Como fraudadores lucraram até US$ 34 milhões explorando o hype do lançamento do iPhone X
Em campanha mapeada pela Group-IB, criminosos registraram mais de 500 sites falsos aproveitando o lançamento do iPhone X para aplicar golpes de pagamento antecipado, sorteios fraudulentos e distribuição de malware, com potencial de dano estimado em US$ 34 milhões e um único site chegando a faturar US$ 68 mil por mês. O caso é um exemplo clássico — hoje ainda replicado a cada lançamento de produto de alta demanda — de como escassez artificial e hype são usados para baixar a guarda da vítima.
A Group-IB documentou, na época do lançamento do iPhone X, uma onda coordenada de mais de 500 sites fraudulentos explorando a alta demanda e a escassez de estoque do aparelho. O dano potencial agregado foi estimado em até US$ 34 milhões, com um único site fraudulento chegando a faturar cerca de US$ 68 mil por mês — números que ilustram como o hype em torno de um lançamento de produto vira, na prática, uma superfície de ataque em massa contra consumidores ansiosos para comprar.
O relatório descreve três técnicas principais operando em paralelo. A primeira é a venda com pagamento antecipado: sites falsos ofereciam o iPhone X com desconto de cerca de 30% sobre o preço oficial, exibiam avaliações falsas de cinco estrelas para parecer legítimos, e coletavam dados pessoais completos e pagamento via cartão ou carteira digital — sem nunca entregar o produto. A segunda é o sorteio fraudulento ('grátis para os primeiros X'), que redirecionava a vítima por dezenas de páginas sucessivas coletando dados cada vez mais sensíveis (nome, e-mail, data de nascimento, endereço) a cada etapa, uma técnica clássica de qualificação e monetização de leads fraudulentos. A terceira é a distribuição de malware disfarçado de 'instalador' ao final da cadeia de redirecionamentos.
Embora o caso date de 2017, o padrão é diretamente aplicável a qualquer lançamento de produto de alta demanda hoje — sejam consoles, ingressos de eventos ou lançamentos de criptomoedas: escassez artificial, desconto abaixo do mercado, prova social falsa (avaliações e depoimentos fabricados) e formulários de dados pessoais em múltiplas etapas continuam sendo os pilares desse tipo de golpe.
As recomendações práticas seguem válidas: comprar apenas em domínios oficiais ou revendedores autorizados conhecidos; checar a data de criação do domínio via Whois (sites fraudulentos costumam ser recém-registrados, criados dias antes do lançamento); desconfiar de preços muito abaixo do oficial e nunca pagar antecipadamente fora de plataformas com proteção ao comprador; confirmar certificado HTTPS válido (necessário, mas não suficiente); e evitar preencher formulários com dados pessoais completos em troca de sorteios ou promoções não solicitadas.