No TELEGRAM, venda de dados pessoais roubados, diz Núcleo.Jor

Extrapolando seus canais de transmissão e grupos de mensagem, anúncios de comércios ilegais continuam florescendo no Telegram, sem interferência da plataforma, dois anos depois de uma reportagem da BBC Brasil ter trazido o assunto à tona. E os negócios, ao que parece, estão a todo vapor, perpetuando um nicho de transações irregulares, envolvendo fraudes financeiras, golpes e dados pessoais.

A continuidade desse tipo de canal sinaliza o que já foi visto em outros contextos – a exemplo de grupos de extrema-direita – sobre o Telegram: a fiscalização e moderação de conteúdos são esparsas, se não completamente ausentes. É possível denunciarilegalidades no Telegram por um endereço de email. Em seu site, o Telegram diz que não é possível denunciar chats e grupos privados, mas um tuíte de 2020 diz o contrário.

Os casos que envolveram moderação do Telegram mais recentemente no Brasil foram por direitos autorais, punindo grupos que utilizavam vídeos da Rede Globo na cobertura do Big Brother Brasil.

É IMPORTANTE PORQUE…

• Telegram não aplica moderação para coibir anúncios ilegais em sua plataforma
• Pode ter potenciais implicações em privacidade de dados pessoais

Não é difícil achar esses anúncios. Uma busca simples na plataforma de mensagens revela um ecossistema de grupos que vendem (ou pelo menos alegam vender) desde ‘esquemas’ para cupons infinitos de aplicativos de delivery, até rifas de armas, aprovações de compras com cartão de créditos, notas de dinheiro falsificadas e dados pessoais de terceiros.

O CENÁRIO DE TERRA SEM LEI, SOMADO À FACILIDADE DE MANTER CERTO ANONIMATO, CRIA UM AMBIENTE PROPÍCIO PARA QUE FRAUDES, GOLPES SEJAM PROMOVIDOS ABERTAMENTE E CRIMES, COMO A FALSIFICAÇÃO DE DINHEIRO, SEJAM PROPAGANDEADOS COMO SE NÃO FOSSEM ILEGAIS.

Esse anonimato, no entanto, é relativo, alertam especialistas. Hoje é possível conduzir investigações que não utilizem apenas a quebra de sigilo de mensagens criptografadas trocadas nas plataformas e que podem resultar na identificação de líderes e administradores de grupos onde crimes são cometidos.

“Já tivemos várias investigações em que responsáveis por grupos, mesmo em aplicativos criptografados como WhatsApp e Telegram, foram identificados. Isso pode acontecer porque qualquer um que participa desse grupo pode ser testemunha, há outras formas de se investigar que não pela quebra da informação”, disse Luiz Augusto D’Urso, advogado especialista em direito digital e presidente da Comissão Nacional de Cibercrimes da Associação Brasileira dos Advogados Criminalistas (Abracrim).

As dezenas de grupos analisadas pelo Núcleo atuam em diversas frentes. Desde atividades menos graves, como compra de seguidores para Instagram e pagamento por uso de códigos de Kwai e Tik Tok, até atividades criminosas como falsificação de dinheiro e venda de dados pessoais roubados.

CONVERSANDO COM UM VENDEDOR

Na quarta-feira à noite, perto do fechamento da reportagem, ao clicar em um bot de Telegram para ver o que acontecia nosso editor recebeu logo depois mensagem de um perfil responsável por anunciar diversos tipos de mutretas no aplicativo. O editor continuou a conversa para ver se conseguia mais informações.

Sem se identificar e solicitando que não tivesse seu nome completo revelado, a pessoa disse ganhar R$3 mil por mês (inicialmente disse por dia, mas depois se corrigiu) com os esquemas, acrescentando que cresceram muito durante a pandemia e que o Telegram não fazia nada para impedir.

Ele acrescentou ainda que o golpe “é no sistema nunca no cliente ou no mais pobre”, o que é difícil de defender dado que vende CPFs ou cartões clonados de pessoas que ele não conhece e podem ter prejuízo pessoal com isso.

O NÚCLEO REPRODUZ ABAIXO OS PRINTS DE TELA NA ÍNTEGRA, SEM EDIÇÕES EXCETO PELA TARJA VERMELHA SOBRE O NOME DELE E DE UM BOT QUE VENDERIA CARTÕES CLONADOS INDICADO POR ELE.

