Três formas de a chamada começar
A janela emergente
Uma janela do navegador ocupa o ecrã inteiro. Há um som de alarme, por vezes uma voz sintetizada, um aviso de que a sua máquina está infetada ou de que o seu endereço IP foi comprometido, uma instrução para não reiniciar o computador, e um número de telefone em letras grandes. Ocasionalmente há uma análise animada que parece estar a encontrar ficheiros.
Uma página web não pode analisar o seu computador à procura de vírus. Não tem acesso aos seus ficheiros, ao seu antivírus nem ao seu sistema. O que consegue ler é o que todos os sites leem: que navegador está a usar, que sistema operativo, e uma localização aproximada a partir do seu endereço IP. É por isso que o aviso "sabe" que está no Windows e na sua cidade. É o truque mais antigo da página e é ele que faz a maior parte do trabalho.
A página pode também prender o teclado em ecrã inteiro ou lançar uma caixa de diálogo de cada vez que tenta fechá-la. Force o encerramento do navegador — o Gestor de Tarefas no Windows, o Forçar Encerramento num Mac — e reabra-o recusando restaurar a sessão anterior. Nada foi danificado.
A chamada não solicitada
"Estou a ligar da Microsoft. Os nossos servidores detetaram uma infeção grave na sua máquina." A Microsoft, a Apple, a Google e os fornecedores de internet não telefonam a particulares por causa de infeções por vírus. Não vigiam o seu computador e, se o fizessem, não o conseguiriam identificar a partir dele. O mesmo se aplica a quem telefone a alegar que o seu router foi pirateado ou que a sua licença expirou.
O número que encontrou por si
Este merece atenção porque parece seguro. Procura a linha de apoio de uma empresa, liga para o número no topo dos resultados e chega a um centro de chamadas que comprou o anúncio ou plantou o registo na lista. Marcou o número por sua iniciativa, pelo que está com a guarda em baixo. Chegue ao apoio apenas escrevendo o endereço da própria empresa no navegador e navegando a partir daí.
Um parente próximo disto é a fatura de renovação por e-mail: a sua subscrição de antivírus renovou-se automaticamente por uma quantia elevada e, para a cancelar, tem de ligar para o número abaixo. Não há ligação nem anexo, que é exatamente a razão pela qual passa o filtro de spam. O número é a carga inteira.
O que o engenheiro faz com o seu ecrã
O primeiro pedido é sempre o acesso remoto. Vão guiá-lo na instalação de um programa de apoio remoto — o AnyDesk, o TeamViewer, o UltraViewer, o LogMeIn, o Supremo e semelhantes são ferramentas comuns usadas honestamente por técnicos verdadeiros, e é por isso que são escolhidos — e a ditar o identificador de ligação.
Uma vez estabelecida a ligação, começa a demonstração. Todos os elementos dela são software genuíno a comportar-se normalmente.
- O Visualizador de Eventos. Todos os computadores em funcionamento registam avisos e erros: um controlador que arrancou tarde, um serviço que excedeu o tempo. Percorrer um ecrã de ícones vermelhos e amarelos é apresentado como prova de intrusão.
- A lista de ligações de rede. O comando netstat imprime as ligações que a sua máquina mantém neste momento. Servidores de atualizações, armazenamento na nuvem, os sites abertos no navegador. Cada endereço estrangeiro é descrito como um pirata informático instalado dentro do seu computador.
- O truque do identificador de licença. Pedem-lhe que execute um comando que imprime as associações de ficheiros e apontam-lhe uma cadeia longa na saída — um identificador de classe. O engenheiro afirma que é o seu número de licença único e depois lê a mesma cadeia a partir dos "nossos registos" para provar que é da Microsoft. Essa cadeia é idêntica em todas as instalações do Windows do planeta.
- Uma listagem de diretório a toda a velocidade. Milhares de nomes de ficheiros a escorrer por uma janela preta, descritos como uma análise profunda.
- Serviços desativados. Abre-se um ecrã de configuração e mostram-se algumas caixas por assinalar como prova de que a sua proteção foi desligada por um atacante.
- O Bloco de Notas como janela de conversa. Escrever-lhe mensagens mantém-lhe os olhos no ecrã e mantém-no a ler enquanto outras coisas acontecem.
- O ecrã apagado. "Vou ocultar o ecrã enquanto a reparação corre." Nada de legítimo exige que deixe de ver o seu próprio computador.
Segue-se o diagnóstico: a sua máquina está comprometida, os seus dados bancários estão expostos, e é preciso já um pacote de segurança, uma licença vitalícia de firewall ou uma subscrição de proteção de rede.
