O que um criminoso pode fazer com meu CPF?

Com os constantes vazamentos de dados pessoais que a população brasileira anda enfrentando nos últimos anos, é comum que muitas pessoas tenham medo de fraudes financeiras envolvendo o CPF. Afinal, ter o nome sujo já é algo que gera desconforto, então o que dizer quando isso aconteceu por algo que nem foi ocasionado pelo próprio individuo que está sofrendo as consequências?

• Como recuperar uma conta invadida do Facebook
• Mais um? Novo vazamento expõe dados de 102 milhões, incluindo Bolsonaro
• Site público expõe dados pessoais de 109 milhões de brasileiros

Infelizmente, por conta dos vazamentos de dados, todo povo brasileiro está sujeito em acabar passando por uma tentativa de fraude em algum momento. Porém, para não ser pego de surpresa, existem algumas ações que as pessoas podem fazer para identificar possíveis golpes. Confira a seguir:

Como saber se estão usando o meu CPF?

Ao consultar constantemente seu CPF, você terá noção de qualquer atividade que está acontecendo em seu nome. Uma das melhores opções para realizar este monitoramento é o site Registrato, do Banco Central, que mostra para os usuários registrados quais contas, pedidos de empréstimo e demais serviços foram realizados usando o seu documento. A ferramenta é de graça e pode ser acessada aqui.

Checar se o nome está sujo também é uma ótima ação. As plataformas do Serasa e do SPC Brasil contam com serviço de consulta ao CPF gratuito, que indicam qualquer dívida que tenha sido registradas em seus bancos de dados com a identificação da pessoa. Com um monitoramento constante, é mais fácil saber quais movimentações referentes ao documento estão ocorrendo.

Se você perceber consultas suspeitas em seu CPF, procure a instituição financeira (banco, companhia de telefone, loja, etc.) e alerte que essas consultas são indevidas e podem ser uma fraude em andamento.

Por fim, além do monitoramento, vale também tomar cuidados com o próprio número do CPF, já que ele é um documento importante demais para ser compartilhado em qualquer canto ou serviço. Segundo o Serasa, nas seguintes situações, as pessoas devem tomar cuidado com os documentos, evitando fornecer informações como o número do CPF.

• Ao confirmar dados por telefone;
• Em formulários em que essa informação não for obrigatória, evite fornecê-lo;
• Cuidado com contatos suspeitos via e-mail ou SMS solicitando dados pessoais. Veja nossas dicas para saber se um e-mail é falso;
• Ao fazer compras, também não permita que os funcionários da loja saiam de sua vista com seus documentos em mãos.

Além disso, caso seu documento físico seja perdido ou roubado, é recomendado a realização de um Boletim de Ocorrência, para prevenir possíveis compras fraudulentas.

Sofri uma fraude, e agora?

Mesmo com cuidado, seu CPF acabou sendo usado em uma fraude financeira. No meio do desespero de saber do golpe, você se pergunta o que pode fazer para mitigar a situação. Por sorte, a lei brasileira já conta com recursos o suficiente para tratar destes casos.

O principal passo é notificar a empresa que concebeu algum crédito em seu CPF e o seu banco sobre a fraude, mostrando também provas sobre o golpe, como as consultas suspeitas em seu CPF ou o Boletim de Ocorrência feito na perda/roubo do documento. Após essa situação, um processo será aberto sobre a fraude, onde a companhia credora deve cancelar o empréstimo e resolver o caso sem causar nenhum dano ao consumidor.

Agora, se mesmo com o registro da fraude, a empresa se recusar a desfazer a operação, cabe registrar reclamação junto ao Procon ou ajuizar uma ação judicial, para ressarcimento dos prejuízos causados, inclusive perante o banco. Cabe destacar que causas de até 20 salários mínimos podem ser ajuizadas sem a necessidade de advogado, junto aos Juizados Especiais.

Canaltech no YouTube

Antes de pedir um empréstimo online, além de pesquisar sobre as instituições que prestam o serviço, é preciso estar atento a alguns detalhes para não cair em golpes. Checar as redes sociais da empresa e a página do “Reclame Aqui” já podem ajudar nessa questão. Veja mais orientações sobre como se proteger de fraudes. Assista ao vídeo 10 DICAS PARA VOCÊ NÃO CAIR EM GOLPES AO BUSCAR UM EMPRÉSTIMO ONLINE e se inscreva no Canaltech no YouTube.