DADOS PESSOAIS

Mais de 78,7 mil pessoas fazem parte de um grupo focado em vender dados pessoais, que podem ser utilizados para fraudes online. Os dados não são vendidos diretamente lá, e sim por meio de uma plataforma que permite consultar informações pessoais em uma base de dados própria, mantida pelos mesmos administradores do grupo.

O acesso ao programa pode ser comprado ao gosto do cliente. Os valores começam em R$ 30 para um período de uma semana, incluindo 100 pesquisas por dia e vão até R$ 200 para 30 dias, sendo 250 pesquisas por dia.

Segundo Mariana Rielli, pesquisadora e líder de projetos da Data Privacy Brasil, esses dados sendo negociados em grupos do Telegram costumam ser obtidos de duas maneiras.

A primeira forma tem origem em fontes acessíveis publicamente, como banco de dados de governos ou processos judiciais, que são então “raspadas” para obter as informações. Já a segunda se dá por incidentes de segurança, como vazamentos e ataques hacker, sofridos por empresas e órgãos públicos que detêm dados pessoais.

“É importante situar que mesmo os dados que estão publicamente acessíveis, seja por questão legal ou porque a própria pessoa disponibilizou dados numa rede social, também têm proteção pela Lei Geral de Proteção de Dados (LGPD) e por outras normativas”, explicou Rielli ao Núcleo.

“Não é porque eles estão publicamente acessíveis que eles podem ser usados para qualquer finalidade”.

Há ainda um outro canal menor no Telegram, com apenas 248 inscritos, que oferece um serviço similar mas utilizando uma plataforma de consulta diferente. No pacote oferecido por esse canal, 30 dias de acesso, sem limite de pesquisas, custam R$115. A base de dados utilizada por eles conta com 36 módulos de consulta diferentes, como por exemplo o score de crédito, a placa no Detran associada a certo CPF e até mesmo informações de vizinhos. Clientes desse canal podem ainda comprar um bot de Telegram que realiza as buscas.

Golpes e fraudes como as promovidas por estes grupos não são novos, mas esses crimes ganharam novo contorno com a popularização do acesso à internet, que fez crescer significativamente a quantidade de dados pessoais coletados e potencialmente vazados.

“O VAZAMENTO DE DADOS PESSOAIS FOI MAXIMIZADO COM A TECNOLOGIA” – LUIZ AUGUSTO D’URSO, ADVOGADO E PRESIDENTE DA COMISSÃO NACIONAL DE CIBERCRIMES DA ABRACRIM

“A própria coleta de dados na utilização de uma rede social ou em uma compra em e-commerce ou do que você faz todo dia na frente do seu celular, isso tem uma invasão de privacidade muito maior. E quando há um vazamento ou uma venda desse banco de dados, ele é muito mais prejudicial”, explicou D’Urso ao Núcleo.

GOLPES FINANCEIROS

Há diversos grupos dedicados especificamente a fraudes e golpes financeiros. Uma das mais alarmantes, por exemplo, é a venda de cédulas falsas de real, o que configura crime passível de até 12 anos de prisão.

Em um vídeo gravado ao som dos versos de funk “Tenho sonho de ser rico, rico não, milionário”, de MC Menor MR, o administrador do grupo, escondido sob uma identidade anônima, filma uma pequena montanha de dinheiro – provavelmente cédulas falsas.

Além da venda de cédulas falsas, o administrador anônimo também vende contas de PagSeguro e Mercado Pago com saldo. Nesse esquema, pagando R$70, o comprador terá acesso a uma conta com R$1.500 de saldo. Com a conta do PagSeguro, o administrador do grupo alega que dá pra realizar saques, pagar boletos e fazer a festa em sites de comércio online que aceitam esse meio de pagamento.

Cartões de créditos físicos também são vendidos com a mesma lógica. Um dos outros grandes negócios deste grupo (e de muitos outros) é a venda de dados completos de cartões de crédito. Mas como ter os dados completos do cartão nem sempre basta, o administrador oferece também cursos para ensinar a fazer aprovações de compra em sites como Mercado Livre, por exemplo.

De vez em quando, ainda, pipoca uma mensagem enviada pelo administrador com credenciais de login – provavelmente roubadas – para algum serviço como Mercado Livre ou Premiere (para futebol pay-per-view) como “doação”. No caso deste grupo, o administrador usa o canal de transmissão no Telegram apenas para promover os serviços e produtos. As vendas são realizadas pelo Whatsapp em um número que é constantemente atualizado.

