Desde o dia 15 de março, milhões de brasileiros reúnem suas documentações para realizar a declaração anual do Imposto de Renda, que se encerra no dia 31 de maio. É um processo complexo, que dificilmente pode ser feito sem o auxílio de profissionais financeiros adequados.
Infelizmente esse é um período do ano no qual cibercriminosos também estão atentos, buscando exatamente se aproveitar de pessoas que encontram dificuldades na declaração para realizar ataques cibernéticos. “Os golpes se utilizam de ‘gatilhos’, que buscam atrair a atenção de vítimas desatentas ou com pouco conhecimento”, explica Paulo Trindade, Gerente de Inteligência de Ameaças Cibernéticas da ISH Tecnologia, referência nacional em cibersegurança. “Neste caso, a possível entrada e saída de dinheiro e o receio de um erro na declaração são as ‘iscas’, uma vez que induzem a um senso de urgência, tirando do usuário a capacidade de analisar a situação com um olhar mais crítico”.
O especialista explica que existem quatro principais formas pelas quais golpes utilizando a declaração do Imposto de Renda são aplicados, trazendo também dicas para identificar que se trata de tentativas de fraude:
E-mails enviados a uma lista de pessoas
Aqui, a vítima não chega a ser chamada nominalmente, mas o uso de elementos como o logo oficial da Receita Federal, e o uso de palavras como “urgente” e “risco de multa” pode induzir ao engano, ao apelar para os mencionados gatilhos mentais.
Porém, Trindade explica que mesmo uma análise mais superficial já revela alguns pontos que colocam em dúvida a veracidade do e-mail, além do erro ortográfico (“Feredal”): ainda que o nome do remetente seja “Receita Federal”, seu endereço de e-mail é uma sequência aleatória de números em um domínio comumente utilizado.
O destinatário também levanta suspeitas. O especialista explica que, nesse caso, o e-mail da vítima foi colocado em cópia oculta, junto a tantas outras, que supostamente fazem parte do grupo “contribuintes32575”. O suposto hyperlink ao fim do e-mail é na verdade o link para download de um vírus na máquina sendo utilizada.
E-mails personalizados a uma vítima específica
Um caso muito semelhante, porém, nesse caso, o e-mail foi enviado de maneira individual ao endereço da vítima, o que chama ainda mais atenção. Porém, novamente, sinais como o endereço de e-mail aleatório do remetente e os erros de português (“prezados contribuinte”) servem para ligar o alerta.
“Vale também perceber como, nestes dois casos, nenhum tipo de identificação do usuário é oferecida, como número de algum documento ou data da declaração. Visto que o endereço de e-mail do potencial vítima pode ser descoberto facilmente na web, não há nada que indique que a cobrança de fato se aplica a pessoa em questão”, explica Trindade.
Mensagens de texto, que podem ou não citar o nome da vítima
Agentes maliciosos utilizam linhas pré-pagas ou outros serviços para que possam disparar seus ataques por meio de mensagens, seja SMS ou aplicativos como o WhatsApp. No exemplo acima, outro fator que revela que se trata de um golpe é o domínio do link: em vez de ser “….gov.br”, é o domínio de um site malicioso, “….dominio3434.com.”
Vale mencionar também como novamente os gatilhos mentais, que buscam induzir a um senso de urgência, são utilizados.
Buscar “declaração de imposto de renda” pode resultar em sites falsos
A própria utilização de sites de busca (como o Google) à procura de auxílio para a declaração pode levar a sites maliciosos, criados por cibercriminosos para se passarem por portais oficiais. Na imagem abaixo, a ISH lista quatro dicas para identificar se o site que está sendo acessado é legítimo:
Como se proteger?
Trindade explica que, ainda que sejam golpes que envolvam nomes técnicos de disparos de ataque, como smishing, vishing, man-in-the-middle e spear phishing, essas técnicas maliciosas não dependem completamente da tecnologia, sendo apoiadas na capacidade de distração e gatilhos mentais trazidos pelo senso de urgência das mensagens, além da falta de informações de confiança em linguagens acessíveis disponíveis sobre o tema. “Na dúvida, mesmo que seja um processo mais demorado, a consulta deve sempre ser feita aos portais oficiais da Receita Federal.”
Explica também que o próprio aparelho por onde é feita a declaração merece cuidado. “Por diversas questões, muitas famílias compartilham computadores e até mesmo celulares com seus filhos. É comum que os mais jovens não tenham o devido cuidado ao baixar conteúdo ou acessar determinados sites. São locais que podem conter diversas ameaças que roubam senhas e informações pessoais de maneira silenciosa. É recomendado sempre utilizar um dispositivo de uso pessoal e privado para tarefas como acessar sites de banco, e especialmente a declaração do Imposto de Renda”, conclui.