Fonte: Serasa, UOL

Se os dados já estão vazados e não é possível reverter, como se proteger das fraudes futuras? A melhor solução será descartar de vez os métodos que utilizem exclusivamente informações estáticas.

Por muito tempo, documentos como RG e CPF foram usualmente considerados formas seguras de comprovar a identidade de uma pessoa no Brasil. No entanto, atualmente, depender exclusivamente dessas e outras informações estáticas em processos de autenticação e verificação da identidade no ambiente digital é sinônimo de vulnerabilidade. O recente vazamento de dados de mais de 220 milhões de brasileiros deixou isso ainda mais claro. O número de fraudes deve aumentar exponencialmente daqui pra frente e, dada a natureza desse tipo de informação, os prejuízos serão observados por muitos anos. Diante desse cenário, a melhor decisão que as empresas podem tomar é se mobilizar para implementar soluções mais seguras para estarem um passo à frente dos criminosos. 

Qual é a relevância dos dados vazados e o risco que eles representam

O primeiro passo para estabelecer uma relação com um cliente é por meio do processo de KYC (know your customer), que envolve uma série de práticas para que a empresa possa verificar se a pessoa é quem realmente diz ser. Isso é uma parte essencial da PLD (Prevenção à Lavagem de Dinheiro), já que permite avaliar o risco associado a um potencial cliente. Tal processo de verificação de identidade costuma ser feito por meio de dados como CPF, endereço, telefone, entre outros. Esse tipo de informação é chamada de estática, pois ela permanece sempre a mesma.

Se antes esse modelo de checagem já representava riscos para empresas e clientes, os recentes megavazamentos de dados de 2021 foram um alerta para a urgência de instituições implementarem métodos de prevenção à fraude mais seguros.

Uma vez que dados são vazados, não há como reverter a situação e os estragos serão observados não apenas nos próximos meses, como podem durar anos. Afinal, os dados estarão circulando pela internet de forma quase impossível de ser impedida ou rastreada e a maior parte deles não poderão ser alterados ou apagados pela vítima.

Considerando que os dados são pertencentes a mais de 220 milhões de pessoas (o número é acima da população brasileira porque inclui indivíduos já falecidos), qualquer cidadão passa a ser um possível alvo de fraude. Afinal, com todas as informações necessárias em mãos, um criminoso pode se passar por qualquer pessoa, ou até mesmo criar uma identidade sintética, para realizar uma série de ataques, que vão desde solicitar mais dados ou transferências financeira por meio de engenharia social a criar uma conta bancária ou se aproveitar do score de crédito das vítimas. 

Dada a dimensão do vazamento, os impactos serão observados nos mais diversos setores. No entanto, é seguro dizer que as instituições financeiras serão um dos principais alvos..

Para se ter uma ideia, entre os arquivos que estão sendo vendidos junto com os dados estão alguns guias que ajudam a entender como é feito o cálculo do score e os perfis de consumo de diferentes grupos em que as vítimas estavam classificadas. Além disso, os dados vazados incluem informações como renda, profissão e poder aquisitivo, o que facilita para os criminosos direcionarem seus ataques a alvos específicos. 

Os métodos tradicionais de autenticação e verificação de identidade estão mais ameaçados do que nunca

Essa não é a primeira (e, infelizmente, com certeza não será a última) vez que dados da população são vazados. Ou seja, os riscos de fraudes relacionados a incidentes como esse já existiam. A diferença é que agora as oportunidades para os criminosos aumentaram e foram democratizados exponencialmente. Por muito tempo, documentos como RG, CPF e foto foram vistos como maneiras seguras de identificar uma pessoa exatamente pelo fato de que essas informações são únicas para cada indivíduo durante toda a sua vida. 

O problema é que essa ideia não é válida no mundo digital. Essa característica única e estática da informação acaba se tornando, na verdade, uma ferramenta que pode ser usada contra a vítima. Se alguém se apossar do seu CPF, por exemplo, você não poderá simplesmente mudar o número do documento para evitar que o criminoso abra contas ou contraia dívidas em seu nome. Algumas tecnologias tentaram solucionar isso por meio de biometria digital ou reconhecimento facial. Porém, novamente, esses tipos de dados são estáticos e já existem técnicas capazes de hackear tais sistemas de autenticação.