Há um outro grupo semelhante que, além das informações de cartões, oferece também aprovações de compras feitas com cartão de crédito em sites de comércio online. “Aqui somos uma família, e sinta-se em casa!!!””, diz a mensagem automática enviada pelo administrador do grupo para cada novo membro que entra.

Nesse ecossistema, os serviços oferecidos complementam uns aos outros. É o caso, por exemplo, de um outro grupo que promove usuários que vendem telas fakes para diversos sites brasileiros – incluindo de bancos. Essas páginas falsas, construídas para simula telas de sites verdadeiros, são utilizadas para roubar dados pessoais de usuários que depois serão usados nas outras fraudes, técnica conhecida como phishing.

FEIRA DO ROLO

Além de dados pessoais e serviços financeiros, há outros grupos mais generalistas que incluem de tudo um pouco, em uma verdadeira feira do rolo.

Um dos grupos analisados, com quase 20 mil membros, onde se oferece desde acesso a plataformas de streaming e pacotes de seguidores para o Instagram até pagamentos para quem utilizar códigos do TikTok e Kwai. Mais plural, esse grupo permite que qualquer usuário venda o seu peixe, isto é, anuncie seu produto, método ou esquema. Alguns dos produtos e serviços oferecidos nesse grupo:

• *Ativação de internet ilimitada
• *Contas no Mercado Pago com saldos
• *Conta em diferentes serviços de streaming (inclui suporte ao usuário)
• *Cédulas de dinheiro falsas
• *Carteiras de motoristas fraudadas
• *Cartões de créditos verificados

RESPONSABILIDADE

Muitos dos dados pessoais e informações sendo negociados nesses grupos vistos pelo Núcleo podem ter tido origem nos megavazamentos que ocorreram nos primeiros meses do ano, disse Mariana Rielli. A Autoridade Nacional de Proteção de Dados (ANPD) e a Polícia Federal investigam a venda de uma base de dados com 223 milhões de CPFs – a totalidade da população brasileira mais pessoas já falecidas – proveniente de um desses vazamentos.

Segundo Rielli, a LGPD traz dispositivos que atuam tanto para prevenir que incidentes de segurança ocorram quanto para mitigar danos e riscos quando eles ocorrem. A pesquisadora disse que a legislação, aprovada em 2018, de certa forma premia organizações que coloquem em prática todas as medidas administrativas, organizacionais e técnicas para evitar ao máximo a ocorrência de incidentes.

“SABEMOS QUE, NA PRÁTICA, É INEVITÁVEL QUE ESSES INCIDENTES OCORRAM” – MARIANA RIELLI, DATA PRIVACY BRASIL

“Por mais que essas medidas sejam colocadas em prática, organizações mais avançadas sempre estão sujeitas a algum tipo de incidente de segurança, então é nesse sentido que vem as medidas de mitigação de danos e conscientização das pessoas sobre o fato de que seus dados foram provavelmente vazados em algum momento”, acrescentou a pesquisadora.

Do lado das plataformas, apesar de hospedar esse tipo de grupo, o Telegram não tem responsabilidade pelo conteúdo promovido por terceiros. Pelo Marco Civil da Internet, de 2014 , as plataformas só podem ser responsabilizadas civilmente se descumprirem uma ordem judicial que determine a remoção ou suspensão do conteúdo ou contas que forem entendidas como infringentes pela lei.

No caso destes grupos vistos pelo Núcleo, isso significa que não há incentivos para que o Telegram aja para coibir tais práticas a menos que haja uma determinação judicial.

“Esses dois artigos [19º e 20º do Marco Civil da Internet] deram muita proteção às plataformas para que elas deixem que o usuário cometa essas ilegalidades e ela só precisaria de agir porque seria responsabilizada depois de ordem judicial. Isso é ruim porque traz um cenário de conforto para essas plataformas”, disse o advogado Luiz Augusto D’Urso.

COMO FIZEMOS ISSO

Durante uma semana, monitoramos oito grupos de Telegram para entender o comportamento e serviços sendo promovidos ali, além de entrevistarmos dois especialistas sobre segurança digital e privacidade de dados.

Entramos em contato com o Telegram, mas não tivemos retorno.

O Núcleo optou por não linkar nem divulgar o nome dos grupos em questão para não fazer publicidade de atividade ilegal.

Vale notar que o Núcleo é um site jornalístico e não é nossa missão denunciar usuários ou contas específicas, especialmente porque estão escancaradamente abertas para qualquer um encontrar a partir de buscas no aplicativo.