones, ficheiros ou ao histórico de navegação. O objetivo passa por levar o destinatário a acreditar que conteúdos privados foram captados sem autorização, frequentemente associados ao consumo de material para adultos. As exigências financeiras situam-se habitualmente na ordem das centenas de euros, pagas em criptomoeda. Para sustentar o engano, estas mensagens incluem por vezes explicações técnicas sobre alegado malware utilizado e conselhos de segurança que, apesar de surgirem num contexto fraudulento, coincidem com as práticas recomendadas.
Existe ainda uma variação em que os criminosos se apresentam como assassinos contratados. Neste esquema, o email sugere que o remetente foi incumbido de matar a vítima, mas admite desistir da missão caso receba uma quantia superior à supostamente oferecida por quem ordenou o crime. Esta técnica explora o medo de forma direta e define o criminoso como um intermediário disposto a recuar mediante pagamento, reforçando o caractere manipulatório da abordagem.
Outra tácita frequente envolve a simulação de comunicações oficiais de entidades policiais, entre as quais a Europol. As mensagens incluem anexos em formato PDF ou DOC que funcionam como falsas intimações, mencionando crimes graves e pressionando o contacto imediato com um endereço indicado. Estas comunicações utilizam artigos legais inventados e recorrem a assinaturas e selos falsificados, com o intuito de conduzir as vítimas ao pagamento de alegadas multas, também direcionadas para carteiras de criptomoedas. Esta vertente tem sido particularmente observada em vários países europeus, com mensagens em francês, espanhol e português.
A sofisticação dos ataques não se limita ao conteúdo. Os criminosos recorrem a múltiplas técnicas de evasão para dificultar a deteção automática destes emails, incluindo a inserção de caracteres provenientes de alfabetos diferentes, a utilização de códigos HTML para alterar sinais diacríticos, a mistura de tipografias e a introdução de símbolos ou pontuação fora do contexto habitual. Também é comum a inclusão de texto oculto ou a divisão do conteúdo em tabelas invisíveis, criando variações quase ilimitadas de uma mesma mensagem. Este processo permite que cada versão pareça única aos sistemas de filtragem, mas continue legível para quem a recebe.
A Kaspersky sublinha que estas estratégias, descritas pela sua equipa de análise de spam, permitem até disfarçar endereços de carteiras de criptomoeda através de entidades HTML, contornando mecanismos de segurança sem impedir que as vítimas copiem os dados para efetuar pagamentos. O cenário reforça a necessidade de uma vigilância constante por parte das organizações e dos utilizadores, bem como a importância de uma proteção adequada dos dados pessoais para reduzir a eficácia destas campanhas de chantagem.