Com o megavazamento de dados recente, uma das principais técnicas utilizadas para aplicar golpes será por meio da identidade sintética. Nesse tipo de fraude, o criminoso utiliza alguns informações reais da vítima e modifica outras, como nomes e endereços, para criar uma identidade fictícia. Assim, ele consegue passar despercebido nos procedimentos de KYC, visto que é comum as pessoas mudarem de endereço, por exemplo. Após o golpe, ele também é dificilmente rastreado já que a identidade criada por ele não pertence a nenhuma pessoa real. 

Golpes que devem aumentar ainda mais são aqueles envolvendo engenharia social. No início da pandemia, entre abril e junho, um em cada oito brasileiros havia sofrido uma tentativa de ataque de phishing, segundo relatório da Kaspersky. O estudo aponta que os criminosos se aproveitaram da situação para enviar e-mails e mensagens relacionadas à Covid-19 e programas de auxílio social, mostrando que esses golpes são estruturados de forma estratégica. O vazamento recente oferece aos compradores dos dados a oportunidade de traçar um perfil completo da vítima, incluindo nomes de familiares, o que facilita ainda mais na hora de escolher o alvo e a forma como manipular cada indivíduo. 

As possibilidades são inúmeras. O criminoso pode entrar em contato com uma pessoa se passando por uma instituição, por exemplo, e solicitar dados aos quais ele não tem acesso (como uma senha eletrônica) ou até mesmo a confirmação de um código enviado por SMS e que, na verdade, será usado para passar pela autenticação de dois fatores de um aplicativo. O contrário também pode ocorrer: o agente mal-intencionado pode entrar em contato com uma instituição e, pelo fato de ter todos os dados pessoais do cliente, se passar facilmente pela vítima para fazer qualquer tipo de solicitação. 

Mas se os dados já estão vazados e não é possível reverter, como se proteger das fraudes futuras? A melhor solução será descartar de vez os métodos que utilizem exclusivamente informações estáticas.

E agora, o que fazer?

É essencial que as empresas encarem o acontecimento recente como um alerta e se mobilizem o quanto antes para protegerem suas instituições, marcas e os seus clientes. Um cuidado importante é verificar quais soluções são mais eficazes e que não prejudicam a experiência do usuário.

O usuário pode confiar em tecnologias que utilizam dados dinâmicos, como a biometria comportamental por localização. A biometria comportamental por localização, uma das tecnologias que permite a verificação da identidade sem nenhuma ação ativa do usuário para isso, com casos de mais de 80% de verificações automáticas. A validação acontece através da comparação entre o endereço declarado no onboarding e o comportamento do dispositivo, então é praticamente impossível ser imitada por fraudadores, que não podem estar na casa do usuário, portanto mitiga fraudes, e sem ação do usuário, pois faz a validação à partir do comportamento rotineiro de localização. Apenas quando a comparação do endereço declarado não corresponde ao comportamento de localização, outros métodos de verificação podem ser adicionados.

Além de adicionar uma camada extra de proteção, esta solução de identidade mobile por meio da biometria comportamental por localização também garante uma precisão maior durante o processo de verificação da identidade de uma pessoa. Isso é essencial para reduzir o número de falsos positivos e construir uma boa relação com os clientes. Todo o processo de checagem da identidade é feito em segundo plano, ou seja, sem causar nenhuma interferência ao usuário, que não precisa realizar nenhuma ação, além de ser ele mesmo.

Buscar soluções como essa no mercado podem definir o futuro das empresas daqui pra frente. Afinal, um número crescente de fraudes pode resultar não apenas na perda de clientes como também prejudicar a imagem da companhia (algo que pode ser irreversível) e ainda ter implicações judiciais. Cientes de que seus dados agora estão espalhados pela internet, os clientes vão optar cada vez mais por serviços que garantam a sua segurança. É bom estar preparado.

_____________________________________

Saiba mais sobre o caso do banco mobile que verificou automaticamente 85% dos usuários de se aplicativo mobile>>

O que uma pessoa mal intencionada pode fazer com meu CPF?

O que fazer para proteger meu CPF?

Como saber se alguém está usando seu CPF?

O que uma pessoa pode fazer com seu nome completo?