Golpe de tentativa de login incomum

O golpe da "Tentativa de Login Incomum" é um esquema enganoso online que se passa por avisos de segurança legítimos para assustar os usuários e levá-los a comprar software antivírus por meio de um link de afiliado. A página fraudulenta imita componentes de segurança do Windows, exibe detecções de ameaças falsas e cria uma falsa sensação de urgência, alegando que uma conta ou dispositivo foi comprometido.

Apesar de fazer referência a produtos de segurança conhecidos e usar recursos visuais que se assemelham a alertas legítimos de sistemas operacionais, este site não possui qualquer vínculo com empresas, organizações ou entidades legítimas. Os fornecedores e marcas de cibersegurança mencionados na página não têm qualquer envolvimento com este esquema e não endossam suas atividades.

O falso aviso de segurança que inicia o ataque.

O golpe começa com uma janela pop-up vermelha, projetada para se assemelhar a um painel de notificação de segurança do Windows. Ela alega que uma tentativa de login incomum foi detectada e apresenta o que parece ser evidência técnica para sustentar o aviso.

A página exibe informações falsas, incluindo:

• Um suposto endereço IP associado à atividade suspeita.
• País de origem da suposta tentativa de login.
• Informações sobre o navegador supostamente usado durante a intrusão.
• Uma barra de progresso "CARREGANDO" que sugere que um ataque está em andamento.

Ao mesmo tempo, os visitantes visualizam uma notificação no navegador que imita um alerta legítimo do Microsoft Defender. Ela avisa sobre uma "tentativa de redefinição de senha do sistema e interceptação de dados Wi-Fi" e oferece botões com os rótulos "Arquivar", "Proteção de atualização" e "Verificação do sistema". Essas mensagens são totalmente fictícias e servem apenas para dar ao golpe uma aparência de legitimidade.

Por que os alertas são completamente falsos?

Os avisos exibidos na página não têm relação com o estado real do sistema do visitante. Nem a Microsoft nem o Windows utilizam sites de terceiros para exibir alertas de segurança por meio de janelas pop-up do navegador.

Notificações de segurança legítimas são originadas por softwares instalados e pelo próprio sistema operacional. Uma página da web aleatória não consegue monitorar a atividade da conta, detectar roubo de senhas ou identificar tentativas de interceptação de Wi-Fi. Toda a exibição é programada para simular uma emergência e pressionar os usuários a agirem sem questionar a autenticidade da informação.

A Varredura de Sistema Falsa

Após interagir com a página, os visitantes são direcionados para outra interface que simula uma verificação do Microsoft Defender.

O scanner falso apresenta uma barra de progresso, exibe um contador de "Problemas encontrados" definido como 25 e lista continuamente supostas detecções de ameaças usando convenções de nomenclatura semelhantes às empregadas por softwares de segurança legítimos. Essa apresentação visual tem o objetivo de convencer os usuários de que uma varredura completa de malware está em andamento.

Na realidade, os sites não podem realizar verificações antivírus nos dispositivos dos visitantes. Uma página da web não possui as permissões e capacidades necessárias para inspecionar arquivos, detectar infecções ou avaliar vulnerabilidades do sistema. Todos os avisos e detecções exibidos durante o processo são predeterminados e mostrados independentemente da condição real do computador.

Alegações fabricadas de vulnerabilidades críticas e roubo de dados

A etapa final do golpe exibe uma página com o título "Vulnerabilidades Críticas Detectadas". Os visitantes são informados de que seus sistemas foram comprometidos, suas senhas foram expostas e que o ataque às suas contas está em andamento.

Para intensificar a sensação de perigo, a página inclui uma barra de progresso "Copiando dados" que é exibida em 75%, criando a falsa impressão de que informações confidenciais estão sendo roubadas ativamente.

Essas alegações são totalmente falsas. O site não tem como determinar se os arquivos estão corrompidos, se as credenciais foram expostas ou se os dados estão sendo copiados do dispositivo. As mensagens alarmantes existem unicamente para criar pânico e aumentar a probabilidade de os usuários seguirem as instruções do golpe.

O verdadeiro objetivo por trás do plano

Na parte inferior da tela de aviso final, há um botão verde com a inscrição "Proteger o Windows". Clicar nesse botão redireciona os visitantes para o site de um produto legítimo de cibersegurança por meio de um link de afiliado.

Se um visitante comprar uma assinatura após ser redirecionado, os operadores por trás do golpe recebem uma comissão. A empresa de software legítima que está sendo promovida não tem qualquer envolvimento nas táticas enganosas usadas para gerar esses encaminhamentos.

Esse tipo de esquema explora a confiança que os usuários depositam em marcas de segurança reconhecidas e se aproveita do medo para gerar lucro financeiro por meio do abuso do marketing de afiliados.

Como as vítimas se deparam com o golpe

Os usuários raramente visitam intencionalmente páginas que hospedam o golpe da "Tentativa de Login Incomum". A maioria das vítimas é redirecionada para o esquema por meio de práticas online enganosas e redes de publicidade maliciosas.

As fontes comuns desses redirecionamentos incluem:

• Anúncios enganosos e pop-ups em sites não relacionados.

• Páginas que oferecem software pirateado, streaming ilegal ou downloads via torrent.

• E-mails de phishing contendo links disfarçados.

• Notificações de sites fraudulentos previamente aprovados.

• Adware instalado no dispositivo que força redirecionamentos durante as sessões de navegação.

Como reconhecer golpes semelhantes

Golpes relacionados à segurança desse tipo compartilham diversas características em comum. Eles se baseiam em mensagens urgentes, gráficos alarmantes e relatórios de ameaças falsos, elaborados para impedir a tomada de decisões racionais.

Uma página da web deve ser considerada suspeita se:

• Alega que o dispositivo está infectado sem que se utilize o software de segurança instalado.
• Exibe varreduras falsas ou contagens de vulnerabilidades diretamente no navegador.
• Alerta em tempo real que senhas foram roubadas ou arquivos estão sendo copiados.
• Utiliza nomes de empresas conhecidas ao redirecionar os usuários por meio de links de afiliados.
• Pressiona os visitantes a comprarem o software imediatamente para evitar consequências graves.

Considerações finais

O golpe da "Tentativa de Login Incomum" é um exemplo clássico de engenharia social que se aproveita da aparência de produtos de segurança confiáveis para gerar pânico. Apresentando alertas falsos, varreduras de sistema fraudulentas e cenários inventados de roubo de dados, os golpistas tentam induzir os visitantes a comprar softwares por meio de links de afiliados.

Manter um nível saudável de ceticismo em relação a avisos de segurança inesperados e lembrar que os sites não podem realizar varreduras de sistema são passos essenciais para evitar esse e outros golpes online semelhantes.