Por que o pagamento tem de ser um voucher
Nenhuma empresa de software cobra apoio com um PIN Paysafecard. Nenhuma aceita Neosurf, Transcash, PCS, Cashlib ou Flexepin. Os fornecedores faturam através da conta que já tem junto deles, ou aceitam um cartão e emitem um recibo com o nome de uma empresa.
O centro de chamadas não pode aceitar um cartão, porque um cartão precisa de um contrato de comerciante, e um contrato de comerciante precisa de uma empresa registada, de um banco e de uma morada. O que precisam, em vez disso, é de algo que se torna dinheiro no momento em que é ditado em voz alta e que depois não pertence a ninguém. Os códigos de vouchers pré-pagos funcionam exatamente assim, e as marcas que não são mais do que um PIN num talão são o exemplo mais puro disso.
A inversão do reembolso, que é a que custa cara
Semanas ou meses depois, alguém telefona a dizer que a empresa vai fechar e que lhe deve um reembolso. Ou o e-mail da fatura do antivírus leva a uma chamada em que se acorda um cancelamento. De qualquer das formas, precisam de acesso remoto para o "processar", e precisam que abra o seu banco online ou um formulário no ecrã deles.
Depois algo corre mal. O reembolso aparece no ecrã como sendo muito mais do que a quantia acordada — um dígito a mais, dirão eles. O mecanismo varia: movem dinheiro entre duas contas que já lhe pertencem para que um saldo salte, alteram os números apresentados no navegador usando as ferramentas de programador nele incorporadas, ou mostram-lhe uma página adulterada. Não chegou nada de lado nenhum.
O que se segue é aflição fabricada. O engenheiro diz que o erro foi dele, que o dinheiro saiu da sua conta pessoal, que o chefe o vai despedir, que tem família. Faria o favor de devolver a diferença. Não por transferência, porque a auditoria a mostraria. Em vouchers, da loja ali ao fundo da rua.
Verifique o saldo a partir de outro dispositivo, ou telefone ao banco para o número impresso no seu cartão. O pagamento a mais é o truque, e é a única parte da história que alguma vez precisa de ser testada.
Se está na chamada neste momento
- Desligue. Não os deixe acabar, não discuta, não os avise primeiro.
- Desligue o computador da internet — retire o cabo ou desligue a rede sem fios —, o que termina imediatamente a sessão deles.
- Não atenda quando voltarem a ligar, e vão voltar a ligar, às vezes muitas vezes.
Depois, por esta ordem
- Retire-lhes o acesso. Desinstale o software de apoio remoto que o levaram a instalar. Se não tiver a certeza de que desapareceu, trate a máquina como não fiável.
- Mude as palavras-passe a partir de outro dispositivo. Um telemóvel ou outro computador. Primeiro o e-mail, porque é a chave para tudo o resto, depois o banco, depois tudo o que partilhe essa palavra-passe. Ative a autenticação de dois fatores onde for possível.
- Telefone ao seu banco se o banco online esteve aberto durante a sessão, se foram escritos dados de cartão, ou se algum dinheiro se moveu. Peça que revejam a conta e emitam um novo cartão.
- Pense no que eles tiveram. Quem tem controlo total de um computador durante meia hora pode instalar qualquer coisa e ler qualquer coisa. Quando o banco ou os sistemas de trabalho vivem nessa máquina, uma reinstalação de raiz é a única resposta honesta. No mínimo, faça uma análise completa com software de segurança que tenha obtido por si.
- Denuncie à polícia ou ao serviço nacional de denúncia de fraude, e à equipa antifraude do seu banco.
- Se um código já foi ditado, siga sem demora os passos para um código de voucher que já saiu.
Conte com uma segunda vaga. Os mesmos dados voltam a ser usados pelo "departamento de reembolsos", pela "equipa antifraude", por uma unidade de cibercrime, ou por uma empresa de recuperação que ouviu falar do seu caso. Quem o contactar primeiro por causa de dinheiro que perdeu está a trabalhar a partir de uma lista.
O que o apoio genuíno nunca faz
- Telefonar-lhe, sem que nada o motive, por causa de uma infeção na sua máquina.
- Mostrar um número de telefone dentro de um aviso de vírus.
- Pedir-lhe que instale software de acesso remoto que não foi procurar.
- Pedir pagamento em vouchers pré-pagos, em qualquer moeda, por qualquer razão. Ninguém legítimo o faz.
- Pedir-lhe que esconda a chamada da sua família ou do seu banco.
- Emitir um reembolso pedindo-lhe que devolva dinheiro.
Qualquer um destes, por si só, chega para terminar a chamada.