Golpes de milhas aéreas e falso atendimento ao cliente miram programas de fidelidade de companhias aéreas
A Group-IB mapeou dois vetores de fraude contra passageiros: sites falsos que imitam companhias aéreas para roubar dados de cartão sob pretexto de sorteios ou pesquisas, e centrais de atendimento fraudulentas que se passam por suporte oficial para extrair credenciais e instalar RATs. Contas de milhas comprometidas alimentam ainda um mercado de revenda na dark web.
O relatório detalha como fraudadores exploram a confiança dos passageiros em marcas aéreas conhecidas por dois caminhos complementares. No primeiro, sites clonados anunciam pesquisas de satisfação ou sorteios de passagens/milhas, coletando nome, dados de voo e número de cartão de crédito sob o pretexto de "confirmar a identidade" para receber o prêmio.
No segundo, mais sofisticado, golpistas montam falsas centrais de atendimento ao cliente — com números de telefone e páginas de suporte que imitam o layout oficial — e induzem a vítima a fornecer dados de voo e credenciais de login durante a ligação. Em casos mais avançados, a "solução" oferecida pelo falso atendente inclui instalar um software de acesso remoto no computador do passageiro, dando ao criminoso controle total do dispositivo e acesso a contas bancárias abertas na mesma máquina.
As credenciais e contas de milhas obtidas por esses dois métodos alimentam um mercado próprio na dark web, onde contas de fidelidade comprometidas são revendidas, muitas vezes após os golpistas testarem login e senha reaproveitados de outros vazamentos (credential stuffing) — o que explica por que companhias aéreas aparecem cada vez mais como alvo, mesmo não sendo instituições financeiras tradicionais.
A Group-IB recomenda que companhias aéreas adotem biometria comportamental passiva e verificação de dispositivo/localização para distinguir logins legítimos de tentativas automatizadas, além de monitorar fóruns underground em busca de contas à venda e phishing kits que as imitem. Para o passageiro, o essencial é nunca fornecer dados de cartão para "confirmar" um prêmio não solicitado, checar sempre o número oficial de atendimento no site da companhia (nunca o número exibido em anúncio ou e-mail) e nunca instalar programas de acesso remoto a pedido de quem ligou primeiro.